Kaj operater vidi znotraj mobilnega tunela VPN

Mobilna povezava, ki prenaša VPN, ima dve neodvisni zaščiti, in skoraj vsaka zmedena trditev o mobilni zasebnosti izhaja iz njunega združevanja. Radijsko omrežje ščiti lasten dostop in signalizacijo. Odjemalec VPN overi prehod in ščiti promet do tega prehoda. Nobena ni plast druge in operater ne postane enakovredni partner VPN samo zato, ker zaključi zaščito mobilnega dostopa.

Korak 1: narišite oba odnosa

Na eni strani sta telefon in mobilno omrežje: registracija, radijski nosilci in kakršna koli zaščita, ki jo določa standard dostopa. Na drugi strani sta odjemalec VPN in določen oddaljeni prehod z lastno overitvijo in lastnimi ključi.

Različne končne točke, različen ključni material, različni načini odpovedi. Narišite jih kot dve črti, ne eno.

Korak 2: označite, kje se vsaka konča

Pri tunelu IPsec v tunelskem načinu odjemalec notranji paket ovije v nov zunanji paket IP, omrežje pa posreduje to zunanjo glavo. Specifikacija ESP neposredno opisuje to enkapsulacijo: koristna obremenitev je zaščitena, zunanje naslavljanje je tisto, kar pot vidi.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Nič vzdolž poti ne dešifrira koristne obremenitve na usmerjenem skoku. Obdelava poteka na konfigurirani končni točki, zato se obe zaščitni meji ne zlijeta v eno.

Korak 3: naštejte, kaj operater še lahko stori

Dostopni operater vidi zunanje cilje, čas in količino. Lahko tudi vpliva na dostavo prek usmerjanja, filtriranja, izgube ali prekinjene povezave. Počasen ali neuspešen tunel je zato povsem mogoč brez kakršnega koli dešifriranja njegove vsebine. Skoki zakasnitve in prisilna ponovna povezovanja spadajo v isto kategorijo.

Opazovanje in motenje sta resnični zmožnosti. Nista ista zmožnost kot branje notranje koristne obremenitve.

Korak 4: ohranite predpostavke poštene

Sklep velja za podprt, pravilno konfiguriran tunel med končnimi točkami, ki jim zaupate. Ne preživi kompromitiranega telefona, ukradenih poverilnic, zastarelega nabora šifer ali prehoda, ki je sam zlonameren. Prav tako ne naredi nepričakovanega opozorila o potrdilu neškodljivega; obravnavajte ga kot lasten incident in ne kot nekaj, kar se preskoči s klikom. Vsak od teh primerov zlomi predpostavko, ne kriptografije.

Odstranitev preverjanja partnerja ali potrdila, da opozorilo izgine, spremeni zaščitni odnos, na katerega ste se zanašali.

Korak 5: sledite podatkom onkraj prehoda

Zaščita VPN se konča na svoji konfigurirani končni točki. Kar promet stori naprej, je zaščiteno le s tistim, kar teče na tej plasti, zato je pravilno overjena seja HTTPS pomembna tudi po tunelu. Čisto besedilo, poslano naprej s prehoda, potrebuje lastno oceno.

To je del, ki ga ljudje pozabijo, ko tunel opisujejo kot da pokriva celotno pot.

Korak 6: omejite tokove, ki so dejansko zaščiteni

Preverite odjemalsko politiko za izključene aplikacije, razdeljeno tuneliranje in družine naslovov. Izključena aplikacija, neobravnavana družina naslovov ali prekinjena seja lahko uporabi povsem drugo pot, ikona stanja pa vam ne bo povedala, kateri tok je šel kam.

Zapišite zapis kot štiri dejstva: dostopno omrežje, overjena končna točka VPN, končna točka aplikacije in dejansko pokriti promet. Ta zapis ostane resničen tudi, ko ikone lažejo.