Što operater vidi unutar mobilnog VPN tunela

Mobilna veza koja nosi VPN ima dvije neovisne zaštite, i gotovo svaka zbunjena tvrdnja o mobilnoj privatnosti nastaje njihovim spajanjem. Radijska mreža štiti vlastiti pristup i signalizaciju. VPN klijent autentificira gateway i štiti promet prema tom gatewayu. Nijedno nije sloj drugoga, i operater ne postaje VPN partner samo zato što prekida zaštitu mobilnog pristupa.

Korak 1: nacrtajte oba odnosa

S jedne strane su telefon i mobilna mreža: registracija, radijski nositelji i zaštita koju propisuje standard pristupa. S druge strane su VPN klijent i određeni udaljeni gateway, s vlastitom autentifikacijom i vlastitim ključevima.

Različite krajnje točke, različit ključni materijal, različiti načini kvara. Nacrtajte ih kao dva pravca, a ne jedan.

Korak 2: označite gdje svaki završava

Kod IPsec tunela u tunelskom načinu rada klijent umotava unutarnji paket u novi vanjski IP paket, a mreža prosljeđuje to vanjsko zaglavlje. ESP specifikacija opisuje to enkapsuliranje izravno: korisni teret je zaštićen, a vanjsko adresiranje je ono što put vidi.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Ništa duž puta ne dešifrira korisni teret na rutiranom hopu. Obrada se događa na konfiguriranoj krajnjoj točki, i zato se dvije granice zaštite ne stapaju u jednu.

Korak 3: navedite što operater još može

Pristupni operater vidi vanjske destinacije, vrijeme i obujam. Može i utjecati na dostavu rutiranjem, filtriranjem, gubitkom ili prekinutom vezom. Zato je spor ili neuspješan tunel potpuno moguć bez ikakvog dešifriranja njegova sadržaja. Skokovi latencije i prisilna ponovna povezivanja pripadaju istoj kategoriji.

Promatranje i ometanje stvarne su mogućnosti. Nisu ista mogućnost kao čitanje unutarnjeg korisnog tereta.

Korak 4: držite pretpostavke iskrenima

Zaključak vrijedi za podržan, ispravno konfiguriran tunel između krajnjih točaka kojima vjerujete. Ne preživljava kompromitiran telefon, ukradene akreditive, zastario skup šifri ni gateway koji je i sam zlonamjeran. Ne čini bezopasnim ni neočekivano upozorenje o certifikatu; tretirajte ga kao vlastiti incident, a ne kao nešto što se preskače klikom. Svako od toga kvari pretpostavku, a ne kriptografiju.

Uklanjanje provjere partnera ili certifikata da upozorenje nestane mijenja odnos zaštite na koji ste se oslanjali.

Korak 5: pratite podatke iza gatewaya

VPN zaštita završava na svojoj konfiguriranoj krajnjoj točki. Ono što promet učini dalje štiti samo ono što radi na tom sloju, i zato je ispravno validirana HTTPS sesija i dalje važna nakon tunela. Čist tekst poslan dalje od gatewaya treba vlastitu procjenu.

To je dio koji ljudi zaborave kada tunel opisuju kao pokrivanje cijelog puta.

Korak 6: odredite opseg tokova koji su doista zaštićeni

Provjerite klijentsku politiku za izuzete aplikacije, razdvojeno tuneliranje i obitelji adresa. Izuzeta aplikacija, neobrađena obitelj adresa ili prekinuta sesija mogu koristiti posve drugi put, a ikona stanja vam neće reći koji je tok kuda otišao.

Zapišite zapis kao četiri činjenice: pristupna mreža, autentificirana VPN krajnja točka, krajnja točka aplikacije i promet koji je doista pokriven. Taj zapis ostaje istinit i kada ikone lažu.