Шта оператер види унутар ћелијског VPN тунела

Ћелијска веза која носи VPN има две независне заштите, и скоро свака збркана тврдња о мобилној приватности долази од њиховог спајања. Радио мрежа штити сопствени приступ и сигнализацију. VPN клијент аутентификује гејтвеј и штити саобраћај до тог гејтвеја. Ниједна није слој друге, и оператер не постаје VPN партнер само зато што завршава заштиту ћелијског приступа.

Корак 1: нацртајте оба односа

Са једне стране су телефон и мобилна мрежа: регистрација, радио носиоци и било каква заштита коју прописује стандард приступа. Са друге стране су VPN клијент и одређени удаљени гејтвеј, са сопственом аутентификацијом и сопственим кључевима.

Различите крајње тачке, различит кључни материјал, различити режими отказа. Нацртајте их као две линије уместо једне.

Корак 2: означите где се свака завршава

За IPsec тунел у тунелском режиму, клијент умотава унутрашњи пакет у нови спољашњи IP пакет, а мрежа прослеђује то спољашње заглавље. ESP спецификација описује то инкапсулирање директно: корисни терет је заштићен, а спољашње адресирање је оно што пут види.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Ништа дуж пута не декриптује корисни терет на рутираном хопу. Обрада се дешава на конфигурисаној крајњој тачки, због чега се две заштитне границе не стапају у једну.

Корак 3: наведите шта оператер још може да уради

Приступни оператер може да види спољашње дестинације, време и обим. Може и да утиче на доставу кроз рутирање, филтрирање, губитак или прекинуту везу. Зато је спор или неуспео тунел потпуно могућ без икаквог декриптовања његовог садржаја. Скокови латенције и принудна поновна повезивања спадају у исту категорију.

Посматрање и ремећење су стварне способности. Оне нису иста способност као читање унутрашњег корисног терета.

Корак 4: одржите претпоставке искреним

Закључак важи за подржан, исправно конфигурисан тунел између крајњих тачака којима верујете. Он не преживљава компромитован телефон, украдене акредитиве, застарео скуп шифара или гејтвеј који је сам злонамеран. Такође не чини безазленим неочекивано упозорење о сертификату; третирајте га као засебан инцидент, а не као нешто што се прескаче кликом. Свако од тога крши претпоставку, а не криптографију.

Уклањање провере партнера или сертификата да би упозорење нестало мења заштитни однос на који сте се ослањали.

Корак 5: пратите податке иза гејтвеја

VPN заштита се завршава на својој конфигурисаној крајњој тачки. Оно што саобраћај уради даље заштићено је само оним што ради на том слоју, због чега је исправно валидирана HTTPS сесија и даље важна после тунела. Чист текст послат даље од гејтвеја захтева сопствену процену.

То је део који људи заборављају када тунел описују као да покрива цео пут.

Корак 6: ограничите токове који су заиста заштићени

Проверите клијентску политику за изузете апликације, подељени тунел и фамилије адреса. Изузета апликација, необрађена фамилија адреса или прекинута сесија могу користити сасвим други пут, а икона статуса вам неће рећи који је ток где отишао.

Запишите запис као четири чињенице: приступна мрежа, аутентификована VPN крајња тачка, крајња тачка апликације и саобраћај који је заиста покривен. Тај запис остаје истинит чак и када иконе лажу.