Šta operater vidi unutar ćelijskog VPN tunela

Ćelijska veza koja nosi VPN ima dve nezavisne zaštite, i skoro svaka zbrkana tvrdnja o mobilnoj privatnosti dolazi od njihovog spajanja. Radio mreža štiti sopstveni pristup i signalizaciju. VPN klijent autentifikuje gejtvej i štiti saobraćaj do tog gejtveja. Nijedna nije sloj druge, i operater ne postaje VPN partner samo zato što završava zaštitu ćelijskog pristupa.

Korak 1: nacrtajte oba odnosa

Sa jedne strane su telefon i mobilna mreža: registracija, radio nosioci i bilo kakva zaštita koju propisuje standard pristupa. Sa druge strane su VPN klijent i određeni udaljeni gejtvej, sa sopstvenom autentifikacijom i sopstvenim ključevima.

Različite krajnje tačke, različit ključni materijal, različiti režimi otkaza. Nacrtajte ih kao dve linije umesto jedne.

Korak 2: označite gde se svaka završava

Za IPsec tunel u tunelskom režimu, klijent umotava unutrašnji paket u novi spoljašnji IP paket, a mreža prosleđuje to spoljašnje zaglavlje. ESP specifikacija opisuje to inkapsuliranje direktno: korisni teret je zaštićen, a spoljašnje adresiranje je ono što put vidi.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Ništa duž puta ne dekriptuje korisni teret na rutiranom hopu. Obrada se dešava na konfigurisanoj krajnjoj tački, zbog čega se dve zaštitne granice ne stapaju u jednu.

Korak 3: navedite šta operater još može da uradi

Pristupni operater može da vidi spoljašnje destinacije, vreme i obim. Može i da utiče na dostavu kroz rutiranje, filtriranje, gubitak ili prekinutu vezu. Zato je spor ili neuspeo tunel potpuno moguć bez ikakvog dekriptovanja njegovog sadržaja. Skokovi latencije i prinudna ponovna povezivanja spadaju u istu kategoriju.

Posmatranje i remećenje su stvarne sposobnosti. One nisu ista sposobnost kao čitanje unutrašnjeg korisnog tereta.

Korak 4: održite pretpostavke iskrenim

Zaključak važi za podržan, ispravno konfigurisan tunel između krajnjih tačaka kojima verujete. On ne preživljava kompromitovan telefon, ukradene akreditive, zastareo skup šifri ili gejtvej koji je sam zlonameran. Takođe ne čini bezopasnim neočekivano upozorenje o sertifikatu; tretirajte ga kao zaseban incident, a ne kao nešto što se preskače klikom. Svako od toga krši pretpostavku, a ne kriptografiju.

Uklanjanje provere partnera ili sertifikata da bi upozorenje nestalo menja zaštitni odnos na koji ste se oslanjali.

Korak 5: pratite podatke iza gejtveja

VPN zaštita se završava na svojoj konfigurisanoj krajnjoj tački. Ono što saobraćaj uradi dalje zaštićeno je samo onim što radi na tom sloju, zbog čega je ispravno validirana HTTPS sesija i dalje važna posle tunela. Čist tekst poslat dalje od gejtveja zahteva sopstvenu procenu.

To je deo koji ljudi zaboravljaju kada tunel opisuju kao da pokriva ceo put.

Korak 6: ograničite tokove koji su zaista zaštićeni

Proverite klijentsku politiku za izuzete aplikacije, podeljeni tunel i familije adresa. Izuzeta aplikacija, neobrađena familija adresa ili prekinuta sesija mogu koristiti sasvim drugi put, a ikona statusa vam neće reći koji je tok gde otišao.

Zapišite zapis kao četiri činjenice: pristupna mreža, autentifikovana VPN krajnja tačka, krajnja tačka aplikacije i saobraćaj koji je zaista pokriven. Taj zapis ostaje istinit čak i kada ikone lažu.