Mae HTTPS, DoH, ECH a VPN yn cuddio pethau gwahanol
Mae pob mecanwaith yn tynnu arsylwr gwahanol o'r llwybr, ac nid oes un yn tynnu pob un. Cymharwch beth sy'n cael ei warchod cyn ychwanegu twnnel arall.
Nid yw ychwanegu VPN at borwr sy'n defnyddio HTTPS, DoH ac ECH eisoes yn pentyrru tair amddiffyniad yn un; mae'n newid pwy sydd mewn sefyllfa i arsylwi beth. Mae pob mecanwaith yn tynnu parti gwahanol o gyfnewid gwahanol, ac mae pob un yn gadael rhywbeth ar ôl. Y cwestiwn defnyddiol nid yw pa un sydd gryfaf, ond pa arsylwr yr ydych yn ceisio ei dynnu, oherwydd y penderfyniad yw a yw twnnel yn helpu o gwbl. Mae cymhariaeth o'r arsylwyr sy'n weddill yn fwy defnyddiol na rhestr o nodweddion.
Pedwar mecanwaith, pedwar arsylwr
Dechreuwch gyda'r pedwar perthynas a'r parti y mae pob un wedi'i gynllunio i'w gadw allan. Y tabl isod yw'r un a ddefnyddiaf mewn adolygiad, oherwydd mae'n gorfodi'r sgwrs i enwi arsylwr yn lle technoleg.
| Mecanwaith | Y berthynas y mae'n ei diogelu | Yr arsylwr nad yw'n ei dynnu |
|---|---|---|
| HTTPS | Cysylltiad TLS y cymhwysiad â'i bwynt terfyn a enwir | Mae'r rhwydwaith mynediad yn dal i weld y cyfeiriad cyrchfan |
| DoH | Y cyfnewid DNS â'r datryswr HTTPS a ddewiswyd | Mae'r datryswr hwnnw'n gweld pob ymholiad |
| ECH | Meysydd sensitif ClientHello, lle cânt eu cefnogi a'u derbyn | Cyfeiriadau cyrchfan, a DNS os nad yw'n cael ei gwmpasu |
| VPN | Pecynnau wedi'u gorchuddio a gludir i gymar y VPN | Mae gweithredwr y VPN yn gweld y cyrchfannau |
Gwerth y tabl yw'r hyn y mae'n gwrthod ei ddweud. Nid yw'n rhestru'r mecanweithiau mewn trefn, ac nid yw'n honni bod defnyddio'r pedwar i gyd yn tynnu'r pedwar arsylwr. Mae cymhwysiad gwe cwmwl sy'n terfynu TLS ar ei ymyl ei hun eisoes yn cael ei warchod rhag y rhwydwaith mynediad ar gyfer y cyfnewid hwnnw, ac nid oes twnnel yn gwella'r nodwedd benodol honno. Yr hyn y gall twnnel ei newid yw pa rwydwaith sy'n gweld y pecynnau allanol a pha weithredwr sydd ar y llwybr nawr.
Beth mae HTTPS yn ei guddio mewn gwirionedd
Mae HTTPS yn diogelu cyfnewid y cymhwysiad rhwng y cleient a'r pwynt terfyn y mae'r dystysgrif yn ei enwi. Nid yw'n cuddio'r cyfeiriad cyrchfan, nid yw'n cuddio bod cysylltiad wedi digwydd, ac nid yw'n cuddio'r enw oni bai bod ECH yn y chwarae. Mae dilysu tystysgrif yn rhan o'r amddiffyniad, nid yn ffurfioldeb o'i amgylch.
Nid oes angen i VPN derfynu'r TLS hwnnw, ac ni ddylid trin allanfa anfon ymlaen fel pwynt terfyn dilys y cymhwysiad. Os yw dyluniad yn gwneud i'r allanfa ddadgryptio, mae honno'n bensaernïaeth wahanol gyda datganiad ymddiriedaeth gwahanol.
Beth mae DoH ac ECH yn ei symud, a beth maen nhw'n ei adael
Mae DoH yn symud y cyfnewid DNS i ddatryswr HTTPS, sy'n golygu bod y datryswr hwnnw'n gweld eich ymholiadau yn lle datryswr y rhwydwaith lleol. Mae hynny'n newid go iawn ac yn newid cyfyngedig: daw'r datryswr a ddewiswyd yn barti a all gydberthyn ymholiadau â'r cyfeiriadau yr ydych yn cysylltu â nhw wedyn, sef yn union y cydberthynas y mae RFC 8484 yn ei thrafod. Nid yw cludiant amgryptiedig yn gwneud y derbynnydd yn anymwybodol o'r ymholiadau y mae'n eu hateb.
Mae ECH yn diogelu'r rhan sensitif o ClientHello fel na all arsylwr goddefol ar y llwybr ddarllen enw'r gweinydd a fwriadwyd. Mae'n dibynnu ar ddefnydd cefnogol ac ar dderbyn gan y gweinydd a'r rhwydwaith, ac mae'n gadael sianeli eraill yn eu lle: mae cyfeiriadau cyrchfan yn parhau'n weladwy, a gall DNS ddatgelu'r enw o hyd.
Y peth arall nad yw ECH yn ei wneud yw profi ei hun. Nid yw cysylltiad sy'n defnyddio TLS 1.3 yn dystiolaeth bod ECH wedi'i dderbyn, ac mae porwr sy'n cynnig ECH i weinydd nad yw'n ei gefnogi yn cilio'n dawel. Gwiriwch gyflwr gwirioneddol y cysylltiad yn hytrach na'i ddyfalu o fersiwn y protocol.
Dyma siâp cyffredinol y gymhariaeth gyfan: mae pob mecanwaith yn cael ei wirio ar ei haen ei hun, ac nid oes yr un ohonynt yn cael ei wirio gan lwyddiant un arall.
Beth mae VPN yn ei symud, a beth mae'n ei ychwanegu
Pan fydd traffig gwe yn mynd i mewn i VPN, mae'r rhwydwaith mynediad yn gweld y cyfnewid allanol â chymar VPN yn lle cysylltiadau unigol y cymhwysiad, ac mae gweithredwr y VPN yn cymryd safle ar y llwybr ymlaen. Mae hynny'n symud y ffin ymddiriedaeth, nid yn ei dileu. Mae'r gweithredwr nawr yn gweld pa gyrchfannau yr ydych yn eu cyrraedd, hyd yn oed os yw'r cynnwys yn parhau'n amgryptiedig o'r naill ben i'r llall. Mae a yw hynny'n welliant yn dibynnu'n gyfan gwbl ar ba un o'r ddau barti hynny yr ydych yn ymddiried ynddo leiaf.
Cadwch HTTPS y cymhwysiad a'r amddiffyniad datryswr a fwriadwyd yn eu lle wrth wneud hyn. Nid yw twnnel yn cymryd lle dilysu tystysgrif, ac mae diffodd amddiffyniadau datryswr oherwydd bod y traffig yn mynd drwy dwnnel yn tynnu rheolaeth heb ei disodli.
Dewis o'r gofyniad
Nodwch y gofyniad gwirioneddol, oherwydd dyna sy'n penderfynu'r dyluniad. Mae derbyn i adnoddau preifat, pwynt allanfa a reolir, bygythiad penodol i'r rhwydwaith mynediad ac awdurdodi dyfeisiau yn bedwar angen gwahanol gyda phedwar ateb gwahanol, ac mae cwmni sy'n defnyddio cymwysiadau cwmwl cyhoeddus yn unig yn dal i orfod penderfynu ar awdurdodi a thrin data. Gall haenau ychwanegol fod yn briodol heb fod yn gyfnewidiol. Nid yw cysylltiad mwy cymhleth yn fesur o anhysbysrwydd, ac nid yw'n ddadl diogelwch ar ei ben ei hun.
Mae manyleb ECH, RFC 9849, yn werth ei darllen am yr hyn y mae'r mecanwaith yn ei gwmpasu ac nad yw'n ei gwmpasu, ac mae'n onest am y sianeli y mae'n eu gadael yn llonydd. Cymharwch y mecanweithiau yn ôl yr arsylwr y mae pob un yn ei dynnu, ysgrifennwch yr arsylwr hwnnw, ac yna penderfynwch a yw'r haen ychwanegol yn mynd i'r afael ag ef. Os yr ateb yw bod yr arsylwr eisoes y tu allan i'ch model bygythiad, cost heb fudd yw'r twnnel.