HTTPS, DoH, ECH və VPN fərqli şeyləri gizlədir

Artıq HTTPS, DoH və ECH istifadə edən brauzerə VPN əlavə etmək üç müdafiəni birinə yığmır; kimin nəyi müşahidə edə biləcəyini dəyişir. Hər mexanizm fərqli mübadilədən fərqli bir tərəfi çıxarır və hər biri arxada nəsə buraxır. Faydalı sual hansının ən güclü olması deyil, hansı müşahidəçini çıxarmaq istədiyinizdir, çünki cavab tunelin ümumiyyətlə kömək edib-etmədiyini həll edir. Qalan müşahidəçilərin müqayisəsi xüsusiyyətlər siyahısından faydalıdır.

Dörd mexanizm, dörd müşahidəçi

Dörd əlaqə ilə və hər birinin kənarda saxlamaq üçün qurulduğu tərəflə başlayın. Aşağıdakı cədvəl rəydə istifadə etdiyim cədvəldir, çünki söhbəti texnologiya yerinə müşahidəçinin adını çəkməyə məcbur edir.

Cədvəlin dəyəri deməkdən imtina etdiyi şeydir. O, mexanizmləri sıralamır və dördünün hamısını istifadə etməyin dörd müşahidəçinin hamısını çıxardığını iddia etmir. TLS-i öz kənarında sonlandıran bulud veb tətbiqi həmin mübadilə üçün giriş şəbəkəsindən qorunur və heç bir tunel bu xüsusi xassəni yaxşılaşdırmır. Tunelin dəyişə biləcəyi şey xarici paketləri hansı şəbəkənin gördüyü və yolda hansı operatorun olduğudur.

HTTPS əslində nəyi gizlədir

HTTPS müştəri ilə sertifikatın adlandırdığı son nöqtə arasındakı tətbiq mübadiləsini qoruyur. O, təyinat ünvanını gizlətmir, bağlantının baş verdiyini gizlətmir və ECH işdə olmadıqca adı gizlətmir. Sertifikat yoxlaması müdafiənin bir hissəsidir, onun ətrafında formal prosedur deyil.

VPN həmin TLS-i sonlandırmağa məcbur deyil və yönləndirici çıxış tətbiqin autentifikasiya olunmuş son nöqtəsi kimi qəbul edilməməlidir. Əgər dizayn çıxışın şifrəni açmasını nəzərdə tutursa, bu, fərqli etimad bəyanatı olan fərqli arxitekturadır.

DoH və ECH nəyi köçürür, nəyi qoyub gedir

DoH DNS mübadiləsini HTTPS həlledicisinə köçürür, yəni həmin həlledici yerli şəbəkənin həlledicisi yerinə sizin sorğularınızı görür. Bu real və məhdud bir dəyişiklikdir: seçilmiş həlledici sorğuları sonradan qoşulduğunuz ünvanlarla əlaqələndirə bilən tərəfə çevrilir və bu, RFC 8484-ün müzakirə etdiyi əlaqələndirmənin özüdür. Şifrələnmiş nəqliyyat alıcını cavab verdiyi sorğulardan xəbərsiz etmir.

ECH ClientHello-nun həssas hissəsini qoruyur ki, yolda passiv müşahidəçi nəzərdə tutulan server adını oxuya bilməsin. Bu, dəstəkləyən yerləşdirmədən və serverlə şəbəkənin qəbulundan asılıdır və digər kanalları yerində saxlayır: təyinat ünvanları görünən qalır və DNS adı hələ də aşkar edə bilər.

ECH-in etmədiyi digər şey özünü sübut etməkdir. TLS 1.3 istifadə edən bağlantı ECH-in qəbul edildiyinə dəlil deyil və ECH-i dəstəkləməyən serverə təklif edən brauzer səssizcə geri çəkilir. Bağlantının faktiki vəziyyətini yoxlayın, protokol versiyasından nəticə çıxarmayın.

Bu, bütün müqayisənin ümumi formasıdır: hər mexanizm öz qatında yoxlanılır və heç biri digərinin uğuru ilə yoxlanılmır.

VPN nəyi köçürür və nə əlavə edir

Veb trafiki VPN-ə daxil olduqda giriş şəbəkəsi ayrı-ayrı tətbiq bağlantıları yerinə VPN həmyaşıdı ilə xarici mübadiləni görür və VPN operatoru sonrakı yolda mövqe tutur. Bu, etimad sərhədinin köçürülməsidir, onun aradan qaldırılması deyil. Operator artıq hansı təyinat nöqtələrinə çatdığınızı görür, hətta məzmun ucdan-uca şifrəli qalsa belə. Bunun yaxşılaşdırma olub-olmaması tamamilə bu iki tərəfdən hansına daha az güvənməyinizdən asılıdır.

Bunu edərkən tətbiqin HTTPS-ni və nəzərdə tutulan həlledici müdafiəsini yerində saxlayın. Tunel sertifikat yoxlamasını əvəz etmir və trafik tuneldən keçdiyi üçün həlledicinin müdafiələrini söndürmək bir nəzarəti əvəz etmədən çıxarır.

Tələbdən seçim

Faktiki tələbi deyin, çünki dizaynı o həll edir. Şəxsi resurslara buraxılış, idarə olunan çıxış nöqtəsi, konkret giriş şəbəkəsi təhdidi və cihaz avtorizasiyası dörd fərqli ehtiyac və dörd fərqli cavabdır və yalnız publik bulud tətbiqlərindən istifadə edən şirkət də avtorizasiya və verilənlərin işlənməsi barədə qərar verməlidir. Əlavə qatlar bir-birini əvəz etmədən yerində ola bilər. Daha mürəkkəb bağlantı anonimlik ölçüsü deyil və tək başına təhlükəsizlik arqumenti deyil.

ECH spesifikasiyası, RFC 9849, mexanizmin nəyi əhatə edib-etmədiyi üçün oxunmağa dəyər və toxunmadığı kanallar barədə səmimidir. Mexanizmləri hər birinin çıxardığı müşahidəçiyə görə müqayisə edin, o müşahidəçini yazın və sonra əlavə qatın ona müraciət edib-etmədiyinə qərar verin. Cavab müşahidəçinin artıq təhdid modelinizdən kənarda olmasıdırsa, tunel faydasız xərcdir.