Co operator widzi wewnątrz komórkowego tunelu VPN

Połączenie komórkowe przenoszące VPN ma dwie niezależne ochrony, a niemal każde błędne twierdzenie o prywatności mobilnej wynika z ich łączenia. Sieć radiowa chroni własny dostęp i sygnalizację. Klient VPN uwierzytelnia bramę i chroni ruch do tej bramy. Żadna z nich nie jest warstwą drugiej, a operator nie staje się równorzędnym punktem VPN tylko dlatego, że kończy ochronę dostępu komórkowego.

Krok 1: narysuj obie zależności

Po jednej stronie jest telefon i sieć komórkowa: rejestracja, nośniki radiowe i wszelka ochrona, jaką przewiduje standard dostępu. Po drugiej stronie jest klient VPN i konkretna zdalna brama, z własnym uwierzytelnianiem i własnymi kluczami.

Różne punkty końcowe, inny materiał klucza, inne tryby awarii. Narysuj je jako dwie linie, a nie jedną.

Krok 2: zaznacz, gdzie każda z nich się kończy

W przypadku tunelu IPsec w trybie tunelowym klient opakowuje pakiet wewnętrzny w nowy zewnętrzny pakiet IP, a sieć przekazuje ten zewnętrzny nagłówek. Specyfikacja ESP opisuje to kapsułkowanie wprost: ładunek jest chroniony, a adresowanie zewnętrzne to wszystko, co widzi ścieżka.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Nic na ścieżce nie odszyfrowuje ładunku na trasowanym przeskoku. Przetwarzanie odbywa się w skonfigurowanym punkcie końcowym i dlatego obie granice ochrony nie zlewają się w jedną.

Krok 3: wypisz, co operator nadal może zrobić

Operator dostępu widzi zewnętrzne cele, czasy i objętość. Może też wpływać na dostarczanie przez trasowanie, filtrowanie, utratę pakietów lub zerwane połączenie. Powolny lub nieudany tunel jest więc całkowicie możliwy bez jakiegokolwiek odszyfrowania jego zawartości. Skoki opóźnień i wymuszone ponowne połączenia należą do tej samej kategorii.

Obserwacja i zakłócanie to realne możliwości. Nie są tą samą możliwością co czytanie wewnętrznego ładunku.

Krok 4: zachowaj uczciwość założeń

Wniosek obowiązuje dla obsługiwanego, poprawnie skonfigurowanego tunelu między zaufanymi punktami końcowymi. Nie przetrwa przejętego telefonu, skradzionych danych logowania, przestarzałego zestawu szyfrów ani bramy, która sama jest złośliwa. Nie czyni też niespodziewanego ostrzeżenia o certyfikacie nieszkodliwym; traktuj je jako osobny incydent, a nie coś do kliknięcia. Każdy z tych przypadków łamie założenie, a nie kryptografię.

Usunięcie walidacji peera lub certyfikatu, aby ostrzeżenie zniknęło, zmienia relację ochrony, na której polegałeś.

Krok 5: podążaj za danymi poza bramę

Ochrona VPN kończy się w skonfigurowanym punkcie końcowym. To, co ruch robi dalej, jest chronione tylko przez to, co działa na tej warstwie, dlatego poprawnie zweryfikowana sesja HTTPS nadal ma znaczenie po tunelu. Tekst jawny wysyłany dalej z bramy wymaga własnej oceny.

To jest część, o której ludzie zapominają, opisując tunel jako obejmujący całą ścieżkę.

Krok 6: określ zakres przepływów, które są faktycznie chronione

Sprawdź politykę klienta pod kątem wykluczonych aplikacji, tunelowania dzielonego i rodzin adresów. Wykluczona aplikacja, nieobsługiwana rodzina adresów lub rozłączona sesja mogą korzystać zupełnie inną ścieżką, a ikona stanu nie powie ci, który przepływ gdzie trafił.

Zapisz zapis jako cztery fakty: sieć dostępu, uwierzytelniony punkt końcowy VPN, punkt końcowy aplikacji i ruch faktycznie objęty ochroną. Ten zapis pozostaje prawdziwy, nawet gdy ikony kłamią.