Hva mobiloperatøren ser inni en VPN-tunnel

En mobilforbindelse med VPN har to selvstendige beskyttelser, og nesten alle misforståtte påstander om mobil personvern skyldes at de blandes sammen. Radionettet beskytter egen tilgang og signalering. VPN-klienten autentiserer en gateway og beskytter trafikken fram til den gatewayen. Ingen av delene er et lag i den andre, og operatøren blir ikke VPN-motpart bare fordi den avslutter mobilbeskyttelsen.

Trinn 1: tegn begge forholdene

På én side står telefonen og mobilnettet: registrering, radiobærere og den beskyttelsen som tilgangsstandarden angir. På den andre står VPN-klienten og en bestemt ekstern gateway, med egen autentisering og egne nøkler.

Forskjellige endepunkter, forskjellig nøkkelmateriale, forskjellige feilmoduser. Tegn dem som to linjer, ikke én.

Trinn 2: merk hvor hver av dem tar slutt

For en IPsec-tunnel i tunnelmodus pakker klienten den indre pakken i en ny ytre IP-pakke, og nettverket sender den ytre overskriften videre. ESP-spesifikasjonen beskriver denne innkapslingen direkte: nyttelasten er beskyttet, mens den ytre adresseringen er det banen ser.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Ingen steder langs banen dekrypteres nyttelasten ved et rutet hopp. Behandlingen skjer ved det konfigurerte endepunktet, og det er derfor de to beskyttelsesgrensene ikke smelter sammen til én.

Trinn 3: list hva operatøren fortsatt kan gjøre

En operatør kan se ytre destinasjoner, tidspunkt og volum. Den kan også påvirke leveransen via ruting, filtrering, tap eller en brutt forbindelse. En langsom eller mislykket tunnel er altså fullt mulig uten at innholdet dekrypteres. Latenshopp og påtvungne gjenoppkoblinger hører til samme kategori.

Observasjon og forstyrrelse er reelle evner. De er ikke samme evne som å lese den indre nyttelasten.

Trinn 4: hold forutsetningene ærlige

Konklusjonen holder for en støttet og riktig konfigurert tunnel mellom endepunkter du har tillit til. Den tåler ikke en kompromittert telefon, stjålne påloggingsdata, en utdatert chiffersuite eller en gateway som selv er ondsinnet. Den gjør heller ikke en uventet sertifikatadvarsel ufarlig; behandle den som en egen hendelse, ikke som noe du klikker bort. Hver av disse bryter en forutsetning, ikke kryptografien.

Fjerner du motpart- eller sertifikatvalidering for å bli kvitt en advarsel, endrer du beskyttelsesforholdet du var avhengig av.

Trinn 5: følg dataene videre forbi gatewayen

VPN-beskyttelsen tar slutt ved sitt konfigurerte endepunkt. Det trafikken gjør etterpå, beskyttes bare av det som kjører på det laget, og derfor er en skikkelig validert HTTPS-økt fortsatt viktig etter tunnelen. Klartekst som sendes videre fra gatewayen, trenger en egen vurdering.

Dette er delen folk glemmer når de beskriver en tunnel som om den dekker hele banen.

Trinn 6: avgrens hvilke strømmer som faktisk er beskyttet

Sjekk klientpolicyen for ekskluderte apper, delt tunnellering og adressefamilier. En ekskludert app, en adressefamilie som ikke håndteres, eller en frakoblet økt kan bruke en helt annen bane, og et statusikon sier ikke hvilken strøm som gikk hvor.

Skriv protokollen som fire fakta: aksessnettet, det autentiserte VPN-endepunktet, applikasjonsendepunktet og trafikken som faktisk dekkes. Den protokollen er sann selv når ikonene lyver.