HTTPS, DoH, ECH і VPN хаваюць рознае
Кожны механізм прыбірае з шляху рознага назіральніка, і ніводзін не прыбірае ўсіх. Параўнайце, што абаронена, перш чым дадаваць яшчэ адзін тунель.
Даданне VPN у браўзер, які ўжо выкарыстоўвае HTTPS, DoH і ECH, не складвае тры абароны ў адну; яно змяняе, хто можа назіраць за чым. Кожны механізм прыбірае рознага ўдзельніка з рознага абмену, і кожны нешта пакідае пасля сябе. Карыснае пытанне не ў тым, які з іх наймацнейшы, а ў тым, якога назіральніка вы спрабуеце прыбраць, бо адказ вырашае, ці дапаможа тунель наогул. Параўнанне тых назіральнікаў, што засталіся, карыснейшае за спіс функцый.
Чатыры механізмы, чатыры назіральнікі
Пачніце з чатырох сувязей і таго ўдзельніка, якога кожная з іх прызначана трымаць звонку. Табліца ніжэй — тая, якую я выкарыстоўваю на рэвізіях, бо яна прымушае размову назваць назіральніка, а не тэхналогію.
| Механізм | Сувязь, якую ён абараняе | Назіральнік, якога ён не прыбірае |
|---|---|---|
| HTTPS | TLS-злучэнне праграмы з названым канчатковым пунктам | Сетка доступу ўсё яшчэ бачыць адрас прызначэння |
| DoH | Абмен DNS з выбраным HTTPS-рэзалверам | Гэты рэзалвер бачыць кожны запыт |
| ECH | Адчувальныя палі ClientHello, дзе гэта падтрымліваецца і прымаецца | Адрасы прызначэння і DNS, калі ён не ахоплены |
| VPN | Пакрытыя пакеты, якія нясуць да партнёра VPN | Аператар VPN бачыць прызначэнні |
Каштоўнасць табліцы ў тым, што яна адмаўляецца сказаць. Яна не ранжыруе механізмы і не сцвярджае, што выкарыстанне ўсіх чатырох прыбірае ўсіх чатырох назіральнікаў. Хмарная вэб-праграма, якая ўжо завяршае TLS на ўласным ускрайку, абаронена ад сеткі доступу для гэтага абмену, і ніякі тунель не паляпшае гэтую ўласцівасць. Што тунель можа змяніць — гэта тое, якая сетка бачыць знешнія пакеты і які аператар цяпер на шляху.
Што HTTPS насамрэч хавае
HTTPS абараняе абмен праграмы паміж кліентам і канчатковым пунктам, які называе сертыфікат. Ён не хавае адрас прызначэння, не хавае сам факт злучэння і не хавае імя, калі толькі не задзейнічаны ECH. Праверка сертыфіката — частка абароны, а не фармальнасць вакол яе.
VPN не абавязаны завяршаць гэты TLS, і выхад перасылкі не варта лічыць аўтэнтыфікаваным канчатковым пунктам праграмы. Калі ў архітэктуры выхад расшыфроўвае, гэта іншая архітэктура з іншым сцвярджэннем даверу.
Што пераносяць DoH і ECH і што пакідаюць
DoH пераносіць абмен DNS на HTTPS-рэзалвер, гэта значыць гэты рэзалвер бачыць вашы запыты замест рэзалвера лакальнай сеткі. Гэта рэальная і абмежаваная змена: выбраны рэзалвер робіцца ўдзельнікам, які можа суадносіць запыты з адрасамі, да якіх вы потым падключаецеся, і гэта менавіта тая суаднясенне, якую разглядае RFC 8484. Шыфраваны транспарт не робіць атрымальніка недасведчаным пра запыты, на якія ён адказвае.
ECH абараняе адчувальную частку ClientHello, каб пасіўны назіральнік на шляху не мог прачытаць меркаванае імя сервера. Гэта залежыць ад падтрымліваючага разгортвання і ад прыняцця серверам і сеткай, і пакідае іншыя каналы на месцы: адрасы прызначэння застаюцца бачнымі, а DNS можа ўсё яшчэ выдаць імя.
Яшчэ ECH не робіць аднаго — не даказвае сябе. Злучэнне з TLS 1.3 не з'яўляецца доказам таго, што ECH быў прыняты, а браўзер, які прапануе ECH серверу без падтрымкі, маўкліва адкочваецца. Правярайце фактычны стан злучэння, а не рабіце выснову з версіі пратакола.
Гэта агульная форма ўсяго параўнання: кожны механізм правяраецца на сваім узроўні, і ніводзін з іх не правяраецца поспехам іншага.
Што пераносіць VPN і што дадае
Калі вэб-трафік трапляе ў VPN, сетка доступу бачыць знешні абмен з партнёрам VPN замест асобных злучэнняў праграм, і аператар VPN займае пазіцыю на далейшым шляху. Гэта перанос мяжы даверу, а не яе выдаленне. Аператар цяпер бачыць, якіх прызначэнняў вы дасягаеце, нават калі змест застаецца шыфраваным ад канца да канца. Ці будзе гэта паляпшэннем, цалкам залежыць ад таго, якому з гэтых двух удзельнікаў вы давяраеце менш.
Трымайце HTTPS праграмы і меркаваную абарону рэзалвера на месцы, пакуль робіце гэта. Тунель не заменіць праверку сертыфіката, а выключэнне абароны рэзалвера праз тое, што трафік ідзе праз тунель, прыбірае кантроль, не замяняючы яго.
Выбар ад патрабавання
Сфармулюйце фактычнае патрабаванне, бо менавіта яно вызначае архітэктуру. Допуск да прыватных рэсурсаў, кіраваны пункт выхаду, канкрэтная пагроза сеткі доступу і аўтарызацыя прылад — гэта чатыры розныя патрэбы з чатырма рознымі адказамі, і кампанія, якая карыстаецца толькі публічнымі хмарнымі праграмамі, усё роўна мусіць вырашыць пытанні аўтарызацыі і апрацоўкі даных. Дадатковыя ўзроўні могуць быць дарэчнымі, не будучы ўзаемазаменнымі. Больш складанае злучэнне не з'яўляецца вымярэннем ананімнасці і не з'яўляецца аргументам бяспекі само па сабе.
Спецыфікацыю ECH, RFC 9849, варта прачытаць дзеля таго, што механізм ахоплівае і чаго не ахоплівае, і яна сумленная наконт каналаў, якія пакідае без увагі. Параўнайце механізмы па назіральніку, якога кожны прыбірае, запішыце гэтага назіральніка і тады вырашыце, ці дадатковы ўзровень звяртаецца да яго. Калі адказ такі, што назіральнік ужо быў па-за вашай мадэллю пагроз, тунель — гэта выдатак без карысці.