Що оператор бачить усередині стільникового тунелю VPN

Стільникове з'єднання, що несе VPN, має два незалежні захисти, і майже кожне плутане твердження про мобільну приватність походить від їх змішування. Радіомережа захищає власний доступ і сигналізацію. Клієнт VPN автентифікує шлюз і захищає трафік до цього шлюзу. Жоден не є рівнем іншого, і оператор не стає одноранговим вузлом VPN лише тому, що завершує захист стільникового доступу.

Крок 1: намалюйте обидва зв'язки

З одного боку — телефон і мобільна мережа: реєстрація, радіонесучі та будь-який захист, передбачений стандартом доступу. З іншого боку — клієнт VPN і конкретний віддалений шлюз із власною автентифікацією та власними ключами.

Різні кінцеві точки, різний ключовий матеріал, різні режими відмови. Малюйте їх як дві лінії, а не одну.

Крок 2: позначте, де закінчується кожен

Для тунелю IPsec у тунельному режимі клієнт загортає внутрішній пакет у новий зовнішній IP-пакет, і мережа пересилає цей зовнішній заголовок. Специфікація ESP описує це інкапсулювання безпосередньо: корисне навантаження захищене, зовнішня адресація — це те, що бачить шлях.

phone -- cellular access protection -- radio network
phone -- ESP outer packet ------> office gateway -- inner traffic

Ніщо на шляху не розшифровує корисне навантаження на маршрутизованому вузлі. Обробка відбувається на налаштованій кінцевій точці, тому дві межі захисту не зливаються в одну.

Крок 3: перелічіть, що оператор усе ще може робити

Оператор доступу бачить зовнішні призначення, час і обсяг. Він також може впливати на доставку через маршрутизацію, фільтрацію, втрати або розірване з'єднання. Тому повільний або невдалий тунель цілком можливий без будь-якого розшифрування його вмісту. Стрибки затримки та примусові повторні підключення належать до тієї ж категорії.

Спостереження і порушення — реальні можливості. Це не та сама можливість, що читання внутрішнього корисного навантаження.

Крок 4: зберігайте припущення чесними

Висновок чинний для підтримуваного, правильно налаштованого тунелю між кінцевими точками, яким ви довіряєте. Він не витримує скомпрометованого телефона, викрадених облікових даних, застарілого набору шифрів або шлюзу, який сам зловмисний. Він також не робить несподіване попередження про сертифікат безпечним; ставтеся до нього як до окремого інциденту, а не як до того, що можна проігнорувати кліком. Кожен із цих випадків ламає припущення, а не криптографію.

Видалення перевірки партнера або сертифіката, щоб попередження зникло, змінює захисні відносини, на які ви покладалися.

Крок 5: простежте дані за шлюз

Захист VPN закінчується на налаштованій кінцевій точці. Те, що трафік робить далі, захищене лише тим, що працює на цьому рівні, тому правильно перевірений сеанс HTTPS важливий і після тунелю. Відкритий текст, відправлений далі зі шлюзу, потребує власної оцінки.

Це та частина, яку люди забувають, коли описують тунель як такий, що охоплює весь шлях.

Крок 6: визначте потоки, які справді захищені

Перевірте клієнтську політику щодо виключених програм, роздільного тунелювання та сімейств адрес. Виключена програма, необроблене сімейство адрес або відключений сеанс можуть використовувати зовсім інший шлях, а значок стану не скаже, який потік куди пішов.

Запишіть запис як чотири факти: мережа доступу, автентифікована кінцева точка VPN, кінцева точка програми та фактично охоплений трафік. Цей запис залишається правдивим, навіть коли значки брешуть.