Τα HTTPS, DoH, ECH και ένα VPN κρύβουν διαφορετικά πράγματα
Κάθε μηχανισμός αφαιρεί από τη διαδρομή έναν διαφορετικό παρατηρητή και κανένας δεν τους αφαιρεί όλους. Συγκρίνετε τι προστατεύεται πριν προσθέσετε άλλο τούνελ.
Η προσθήκη VPN σε έναν περιηγητή που χρησιμοποιεί ήδη HTTPS, DoH και ECH δεν στοιβάζει τρεις προστασίες σε μία· αλλάζει ποιος βρίσκεται σε θέση να παρατηρήσει τι. Κάθε μηχανισμός αφαιρεί διαφορετικό μέρος από διαφορετική ανταλλαγή και ο καθένας αφήνει κάτι πίσω του. Το χρήσιμο ερώτημα δεν είναι ποιος είναι ο ισχυρότερος, αλλά ποιον παρατηρητή προσπαθείτε να αφαιρέσετε, γιατί η απάντηση καθορίζει αν το τούνελ βοηθά καθόλου. Η σύγκριση των παρατηρητών που απομένουν είναι πιο χρήσιμη από μια λίστα χαρακτηριστικών.
Τέσσερις μηχανισμοί, τέσσερις παρατηρητές
Ξεκινήστε από τις τέσσερις σχέσεις και το μέρος που καθεμία έχει σχεδιαστεί να κρατά έξω. Ο πίνακας παρακάτω είναι αυτός που χρησιμοποιώ στην ανασκόπηση, γιατί αναγκάζει τη συζήτηση να ονομάσει έναν παρατηρητή αντί για μια τεχνολογία.
| Μηχανισμός | Σχέση που προστατεύει | Παρατηρητής που δεν αφαιρεί |
|---|---|---|
| HTTPS | Η σύνδεση TLS της εφαρμογής με το ονομαστικό τελικό σημείο της | Το δίκτυο πρόσβασης βλέπει ακόμη τη διεύθυνση προορισμού |
| DoH | Η ανταλλαγή DNS με τον επιλεγμένο εξυπηρετητή DNS μέσω HTTPS | Αυτός ο εξυπηρετητής βλέπει κάθε ερώτημα |
| ECH | Τα ευαίσθητα πεδία του ClientHello, όπου υποστηρίζονται και γίνονται δεκτά | Οι διευθύνσεις προορισμού, και το DNS αν δεν καλύπτεται |
| VPN | Καλυμμένα πακέτα που μεταφέρονται στον ομότιμο του VPN | Ο πάροχος VPN βλέπει τους προορισμούς |
Η αξία του πίνακα είναι αυτό που αρνείται να πει. Δεν κατατάσσει τους μηχανισμούς και δεν ισχυρίζεται ότι η χρήση και των τεσσάρων αφαιρεί και τους τέσσερις παρατηρητές. Μια διαδικτυακή εφαρμογή στο νέφος που τερματίζει ήδη το TLS στη δική της άκρη προστατεύεται από το δίκτυο πρόσβασης για αυτή την ανταλλαγή και κανένα τούνελ δεν βελτιώνει αυτή την ιδιότητα. Αυτό που μπορεί να αλλάξει ένα τούνελ είναι ποιο δίκτυο βλέπει τα εξωτερικά πακέτα και ποιος πάροχος βρίσκεται τώρα στη διαδρομή.
Τι κρύβει στην πραγματικότητα το HTTPS
Το HTTPS προστατεύει την ανταλλαγή της εφαρμογής ανάμεσα στον πελάτη και στο τελικό σημείο που ονομάζει το πιστοποιητικό. Δεν κρύβει τη διεύθυνση προορισμού, δεν κρύβει ότι συνέβη σύνδεση και δεν κρύβει το όνομα εκτός αν παίζει ρόλο το ECH. Η επικύρωση πιστοποιητικού είναι μέρος της προστασίας, όχι τυπικότητα γύρω από αυτήν.
Ένα VPN δεν χρειάζεται να τερματίσει αυτό το TLS και μια έξοδος προώθησης δεν πρέπει να αντιμετωπίζεται ως το πιστοποιημένο τελικό σημείο της εφαρμογής. Αν ένα σχέδιο έχει την έξοδο να αποκρυπτογραφεί, αυτή είναι διαφορετική αρχιτεκτονική με διαφορετική δήλωση εμπιστοσύνης.
Τι μετακινούν τα DoH και ECH και τι αφήνουν
Το DoH μετακινεί την ανταλλαγή DNS σε έναν εξυπηρετητή DNS μέσω HTTPS, που σημαίνει ότι αυτός ο εξυπηρετητής βλέπει τα ερωτήματά σας αντί για τον εξυπηρετητή DNS του τοπικού δικτύου. Είναι μια πραγματική και περιορισμένη αλλαγή: ο επιλεγμένος εξυπηρετητής DNS γίνεται μέρος που μπορεί να συσχετίσει τα ερωτήματα με τις διευθύνσεις στις οποίες συνδέεστε μετά, και αυτή είναι ακριβώς η συσχέτιση που συζητά το RFC 8484. Η κρυπτογραφημένη μεταφορά δεν κάνει τον παραλήπτη αγνοούντα τα ερωτήματα που απαντά.
Το ECH προστατεύει το ευαίσθητο μέρος του ClientHello ώστε ένας παθητικός παρατηρητής στη διαδρομή να μην μπορεί να διαβάσει το επιδιωκόμενο όνομα διακομιστή. Εξαρτάται από υποστηρικτική ανάπτυξη και από την αποδοχή του διακομιστή και του δικτύου, και αφήνει άλλα κανάλια στη θέση τους: οι διευθύνσεις προορισμού παραμένουν ορατές και το DNS μπορεί ακόμη να αποκαλύψει το όνομα.
Το άλλο που δεν κάνει το ECH είναι να αποδεικνύει τον εαυτό του. Μια σύνδεση που χρησιμοποιεί TLS 1.3 δεν είναι απόδειξη ότι το ECH έγινε δεκτό, και ένας περιηγητής που προσφέρει ECH σε διακομιστή χωρίς υποστήριξη υποχωρεί σιωπηλά. Ελέγξτε την πραγματική κατάσταση της σύνδεσης αντί να τη συμπεράνετε από την έκδοση του πρωτοκόλλου.
Αυτή είναι η γενική μορφή όλης της σύγκρισης: κάθε μηχανισμός επαληθεύεται στο δικό του επίπεδο, και κανένας τους δεν επαληθεύεται από την επιτυχία άλλου.
Τι μετακινεί ένα VPN και τι προσθέτει
Όταν η κίνηση ιστού μπαίνει σε VPN, το δίκτυο πρόσβασης βλέπει την εξωτερική ανταλλαγή με τον ομότιμο του VPN αντί για τις επιμέρους συνδέσεις εφαρμογών, και ο πάροχος VPN παίρνει θέση στην περαιτέρω διαδρομή. Είναι μετακίνηση του ορίου εμπιστοσύνης, όχι αφαίρεσή του. Ο πάροχος βλέπει τώρα ποιους προορισμούς φτάνετε, ακόμη και αν το περιεχόμενο παραμένει κρυπτογραφημένο από άκρο σε άκρο. Το αν αυτό είναι βελτίωση εξαρτάται απολύτως από το ποιο από τα δύο μέρη εμπιστεύεστε λιγότερο.
Διατηρήστε το HTTPS της εφαρμογής και την προβλεπόμενη προστασία του εξυπηρετητή DNS στη θέση τους όσο το κάνετε αυτό. Ένα τούνελ δεν αντικαθιστά την επικύρωση πιστοποιητικού, και το να απενεργοποιείτε τις προστασίες ενός εξυπηρετητή DNS επειδή η κίνηση περνά από τούνελ αφαιρεί έναν έλεγχο χωρίς να τον αντικαθιστά.
Επιλογή από την απαίτηση
Διατυπώστε την πραγματική απαίτηση, γιατί αυτή καθορίζει τον σχεδιασμό. Η πρόσβαση σε ιδιωτικούς πόρους, ένα διαχειριζόμενο σημείο εξόδου, μια συγκεκριμένη απειλή του δικτύου πρόσβασης και η εξουσιοδότηση συσκευών είναι τέσσερις διαφορετικές ανάγκες με τέσσερις διαφορετικές απαντήσεις, και μια εταιρεία που χρησιμοποιεί μόνο δημόσιες εφαρμογές νέφους πρέπει ακόμη να αποφασίσει για την εξουσιοδότηση και τον χειρισμό δεδομένων. Πρόσθετα στρώματα μπορεί να είναι κατάλληλα χωρίς να είναι εναλλάξιμα. Μια πιο περίπλοκη σύνδεση δεν είναι μέτρηση ανωνυμίας και δεν είναι από μόνη της επιχείρημα ασφάλειας.
Η προδιαγραφή του ECH, RFC 9849, αξίζει να διαβαστεί για το τι καλύπτει και τι δεν καλύπτει ο μηχανισμός, και είναι ειλικρινής για τα κανάλια που αφήνει ήσυχα. Συγκρίνετε τους μηχανισμούς με βάση τον παρατηρητή που αφαιρεί ο καθένας, γράψτε αυτόν τον παρατηρητή και μετά αποφασίστε αν το πρόσθετο στρώμα τον αντιμετωπίζει. Αν η απάντηση είναι ότι ο παρατηρητής ήταν ήδη εκτός του μοντέλου απειλής σας, το τούνελ είναι κόστος χωρίς όφελος.