Hva operatøren ser inne i en mobil VPN-tunnel

En mobilforbindelse som bærer VPN har to uavhengige beskyttelser, og nesten hvert forvirrede påstand om mobil personvern kommer av å slå dem sammen. Radionettet beskytter sin egen tilgang og signalering. VPN-klienten autentiserer en gateway og beskytter trafikken til den gatewayen. Ingen av dem er et lag av den andre, og operatøren blir ikke VPN-motpart bare fordi den avslutter beskyttelsen av mobiltilgangen.

Trinn 1: tegn begge relasjonene

På den ene siden er telefonen og mobilnettet: registrering, radiobærere og den beskyttelsen tilgangsstandarden måtte spesifisere. På den andre siden er VPN-klienten og en bestemt ekstern gateway, med sin egen autentisering og sine egne nøkler.

Ulike endepunkter, ulikt nøkkelmateriale, ulike feilmoduser. Tegn dem som to linjer i stedet for én.

Trinn 2: marker hvor hver av dem slutter

For en IPsec-tunnel i tunnelmodus pakker klienten den indre pakken inn i en ny ytre IP-pakke, og nettverket videresender den ytre overskriften. ESP-spesifikasjonen beskriver den innkapslingen direkte: nyttelasten er beskyttet, og den ytre adresseringen er det banen ser.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Ingenting langs banen dekrypterer nyttelasten på et rutet hopp. Behandlingen skjer ved det konfigurerte endepunktet, og derfor faller ikke de to beskyttelsesgrensene sammen til én.

Trinn 3: list opp hva operatøren fortsatt kan gjøre

En tilgangsoperatør kan se ytre mål, timing og volum. Den kan også påvirke leveringen gjennom ruting, filtrering, tap eller en brutt forbindelse. En treg eller mislykket tunnel er derfor fullt mulig uten noen dekryptering av innholdet. Latensspisser og tvungne gjenoppkoblinger hører i samme kategori.

Observasjon og forstyrrelse er reelle evner. De er ikke den samme evnen som å lese den indre nyttelasten.

Trinn 4: hold forutsetningene ærlige

Konklusjonen gjelder for en støttet, riktig konfigurert tunnel mellom endepunkter du stoler på. Den overlever ikke en kompromittert telefon, stjålne legitimasjoner, en utdatert chiffersuite eller en gateway som selv er ondsinnet. Den gjør heller ikke en uventet sertifikatadvarsel ufarlig; behandle den som en egen hendelse og ikke som noe du klikker bort. Hver av disse bryter en forutsetning og ikke kryptografien.

Å fjerne motpart- eller sertifikatvalidering for å få en advarsel til å forsvinne endrer beskyttelsesforholdet du var avhengig av.

Trinn 5: følg dataene forbi gatewayen

VPN-beskyttelsen slutter ved sitt konfigurerte endepunkt. Det trafikken gjør videre, er bare beskyttet av det som kjører på det laget, og derfor er en riktig validert HTTPS-økt fortsatt viktig etter tunnelen. Klartekst som sendes videre fra gatewayen, trenger sin egen vurdering.

Dette er delen folk glemmer når de beskriver en tunnel som å dekke hele banen.

Trinn 6: avgrens strømmene som faktisk er beskyttet

Sjekk klientpolicyen for ekskluderte applikasjoner, delt tunnellering og adressefamilier. En ekskludert app, en adressefamilie som ikke håndteres, eller en frakoblet økt kan bruke en helt annen bane, og et statusikon vil ikke fortelle deg hvilken strøm som gikk hvor.

Skriv protokollen som fire fakta: aksessnettet, det autentiserte VPN-endepunktet, applikasjonsendepunktet og trafikken som faktisk dekkes. Den protokollen forblir sann selv når ikonene lyver.