셀룰러 VPN 터널 안에서 통신사가 보는 것

VPN을 실은 셀룰러 연결에는 독립된 두 개의 보호가 있고, 모바일 프라이버시에 관한 거의 모든 혼란스러운 주장은 이 둘을 합치는 데서 나온다. 무선 네트워크는 자신의 접속과 신호를 보호한다. VPN 클라이언트는 게이트웨이를 인증하고 그 게이트웨이까지의 트래픽을 보호한다. 어느 것도 다른 쪽의 계층이 아니며, 통신사가 셀룰러 접속 보호를 종료한다고 해서 VPN 피어가 되는 것은 아니다.

1단계: 두 관계를 모두 그린다

한쪽에는 휴대폰과 이동통신망이 있다. 등록, 무선 베어러, 그리고 접속 표준이 규정하는 보호다. 다른 쪽에는 VPN 클라이언트와 특정 원격 게이트웨이가 있고, 고유한 인증과 고유한 키를 가진다.

끝점이 다르고 키 자료가 다르고 고장 방식이 다르다. 하나가 아니라 두 개의 선으로 그린다.

2단계: 각각이 어디서 끝나는지 표시한다

터널 모드 IPsec 터널에서 클라이언트는 안쪽 패킷을 새로운 바깥 IP 패킷으로 감싸고, 네트워크는 그 바깥 헤더를 전달한다. ESP 명세 는 그 캡슐화를 직접 설명한다. 페이로드는 보호되고, 경로가 보는 것은 바깥 주소 지정이다.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

경로상 어느 라우팅 지점에서도 페이로드는 복호화되지 않는다. 처리는 설정된 끝점에서 이루어지며, 그래서 두 보호 경계가 하나로 합쳐지지 않는다.

3단계: 통신사가 여전히 할 수 있는 일을 나열한다

접속 사업자는 바깥 목적지와 시각, 양을 볼 수 있다. 또한 라우팅, 필터링, 손실, 끊긴 연결을 통해 전달에 영향을 줄 수 있다. 따라서 느리거나 실패한 터널은 내용을 전혀 복호화하지 않고도 충분히 가능하다. 지연 급증과 강제 재접속도 같은 범주다.

관찰과 방해는 실제 능력이다. 안쪽 페이로드를 읽는 능력과 같지는 않다.

4단계: 가정을 정직하게 유지한다

이 결론은 신뢰하는 끝점 사이의 지원되고 올바르게 설정된 터널에 성립한다. 침해된 휴대폰, 탈취된 자격 증명, 낡은 암호 모음, 또는 그 자체로 악의적인 게이트웨이에서는 성립하지 않는다. 예기치 않은 인증서 경고를 무해하게 만들지도 않는다. 그것은 지나칠 일이 아니라 별도의 사건으로 다룬다. 이 각각은 암호가 아니라 가정을 깨뜨린다.

경고를 없애려고 피어 또는 인증서 검증을 제거하면 의존하던 보호 관계가 바뀐다.

5단계: 게이트웨이 너머까지 데이터를 따라간다

VPN 보호는 설정된 끝점에서 끝난다. 그다음 트래픽이 하는 일은 그 계층에서 실행되는 것만이 보호하며, 그래서 제대로 검증된 HTTPS 세션은 터널 이후에도 중요하다. 게이트웨이에서 더 보내는 평문은 자체 평가가 필요하다.

터널이 전체 경로를 덮는다고 설명할 때 사람들이 잊는 부분이 이것이다.

6단계: 실제로 보호되는 흐름의 범위를 정한다

제외된 앱, 분할 터널링, 주소 체계에 대해 클라이언트 정책을 확인한다. 제외된 앱, 처리되지 않은 주소 체계, 끊긴 세션은 전혀 다른 경로를 쓸 수 있고, 상태 아이콘은 어느 흐름이 어디로 갔는지 알려주지 않는다.

기록을 네 가지 사실로 적는다. 접속 네트워크, 인증된 VPN 끝점, 앱 끝점, 그리고 실제로 보호되는 트래픽이다. 아이콘이 거짓말을 해도 그 기록은 참으로 남는다.