מה המפעיל רואה בתוך מנהרת VPN סלולרית

לחיבור סלולרי שנושא VPN יש שתי הגנות בלתי תלויות, וכמעט כל טענה מבולבלת על פרטיות סלולרית נובעת מעירובן. רשת הרדיו מגנה על הגישה והאיתות שלה עצמה. לקוח ה-VPN מאמת שער ומגן על התעבורה אל אותו שער. אף אחד מהם אינו שכבה של האחר, והמפעיל אינו הופך לעמית VPN רק משום שהוא מסיים את הגנת הגישה הסלולרית.

שלב 1: לשרטט את שני היחסים

מצד אחד יש את הטלפון והרשת הסלולרית: רישום, נשאי רדיו וכל הגנה שהתקן הגישה מגדיר. מהצד השני יש את לקוח ה-VPN ושער מרוחק מסוים, עם אימות משלו ומפתחות משלו.

נקודות קצה שונות, חומר מפתח שונה, אופני כשל שונים. שרטטו אותם כשני קווים ולא כאחד.

שלב 2: לסמן היכן כל אחד מסתיים

במנהרת IPsec במצב מנהרה, הלקוח עוטף את החבילה הפנימית בחבילת IP חיצונית חדשה, והרשת מעבירה את הכותרת החיצונית הזו. מפרט ESP מתאר את העטיפה הזו ישירות: המטען מוגן, והכתובות החיצונית היא מה שהנתיב רואה.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

דבר לאורך הנתיב אינו מפענח את המטען בצומת מנותב. העיבוד מתרחש בנקודת הקצה המוגדרת, ולכן שני גבולות ההגנה אינם מתמזגים לאחד.

שלב 3: לפרט מה המפעיל עדיין יכול לעשות

מפעיל גישה יכול לראות יעדים חיצוניים, תזמון ונפח. הוא יכול גם להשפיע על האספקה באמצעות ניתוב, סינון, אובדן או חיבור שנקטע. מנהרה איטית או כושלת היא אפוא בהחלט אפשרית בלי שום פענוח של תוכנה. זינוקי השהיה וחיבורים מחדש כפויים שייכים לאותה קטגוריה.

תצפית ושיבוש הם יכולות אמיתיות. הן אינן אותה יכולת כמו קריאת המטען הפנימי.

שלב 4: לשמור על הנחות כנות

המסקנה תקפה למנהרה נתמכת ומוגדרת כראוי בין נקודות קצה שאתם סומכים עליהן. היא אינה שורדת טלפון שנפרץ, פרטי התחברות גנובים, מערך צפנים מיושן או שער שהוא עצמו זדוני. היא גם אינה הופכת אזהרת תעודה בלתי צפויה לבלתי מזיקה; התייחסו אליה כתקרית בפני עצמה ולא כאל משהו שמדלגים עליו בלחיצה. כל אחד מאלה שובר הנחה ולא את ההצפנה.

הסרת אימות העמית או התעודה כדי שאזהרה תיעלם משנה את יחסי ההגנה שנשענתם עליהם.

שלב 5: לעקוב אחר הנתונים מעבר לשער

הגנת ה-VPN מסתיימת בנקודת הקצה המוגדרת שלה. מה שהתעבורה עושה לאחר מכן מוגן רק על ידי מה שפועל באותה שכבה, ולכן הפעלת HTTPS מאומתת כראוי עדיין חשובה לאחר המנהרה. טקסט גלוי שנשלח מהשער והלאה זקוק להערכה משלו.

זה החלק שאנשים שוכחים כשהם מתארים מנהרה כמכסה את כל הנתיב.

שלב 6: לתחום את הזרימות שמוגנות בפועל

בדקו את מדיניות הלקוח לגבי אפליקציות מוחרגות, מנהרה מפוצלת ומשפחות כתובות. אפליקציה מוחרגת, משפחת כתובות שאינה מטופלת או הפעלה מנותקת יכולות להשתמש בנתיב אחר לגמרי, וסמל מצב לא יגיד לכם איזו זרימה הלכה לאן.

כתבו את הרשומה כארבע עובדות: רשת הגישה, נקודת הקצה המאומתת של ה-VPN, נקודת הקצה של האפליקציה והתעבורה המכוסה בפועל. הרשומה הזו נשארת נכונה גם כשהסמלים משקרים.