Ce vede operatorul în interiorul unui tunel VPN celular

O conexiune celulară care transportă un VPN are două protecții independente, iar aproape fiecare afirmație confuză despre confidențialitatea mobilă provine din unirea lor. Rețeaua radio își protejează propriul acces și semnalizarea. Clientul VPN autentifică o poartă și protejează traficul către acea poartă. Niciuna nu este un strat al celeilalte, iar operatorul nu devine partener VPN doar pentru că termină protecția accesului celular.

Pasul 1: desenați ambele relații

Pe o parte se află telefonul și rețeaua mobilă: înregistrarea, purtătorii radio și orice protecție specificată de standardul de acces. Pe cealaltă parte se află clientul VPN și o anumită poartă la distanță, cu propria autentificare și propriile chei.

Puncte finale diferite, material de cheie diferit, moduri de eșec diferite. Desenați-le ca două linii, nu ca una singură.

Pasul 2: marcați unde se termină fiecare

Pentru un tunel IPsec în modul tunel, clientul împachetează pachetul interior într-un pachet IP exterior nou, iar rețeaua transmite acel antet exterior. Specificația ESP descrie direct acea încapsulare: conținutul este protejat, adresarea exterioară este ceea ce vede calea.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Nimic de-a lungul căii nu decriptează conținutul la un salt rutat. Procesarea are loc la punctul final configurat și de aceea cele două granițe de protecție nu se contopesc într-una singură.

Pasul 3: enumerați ce poate face operatorul în continuare

Un operator de acces vede destinații externe, temporizare și volum. Poate afecta și livrarea prin rutare, filtrare, pierdere sau o conexiune întreruptă. Un tunel lent sau eșuat este deci perfect posibil fără nicio decriptare a conținutului. Vârfurile de latență și reconectările forțate intră în aceeași categorie.

Observarea și perturbarea sunt capacități reale. Nu sunt aceeași capacitate cu citirea conținutului interior.

Pasul 4: păstrați ipotezele oneste

Concluzia este valabilă pentru un tunel susținut și configurat corect între puncte finale în care aveți încredere. Nu supraviețuiește unui telefon compromis, unor acreditări furate, unei suite de cifrare învechite sau unei porți care este ea însăși răuvoitoare. Nu face nici un avertisment neașteptat de certificat inofensiv; tratați-l ca pe un incident propriu și nu ca pe ceva de ignorat printr-un clic. Fiecare dintre acestea încalcă o ipoteză, nu criptografia.

Eliminarea validării partenerului sau a certificatului pentru ca un avertisment să dispară schimbă relația de protecție pe care v-ați bazat.

Pasul 5: urmăriți datele dincolo de poartă

Protecția VPN se termină la punctul final configurat. Ceea ce face traficul mai departe este protejat doar de ceea ce rulează la acel strat, motiv pentru care o sesiune HTTPS validată corect rămâne importantă după tunel. Textul clar trimis mai departe de la poartă are nevoie de propria evaluare.

Aceasta este partea pe care oamenii o uită când descriu un tunel ca acoperind întreaga cale.

Pasul 6: delimitați fluxurile care sunt cu adevărat protejate

Verificați politica clientului pentru aplicații excluse, tunelare divizată și familii de adrese. O aplicație exclusă, o familie de adrese netratată sau o sesiune deconectată pot folosi cu totul altă cale, iar o pictogramă de stare nu vă va spune care flux a mers unde.

Scrieți înregistrarea ca patru fapte: rețeaua de acces, punctul final VPN autentificat, punctul final al aplicației și traficul acoperit efectiv. Acea înregistrare rămâne adevărată chiar și când pictogramele mint.