Čo operátor vidí vnútri mobilného tunela VPN

Mobilné pripojenie prenášajúce VPN má dve nezávislé ochrany a takmer každé zmätené tvrdenie o mobilnom súkromí vzniká ich zlievaním. Rádiová sieť chráni vlastný prístup a signalizáciu. Klient VPN overuje bránu a chráni prevádzku do tejto brány. Ani jedna nie je vrstvou tej druhej a operátor sa nestáva partnerom VPN len preto, že ukončuje ochranu mobilného prístupu.

Krok 1: nakreslite oba vzťahy

Na jednej strane je telefón a mobilná sieť: registrácia, rádiové nosiče a akákoľvek ochrana, ktorú určuje norma prístupu. Na druhej strane je klient VPN a konkrétna vzdialená brána s vlastným overovaním a vlastnými kľúčmi.

Rôzne koncové body, iný kľúčový materiál, iné režimy zlyhania. Nakreslite ich ako dve čiary, nie jednu.

Krok 2: označte, kde sa každá končí

Pri tuneli IPsec v tunelovom režime klient zabalí vnútorný paket do nového vonkajšieho IP paketu a sieť preposiela túto vonkajšiu hlavičku. Špecifikácia ESP opisuje toto zapúzdrenie priamo: užitočné zaťaženie je chránené, vonkajšie adresovanie je to, čo cesta vidí.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Nič pozdĺž cesty nedešifruje užitočné zaťaženie na smerovanom skoku. Spracovanie prebieha v nakonfigurovanom koncovom bode, a preto sa obe ochranné hranice nezlievajú do jednej.

Krok 3: vymenujte, čo operátor ešte môže urobiť

Prístupový operátor vidí vonkajšie destinácie, časovanie a objem. Môže tiež ovplyvniť doručenie cez smerovanie, filtrovanie, stratu alebo prerušené pripojenie. Pomalý alebo neúspešný tunel je preto úplne možný bez akéhokoľvek dešifrovania jeho obsahu. Špičky latencie a vynútené opätovné pripojenia patria do tej istej kategórie.

Pozorovanie a narušenie sú skutočné schopnosti. Nie sú tou istou schopnosťou ako čítanie vnútorného užitočného zaťaženia.

Krok 4: udržte predpoklady čestné

Záver platí pre podporovaný, správne nakonfigurovaný tunel medzi koncovými bodmi, ktorým dôverujete. Neplatí pre kompromitovaný telefón, ukradnuté prihlasovacie údaje, zastaranú sadu šifier ani bránu, ktorá je sama zlomyseľná. Ani nerobí nečakané varovanie o certifikáte neškodným; berte ho ako samostatný incident, nie ako niečo, čo sa preklikne. Každý z týchto prípadov láme predpoklad, nie kryptografiu.

Odstránenie overovania partnera alebo certifikátu, aby varovanie zmizlo, mení ochranný vzťah, na ktorý ste sa spoliehali.

Krok 5: sledujte dáta za bránou

Ochrana VPN sa končí v nakonfigurovanom koncovom bode. To, čo prevádzka urobí ďalej, je chránené len tým, čo beží na tejto vrstve, a preto je správne overená relácia HTTPS dôležitá aj po tuneli. Čistý text odoslaný ďalej z brány potrebuje vlastné posúdenie.

To je časť, na ktorú ľudia zabúdajú, keď tunel opisujú ako pokrývajúci celú cestu.

Krok 6: vymedzte toky, ktoré sú skutočne chránené

Skontrolujte klientsku politiku pre vylúčené aplikácie, rozdelené tunelovanie a rodiny adries. Vylúčená aplikácia, nespracovaná rodina adries alebo odpojená relácia môžu použiť úplne inú cestu a ikona stavu vám nepovie, ktorý tok kam išiel.

Napíšte záznam ako štyri fakty: prístupová sieť, overený koncový bod VPN, koncový bod aplikácie a prevádzka, ktorá je skutočne pokrytá. Ten záznam zostáva pravdivý, aj keď ikony klamú.