HTTPS, DoH, ECH a VPN skrývají různé věci
Každý mechanismus odstraňuje z cesty jiného pozorovatele a žádný neodstraní všechny. Porovnejte, co je chráněno, než přidáte další tunel.
Přidání VPN do prohlížeče, který už používá HTTPS, DoH a ECH, neskládá tři ochrany do jedné; mění, kdo je v pozici co pozorovat. Každý mechanismus odstraňuje jinou stranu z jiné výměny a každý po sobě něco nechává. Užitečná otázka není, který je nejsilnější, ale kterého pozorovatele se snažíte odstranit, protože odpověď rozhoduje o tom, zda tunel vůbec pomůže. Porovnání zbývajících pozorovatelů je užitečnější než seznam funkcí.
Čtyři mechanismy, čtyři pozorovatelé
Začněte čtyřmi vztahy a stranou, kterou má každý z nich držet venku. Tabulka níže je ta, kterou používám při revizi, protože nutí rozhovor pojmenovat pozorovatele místo technologie.
| Mechanismus | Vztah, který chrání | Pozorovatel, kterého neodstraňuje |
|---|---|---|
| HTTPS | TLS spojení aplikace s jejím pojmenovaným koncovým bodem | Přístupová síť stále vidí cílovou adresu |
| DoH | DNS výměna se zvoleným HTTPS resolverem | Tento resolver vidí každý dotaz |
| ECH | Citlivá pole ClientHello, kde jsou podporována a přijímána | Cílové adresy a DNS, pokud není pokryto |
| VPN | Pokryté pakety přenášené k protějšku VPN | Operátor VPN vidí cíle |
Hodnota tabulky je v tom, co odmítá říct. Neřadí mechanismy a netvrdí, že použití všech čtyř odstraní všechny čtyři pozorovatele. Cloudová webová aplikace, která už ukončuje TLS na svém vlastním okraji, je pro tuto výměnu chráněna před přístupovou sítí a žádný tunel tuto konkrétní vlastnost nezlepší. Co tunel může změnit, je to, která síť vidí vnější pakety a který operátor je nyní na cestě.
Co HTTPS skutečně skrývá
HTTPS chrání výměnu aplikace mezi klientem a koncovým bodem, který certifikát pojmenovává. Neskrývá cílovou adresu, neskrývá, že spojení proběhlo, a neskrývá jméno, pokud není ve hře ECH. Ověření certifikátu je součástí ochrany, ne formalitou kolem ní.
VPN nemusí tento TLS ukončovat a předávací výstup by se neměl považovat za ověřený koncový bod aplikace. Pokud návrh počítá s tím, že výstup dešifruje, je to jiná architektura s jiným prohlášením o důvěře.
Co DoH a ECH přesouvají a co nechávají
DoH přesouvá DNS výměnu na HTTPS resolver, což znamená, že tento resolver vidí vaše dotazy místo resolveru místní sítě. Je to skutečná a omezená změna: zvolený resolver se stává stranou, která může korelovat dotazy s adresami, na které se potom připojujete, a to je přesně ta korelace, o níž mluví RFC 8484. Šifrovaný přenos nečiní příjemce nevědomým o dotazech, na které odpovídá.
ECH chrání citlivou část ClientHello, aby pasivní pozorovatel na cestě nemohl přečíst zamýšlené jméno serveru. Závisí na podporujícím nasazení a na přijetí serverem a sítí a nechává ostatní kanály na místě: cílové adresy zůstávají viditelné a DNS může jméno stále prozradit.
Další věc, kterou ECH nedělá, je to, že by se prokazoval. Spojení používající TLS 1.3 není důkazem, že ECH byl přijat, a prohlížeč, který nabízí ECH serveru, jenž ho nepodporuje, se tiše vrací zpět. Kontrolujte skutečný stav spojení, místo abyste ho odvozovali z verze protokolu.
To je obecný tvar celého tohoto srovnání: každý mechanismus se ověřuje ve své vlastní vrstvě a žádný z nich se neověřuje úspěchem jiného.
Co VPN přesouvá a co přidává
Když webový provoz vstoupí do VPN, přístupová síť vidí vnější výměnu s protějškem VPN místo jednotlivých spojení aplikací a operátor VPN zaujímá pozici na další cestě. Je to přesun hranice důvěry, ne její odstranění. Operátor nyní vidí, kterých cílů dosahujete, i když obsah zůstává šifrován od konce ke konci. Zda je to zlepšení, závisí zcela na tom, které z těchto dvou stran věříte méně.
Zachovejte HTTPS aplikace a zamýšlenou ochranu resolveru, zatímco to děláte. Tunel není náhradou za ověření certifikátu a vypnutí ochran resolveru proto, že provoz jde tunelem, odstraňuje kontrolu, aniž by ji nahradilo.
Volba z požadavku
Vyslovte skutečný požadavek, protože ten rozhoduje o návrhu. Přístup k privátním zdrojům, řízený výstupní bod, konkrétní hrozba přístupové sítě a autorizace zařízení jsou čtyři různé potřeby se čtyřmi různými odpověďmi a firma, která používá jen veřejné cloudové aplikace, musí stejně rozhodnout o autorizaci a zpracování dat. Další vrstvy mohou být vhodné, aniž by byly zaměnitelné. Složitější spojení není měřením anonymity a samo o sobě není bezpečnostním argumentem.
Specifikace ECH, RFC 9849, stojí za přečtení kvůli tomu, co mechanismus pokrývá a co ne, a je poctivá ohledně kanálů, které nechává na pokoji. Porovnejte mechanismy podle pozorovatele, kterého každý odstraňuje, toho pozorovatele zapište a potom rozhodněte, zda se na něj další vrstva zaměřuje. Pokud je odpověď taková, že pozorovatel už byl mimo váš model hrozeb, je tunel náklad bez užitku.