HTTPS, DoH, ECH i VPN skrivaju različite stvari
Svaki mehanizam uklanja drugog posmatrača s puta i nijedan ne uklanja sve. Uporedite šta je zaštićeno prije nego što dodate još jedan tunel.
Dodavanje VPN-a u preglednik koji već koristi HTTPS, DoH i ECH ne slaže tri zaštite u jednu; ono mijenja ko je u poziciji da posmatra šta. Svaki mehanizam uklanja drugu stranu iz druge razmjene i svaki ostavlja nešto za sobom. Korisno pitanje nije koji je najjači, nego kojeg posmatrača pokušavate ukloniti, jer odgovor odlučuje pomaže li tunel uopšte. Poređenje preostalih posmatrača korisnije je od spiska funkcija.
Četiri mehanizma, četiri posmatrača
Počnite s četiri odnosa i stranom koju je svaki od njih namijenjen da drži izvan. Tabela ispod je ona koju koristim u pregledu, jer prisiljava razgovor da imenuje posmatrača umjesto tehnologije.
| Mehanizam | Odnos koji štiti | Posmatrač kojeg ne uklanja |
|---|---|---|
| HTTPS | TLS veza aplikacije s njenim imenovanim odredištem | Pristupna mreža i dalje vidi odredišnu adresu |
| DoH | DNS razmjena s odabranim HTTPS razrješivačem | Taj razrješivač vidi svaki upit |
| ECH | Osjetljiva polja ClientHello-a, gdje su podržana i prihvaćena | Odredišne adrese, i DNS ako nije pokriven |
| VPN | Pokriveni paketi preneseni do VPN peera | VPN operater vidi odredišta |
Vrijednost tabele je u onome što odbija da kaže. Ona ne rangira mehanizme i ne tvrdi da upotreba sva četiri uklanja sva četiri posmatrača. Cloud web aplikacija koja već završava TLS na vlastitoj ivici zaštićena je od pristupne mreže za tu razmjenu i nijedan tunel ne poboljšava to svojstvo. Šta tunel može promijeniti jeste koja mreža vidi vanjske pakete i koji operater je sada na putu.
Šta HTTPS zapravo skriva
HTTPS štiti razmjenu aplikacije između klijenta i odredišta koje certifikat imenuje. Ne skriva odredišnu adresu, ne skriva da se veza dogodila i ne skriva ime osim ako je ECH u igri. Provjera certifikata je dio zaštite, a ne formalnost oko nje.
VPN ne mora završavati taj TLS i prosljeđujući izlaz ne treba tretirati kao autentificirano odredište aplikacije. Ako dizajn predviđa da izlaz dešifruje, to je druga arhitektura s drugom izjavom o povjerenju.
Šta DoH i ECH pomjeraju i šta ostavljaju
DoH pomjera DNS razmjenu na HTTPS razrješivač, što znači da taj razrješivač vidi vaše upite umjesto razrješivača lokalne mreže. To je stvarna i ograničena promjena: odabrani razrješivač postaje strana koja može povezivati upite s adresama na koje se zatim spajate, a to je upravo korelacija o kojoj govori RFC 8484. Šifrirani transport ne čini primaoca nesvjesnim upita na koje odgovara.
ECH štiti osjetljivi dio ClientHello-a tako da pasivni posmatrač na putu ne može pročitati namjeravano ime servera. Zavisi od podržavajućeg raspoređivanja i od prihvatanja od strane servera i mreže, a ostavlja druge kanale na mjestu: odredišne adrese ostaju vidljive, a DNS i dalje može otkriti ime.
Druga stvar koju ECH ne čini jeste da dokazuje sebe. Veza koja koristi TLS 1.3 nije dokaz da je ECH prihvaćen, a preglednik koji nudi ECH serveru bez podrške tiho se vraća nazad. Provjerite stvarno stanje veze umjesto da ga zaključujete iz verzije protokola.
To je opšti oblik cijelog ovog poređenja: svaki mehanizam se provjerava na svom sloju, i nijedan od njih se ne provjerava uspjehom drugog.
Šta VPN pomjera i šta dodaje
Kada web saobraćaj uđe u VPN, pristupna mreža vidi vanjsku razmjenu s VPN peerom umjesto pojedinačnih veza aplikacija, a VPN operater zauzima poziciju na daljem putu. To je pomjeranje granice povjerenja, a ne njeno uklanjanje. Operater sada vidi koja odredišta dosežete, čak i ako sadržaj ostaje šifriran od kraja do kraja. Da li je to poboljšanje zavisi isključivo od toga kojoj od te dvije strane manje vjerujete.
Zadržite HTTPS aplikacije i predviđenu zaštitu razrješivača na mjestu dok to radite. Tunel nije zamjena za provjeru certifikata, a isključivanje zaštite razrješivača zato što saobraćaj ide kroz tunel uklanja kontrolu bez zamjene.
Izbor iz zahtjeva
Navedite stvarni zahtjev, jer on odlučuje o dizajnu. Pristup privatnim resursima, upravljana izlazna tačka, konkretna prijetnja pristupne mreže i autorizacija uređaja četiri su različite potrebe s četiri različita odgovora, a kompanija koja koristi samo javne cloud aplikacije i dalje mora odlučiti o autorizaciji i rukovanju podacima. Dodatni slojevi mogu biti prikladni, a da nisu zamjenjivi. Složenija veza nije mjerenje anonimnosti i nije sigurnosni argument sama po sebi.
Specifikacija ECH-a, RFC 9849, vrijedi je pročitati zbog onoga što mehanizam pokriva i ne pokriva, i iskrena je o kanalima koje ostavlja na miru. Uporedite mehanizme po posmatraču kojeg svaki uklanja, zapišite tog posmatrača i zatim odlučite da li se dodatni sloj na njega odnosi. Ako je odgovor da je posmatrač već bio izvan vašeg modela prijetnji, tunel je trošak bez koristi.