HTTPS, DoH, ECH en 'n VPN versteek verskillende dinge
Elke meganisme verwyder 'n ander waarnemer uit die pad, en nie een verwyder almal nie. Vergelyk wat beskerm word voordat jy nog 'n tonnel byvoeg.
Om 'n VPN by 'n blaaier te voeg wat reeds HTTPS, DoH en ECH gebruik, stapel nie drie beskermings in een nie; dit verander wie in 'n posisie is om wat waar te neem. Elke meganisme verwyder 'n ander party uit 'n ander uitruiling, en elkeen laat iets agter. Die nuttige vraag is nie watter een die sterkste is nie, maar watter waarnemer jy probeer verwyder, want die antwoord bepaal of 'n tonnel hoegenaamd help. 'n Vergelyking van die oorblywende waarnemers is nuttiger as 'n kenmerklys.
Vier meganismes, vier waarnemers
Begin met die vier verhoudings en die party wat elkeen ontwerp is om buite te hou. Die tabel hieronder is die een wat ek in hersiening gebruik, want dit dwing die gesprek om 'n waarnemer te noem in plaas van 'n tegnologie.
| Meganisme | Verhouding wat dit beskerm | Waarnemer wat dit nie verwyder nie |
|---|---|---|
| HTTPS | Die toepassing se TLS-verbinding met sy genoemde eindpunt | Die toegangsnetwerk sien steeds die bestemmingsadres |
| DoH | Die DNS-uitruiling met die gekose HTTPS-oplosser | Daardie oplosser sien elke navraag |
| ECH | Die sensitiewe ClientHello-velde, waar ondersteun en aanvaar | Bestemmingsadresse, en DNS as dit nie gedek is nie |
| VPN | Gedekte pakkette wat na die VPN-portuur gedra word | Die VPN-operateur sien die bestemmings |
Die tabel se waarde is wat dit weier om te sê. Dit rangskik nie die meganismes nie, en dit beweer nie dat al vier saam al vier waarnemers verwyder nie. 'n Wolkwebtoepassing wat reeds TLS by sy eie rand beëindig, is vir daardie uitruiling teen die toegangsnetwerk beskerm, en geen tonnel verbeter daardie spesifieke eienskap nie. Wat 'n tonnel kan verander, is watter netwerk die buitenste pakkette sien en watter operateur nou op die pad is.
Wat HTTPS werklik verberg
HTTPS beskerm die toepassing-uitruiling tussen die kliënt en die eindpunt wat die sertifikaat noem. Dit verberg nie die bestemmingsadres nie, dit verberg nie dat 'n verbinding plaasgevind het nie, en dit verberg nie die naam nie, tensy ECH in die spel is. Sertifikaatvalidering is deel van die beskerming, nie 'n formaliteit daaromheen nie.
'n VPN hoef nie daardie TLS te beëindig nie, en 'n deurstuur-uitgang moet nie as die toepassing se geauthentiseerde eindpunt behandel word nie. As 'n ontwerp die uitgang laat ontsyfer, is dit 'n ander argitektuur met 'n ander vertrouensverklaring.
Wat DoH en ECH verskuif, en wat hulle laat
DoH verskuif die DNS-uitruiling na 'n HTTPS-oplosser, wat beteken daardie oplosser sien jou navrae in plaas van die plaaslike netwerk se oplosser. Dit is 'n werklike verandering en 'n begrensde een: die gekose oplosser word 'n party wat navrae kan korreleer met die adresse waarmee jy daarna verbind, wat presies die korrelasie is wat RFC 8484 bespreek. Geënkripteerde vervoer maak nie die ontvanger onbewus van die navrae wat hy beantwoord nie.
ECH beskerm die sensitiewe deel van die ClientHello sodat 'n passiewe waarnemer op die pad nie die beoogde bedienernaam kan lees nie. Dit hang af van 'n ondersteunende ontplooiing en van aanvaarding deur die bediener en die netwerk, en dit laat ander kanale in plek: bestemmingsadresse bly sigbaar, en DNS kan die naam steeds onthul.
Die ander ding wat ECH nie doen nie, is om homself te bewys. 'n Verbinding wat TLS 1.3 gebruik, is nie bewys dat ECH aanvaar is nie, en 'n blaaier wat ECH aanbied aan 'n bediener wat dit nie ondersteun nie, val stilweg terug. Kontroleer die verbinding se werklike toestand eerder as om dit uit die protokolweergawe af te lei.
Dit is die algemene vorm van hierdie hele vergelyking: elke meganisme word op sy eie laag geverifieer, en nie een daarvan word deur 'n ander se sukses geverifieer nie.
Wat 'n VPN verskuif, en wat dit byvoeg
Wanneer webverkeer 'n VPN binnegaan, sien die toegangsnetwerk die buitenste uitruiling met die VPN-portuur in plaas van die individuele toepassingsverbindings, en die VPN-operateur neem 'n posisie op die verder pad in. Dit is 'n verskuiwing van die vertrouensgrens, nie die verwydering van een nie. Die operateur sien nou watter bestemmings jy bereik, selfs al bly die inhoud end-tot-end geënkripteer. Of dit 'n verbetering is, hang heeltemal daarvan af watter van daardie twee partye jy minder vertrou.
Hou die toepassing se HTTPS en die beoogde oplosser-beskerming in plek terwyl jy dit doen. 'n Tonnel is nie 'n plaasvervanger vir sertifikaatvalidering nie, en om 'n oplosser se beskermings af te skakel omdat die verkeer deur 'n tonnel gaan, verwyder 'n beheer sonder om dit te vervang.
Kies vanuit die vereiste
Stel die werklike vereiste, want dit is wat die ontwerp bepaal. Toelating tot privaat hulpbronne, 'n bestuurde uitgangspunt, 'n spesifieke toegangsnetwerk-bedreiging en toestelmagtiging is vier verskillende behoeftes met vier verskillende antwoorde, en 'n maatskappy wat slegs openbare wolktoepassings gebruik, moet steeds magtiging en datahantering besluit. Ekstra lae kan gepas wees sonder om onderling verwisselbaar te wees. 'n Meer ingewikkelde verbinding is nie 'n anonimiteitsmeting nie, en dit is nie op sigself 'n sekuriteitsargument nie.
Die ECH-spesifikasie, RFC 9849, is die moeite werd om te lees vir wat die meganisme dek en nie dek nie, en dit is eerlik oor die kanale wat dit alleen laat. Vergelyk die meganismes volgens die waarnemer wat elkeen verwyder, skryf daardie waarnemer neer, en besluit dan of die ekstra laag dit aanspreek. As die antwoord is dat die waarnemer reeds buite jou bedreigingsmodel was, is die tonnel koste sonder voordeel.