携帯網のVPNトンネル内で通信事業者が見えるもの

VPNを運ぶ携帯接続には独立した二つの保護があり、モバイルのプライバシーに関する混乱した主張のほとんどは、この二つを混同することから生まれる。無線網は自身のアクセスとシグナリングを保護する。VPNクライアントはゲートウェイを認証し、そのゲートウェイまでの通信を保護する。どちらも他方の層ではなく、事業者が携帯アクセスの保護を終端するからといってVPNのピアになるわけではない。

手順1: 二つの関係を描く

一方には端末と携帯網がある。登録、無線ベアラ、そしてアクセス規格が定める保護である。もう一方にはVPNクライアントと特定の遠隔ゲートウェイがあり、独自の認証と独自の鍵を持つ。

端点が違い、鍵素材が違い、故障の仕方も違う。一本ではなく二本の線として描く。

手順2: それぞれがどこで終わるかを記す

トンネルモードのIPsecトンネルでは、クライアントが内側のパケットを新しい外側のIPパケットで包み、網はその外側ヘッダーを転送する。 ESPの仕様 はそのカプセル化を直接説明している。ペイロードは保護され、経路が見るのは外側のアドレス指定である。

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

経路上のどの転送点でもペイロードは復号されない。処理は設定された端点で行われ、だからこそ二つの保護境界は一つに溶け合わない。

手順3: 事業者がなおできることを列挙する

アクセス事業者は外側の宛先、時刻、量を見ることができる。また経路制御、フィルタリング、損失、切断によって配送に影響を与えられる。したがって、内容をまったく復号しなくても、遅いトンネルや失敗するトンネルは十分にあり得る。遅延の急増や強制的な再接続も同じ範疇である。

観測と妨害は現実の能力である。内側のペイロードを読む能力とは同じではない。

手順4: 前提を正直に保つ

この結論は、信頼する端点の間で、対応済みで正しく設定されたトンネルについて成り立つ。侵害された端末、盗まれた資格情報、古い暗号スイート、あるいはそれ自体が悪意あるゲートウェイでは成り立たない。予期しない証明書警告を無害にするものでもない。それは通り過ぎてよいものではなく、独立した事案として扱う。これらはいずれも暗号ではなく前提を壊す。

警告を消すためにピア検証や証明書検証を外すことは、依存していた保護の関係を変えてしまう。

手順5: ゲートウェイの先までデータを追う

VPNの保護は設定された端点で終わる。その後に通信がどうなるかは、その層で動くものだけが守る。だからこそ、適切に検証されたHTTPSセッションはトンネルの後でも重要である。ゲートウェイから先へ送られる平文には、それ自体の評価が要る。

トンネルが経路全体を覆うと説明するとき、人々が忘れるのはこの部分である。

手順6: 実際に保護される通信の範囲を定める

除外アプリ、分割トンネル、アドレスファミリについてクライアントポリシーを確認する。除外されたアプリ、扱われていないアドレスファミリ、切断されたセッションはまったく別の経路を使い得るし、状態アイコンはどの通信がどこへ行ったかを教えてくれない。

記録は四つの事実として書く。アクセス網、認証されたVPN端点、アプリの端点、そして実際に保護された通信である。アイコンが嘘をついても、この記録は正しいままだ。