HTTPS, DoH, ECH и VPN скриват различни неща
Всеки механизъм премахва различен наблюдател от пътя и нито един не премахва всички. Сравнете какво е защитено, преди да добавите още един тунел.
Добавянето на VPN към браузър, който вече използва HTTPS, DoH и ECH, не натрупва три защиты в една; то променя кой е в позиция да наблюдава какво. Всеки механизъм премахва различна страна от различен обмен и всеки оставя нещо след себе си. Полезният въпрос не е кой е най-силният, а кой наблюдател се опитвате да премахнете, защото отговорът решава дали тунелът помага изобщо. Сравнението на останалите наблюдатели е по-полезно от списък с функции.
Четири механизма, четири наблюдатели
Започнете с четирите връзки и страната, която всяка от тях е създадена да държи навън. Таблицата по-долу е тази, която използвам при преглед, защото принуждава разговора да назове наблюдател, а не технология.
| Механизъм | Връзка, която защитава | Наблюдател, който не премахва |
|---|---|---|
| HTTPS | TLS връзката на приложението с назованата крайна точка | Мрежата за достъп все още вижда адреса на местоназначението |
| DoH | DNS обмена с избрания HTTPS резолвер | Този резолвер вижда всяка заявка |
| ECH | Чувствителните полета на ClientHello, където се поддържат и приемат | Адресите на местоназначението и DNS, ако не е покрит |
| VPN | Покрити пакети, пренасяни до VPN партньора | VPN операторът вижда местоназначенията |
Стойността на таблицата е в това, което тя отказва да каже. Тя не подрежда механизмите и не твърди, че използването на четирите премахва и четирите наблюдатели. Облачно уеб приложение, което вече терминира TLS на собствения си ръб, е защитено от мрежата за достъп за този обмен и никакъв тунел не подобрява точно това свойство. Тунелът може да промени коя мрежа вижда външните пакети и кой оператор е сега по пътя.
Какво всъщност скрива HTTPS
HTTPS защитава обмена на приложението между клиента и крайната точка, която сертификатът назовава. Той не скрива адреса на местоназначението, не скрива, че е имало връзка, и не скрива името, освен ако ECH не е в игра. Проверката на сертификата е част от защитата, а не формалност около нея.
VPN не е длъжен да терминира този TLS и препращащият изход не бива да се третира като удостоверена крайна точка на приложението. Ако архитектурата предвижда изходът да дешифрира, това е различна архитектура с различно изявление за доверие.
Какво преместват DoH и ECH и какво оставят
DoH премества DNS обмена към HTTPS резолвер, което означава, че този резолвер вижда вашите заявки вместо резолвера на локалната мрежа. Това е реална и ограничена промяна: избраният резолвер става страна, която може да свързва заявки с адресите, до които после се свързвате, и това е точно свързването, което разглежда RFC 8484. Шифрованият транспорт не прави получателя неосведомен за заявките, на които отговаря.
ECH защитава чувствителната част на ClientHello, така че пасивен наблюдател по пътя да не може да прочете предвиденото име на сървъра. Това зависи от поддържащо внедряване и от приемането от сървъра и мрежата и оставя други канали на място: адресите на местоназначението остават видими, а DNS може все още да разкрие името.
Другото, което ECH не прави, е да доказва себе си. Връзка, която използва TLS 1.3, не е доказателство, че ECH е приет, а браузър, който предлага ECH на сървър без поддръжка, се оттегля тихо. Проверявайте действителното състояние на връзката, вместо да го извеждате от версията на протокола.
Това е общата форма на цялото сравнение: всеки механизъм се проверява на своето ниво и нито един от тях не се проверява от успеха на друг.
Какво премества VPN и какво добавя
Когато уеб трафикът влезе във VPN, мрежата за достъп вижда външния обмен с VPN партньора вместо отделните връзки на приложенията, а VPN операторът заема позиция по пътя напред. Това е преместване на границата на доверие, а не премахването ѝ. Операторът вече вижда до кои местоназначения достигате, дори съдържанието да остава шифровано от край до край. Дали това е подобрение, зависи изцяло от това на коя от тези две страни вярвате по-малко.
Запазете HTTPS на приложението и предвидената защита на резолвера, докато правите това. Тунелът не замества проверката на сертификата и изключването на защитите на резолвер, защото трафикът минава през тунел, премахва контрола, без да я замества.
Избор от изискването
Формулирайте действителното изискване, защото то решава дизайна. Достъп до частни ресурси, управлявана изходна точка, конкретна заплаха за мрежата за достъп и оторизация на устройства са четири различни нужди с четири различни отговора и компания, която използва само публични облачни приложения, пак трябва да реши оторизацията и обработката на данни. Допълнителните слоеве могат да са уместни, без да са взаимозаменяеми. По-сложната връзка не е измерване на анонимност и не е аргумент за сигурност сама по себе си.
Спецификацията на ECH, RFC 9849, си струва да се прочете заради това какво механизмът покрива и какво не и е честна за каналите, които оставя на мира. Сравнете механизмите по наблюдателя, който всеки премахва, запишете този наблюдател и после решете дали допълнителният слой се обръща към него. Ако отговорът е, че наблюдателят вече е бил извън модела ви на заплахи, тунелът е разход без полза.