Ką operatorius mato mobiliojo VPN tunelio viduje

Mobilusis ryšys, pernešantis VPN, turi dvi nepriklausomas apsaugas, ir beveik kiekvienas painus teiginys apie mobilųjį privatumą kyla jas sujungus. Radijo tinklas saugo savo pačio prieigą ir signalizaciją. VPN klientas autentifikuoja šliuzą ir saugo srautą iki to šliuzo. Nė viena nėra kitos sluoksnis, ir operatorius netampa VPN partneriu vien todėl, kad užbaigia mobiliojo prieigos apsaugą.

1 žingsnis: nubrėžkite abu ryšius

Vienoje pusėje yra telefonas ir mobilusis tinklas: registracija, radijo nešikliai ir apsauga, kurią nustato prieigos standartas. Kitoje pusėje yra VPN klientas ir konkretus nuotolinis šliuzas su savo autentifikavimu ir savo raktais.

Skirtingi galiniai taškai, skirtinga raktų medžiaga, skirtingi gedimo būdai. Brėžkite juos kaip dvi linijas, o ne vieną.

2 žingsnis: pažymėkite, kur kiekvienas baigiasi

Tunelio režimo IPsec tunelyje klientas įvynioja vidinį paketą į naują išorinį IP paketą, o tinklas persiunčia tą išorinę antraštę. ESP specifikacija tiesiogiai aprašo tą inkapsuliavimą: naudingoji apkrova apsaugota, o išorinis adresavimas yra tai, ką mato maršrutas.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Niekas kelyje neiššifruoja naudingosios apkrovos maršrutizuotame šuolyje. Apdorojimas vyksta sukonfigūruotame galiniame taške, todėl dvi apsaugos ribos nesusilieja į vieną.

3 žingsnis: išvardykite, ką operatorius dar gali

Prieigos operatorius mato išorinius tikslus, laiką ir apimtį. Jis taip pat gali paveikti pristatymą maršrutizavimu, filtravimu, praradimu ar nutrūkusiu ryšiu. Todėl lėtas ar nepavykęs tunelis visiškai įmanomas be jokio jo turinio iššifravimo. Vėlavimo šuoliai ir priverstiniai prisijungimai iš naujo priklauso tai pačiai kategorijai.

Stebėjimas ir trikdymas yra tikros galimybės. Jos nėra ta pati galimybė kaip vidinės apkrovos skaitymas.

4 žingsnis: laikykite prielaidas sąžiningas

Išvada galioja palaikomam, teisingai sukonfigūruotam tuneliui tarp galinių taškų, kuriais pasitikite. Ji neišlieka su pažeistu telefonu, pavogtais prisijungimo duomenimis, pasenusiu šifrų rinkiniu ar pačiu piktybiniu šliuzu. Ji taip pat nepadaro nekenksmingo netikėto sertifikato įspėjimo; traktuokite jį kaip atskirą incidentą, o ne kaip ką nors, ką reikia praleisti paspaudimu. Kiekvienas iš jų sulaužo prielaidą, o ne kriptografiją.

Partnerio ar sertifikato tikrinimo pašalinimas, kad įspėjimas išnyktų, pakeičia apsaugos santykį, kuriuo rėmėtės.

5 žingsnis: sekite duomenis už šliuzo

VPN apsauga baigiasi jos sukonfigūruotame galiniame taške. Tai, ką srautas daro toliau, saugo tik tai, kas veikia tame sluoksnyje, todėl tinkamai patvirtinta HTTPS sesija išlieka svarbi ir po tunelio. Atvirasis tekstas, siunčiamas iš šliuzo toliau, reikalauja savo vertinimo.

Tai ta dalis, kurią žmonės pamiršta, kai tunelį apibūdina kaip apimantį visą kelią.

6 žingsnis: apibrėžkite tikrai apsaugotų srautų apimtį

Patikrinkite kliento politiką dėl neįtrauktų programų, padalinto tunelio ir adresų šeimų. Neįtraukta programa, neapdorota adresų šeima ar atjungta sesija gali naudoti visiškai kitą kelią, o būsenos piktograma nepasakys, kuris srautas kur nuėjo.

Įrašykite įrašą kaip keturis faktus: prieigos tinklą, autentifikuotą VPN galinį tašką, programos galinį tašką ir faktiškai apsaugotą srautą. Šis įrašas lieka teisingas net kai piktogramos meluoja.