HTTPS, DoH, ECH ja VPN varjavad erinevaid asju
Iga mehhanism eemaldab teelt erineva vaatleja ja ükski ei eemalda kõiki. Võrrelge, mida kaitstakse, enne kui lisate veel ühe tunneli.
VPN-i lisamine brauserile, mis juba kasutab HTTPS-i, DoHi ja ECH-d, ei pane kolme kaitset üheks; see muudab, kes on positsioonis mida jälgida. Iga mehhanism eemaldab erineva osapoole erinevast vahetusest ja igaüks jätab midagi maha. Kasulik küsimus ei ole, milline on tugevaim, vaid millist vaatlejat te püüate eemaldada, sest vastus otsustab, kas tunnel üldse aitab. Ülejäänud vaatlejate võrdlus on kasulikum kui funktsioonide loend.
Neli mehhanismi, neli vaatlejat
Alustage neljast suhtest ja osapoolest, mille igaüks neist on loodud väljas hoidma. Allolev tabel on see, mida ma ülevaatamisel kasutan, sest see sunnib vestlust nimetama vaatlejat, mitte tehnoloogiat.
| Mehhanism | Suhe, mida see kaitseb | Vaatleja, keda see ei eemalda |
|---|---|---|
| HTTPS | Rakenduse TLS-ühendus oma nimetatud lõpp-punktiga | Juurdepääsuvõrk näeb endiselt sihtkoha aadressi |
| DoH | DNS-vahetus valitud HTTPS-resolveriga | See resolver näeb iga päringut |
| ECH | ClientHello tundlikud väljad, kus toetatud ja vastu võetud | Sihtkoha aadressid ja DNS, kui see pole kaetud |
| VPN | Kaetud paketid, mis viiakse VPN-i partnerini | VPN-operaator näeb sihtkohti |
Tabeli väärtus on see, millest see keeldub rääkimast. See ei järjesta mehhanisme ega väida, et kõigi nelja kasutamine eemaldab kõik neli vaatlejat. Pilveveebirakendus, mis juba lõpetab TLS-i oma servas, on selle vahetuse jaoks juurdepääsuvõrgu eest kaitstud ja ükski tunnel ei paranda seda konkreetset omadust. Mida tunnel muuta saab, on see, milline võrk näeb väliseid pakette ja milline operaator on nüüd teel.
Mida HTTPS tegelikult varjab
HTTPS kaitseb rakenduse vahetust kliendi ja sertifikaadis nimetatud lõpp-punkti vahel. See ei varja sihtkoha aadressi, ei varja, et ühendus toimus, ega varja nime, kui ECH ei ole mängus. Sertifikaadi valideerimine on kaitse osa, mitte selle ümber olev formaalsus.
VPN ei pea seda TLS-i lõpetama ja edastavat väljapääsu ei tohiks käsitleda rakenduse autenditud lõpp-punktina. Kui disain laseb väljapääsul dekrüpteerida, on see teine arhitektuur teise usaldusavaldusega.
Mida DoH ja ECH liigutavad ja mida jätavad
DoH viib DNS-vahetuse HTTPS-resolverisse, mis tähendab, et see resolver näeb teie päringuid kohaliku võrgu resolveri asemel. See on tõeline ja piiratud muutus: valitud resolverist saab osapool, kes saab päringuid korreleerida aadressidega, millega te hiljem ühendute, ja see on täpselt see korrelatsioon, mida RFC 8484 käsitleb. Krüpteeritud transport ei tee saajat teadmatuks päringutest, millele ta vastab.
ECH kaitseb ClientHello tundlikku osa, et teel olev passiivne vaatleja ei saaks lugeda kavatsetud serveri nime. See sõltub toetavast juurutusest ning serveri ja võrgu nõusolekust ning jätab muud kanalid paigale: sihtkoha aadressid jäävad nähtavaks ja DNS võib nime siiski paljastada.
Teine asi, mida ECH ei tee, on iseenda tõestamine. TLS 1.3 kasutav ühendus ei ole tõestus, et ECH vastu võeti, ja brauser, mis pakub ECH-d serverile, mis seda ei toeta, taandub vaikselt. Kontrollige ühenduse tegelikku olekut, selle asemel et seda protokolli versioonist tuletada.
See on kogu selle võrdluse üldine kuju: iga mehhanismi kontrollitakse tema enda kihis ja ühtegi neist ei kontrollita teise õnnestumisega.
Mida VPN liigutab ja mida lisab
Kui veebiliiklus siseneb VPN-i, näeb juurdepääsuvõrk VPN-i partneriga toimuva välise vahetuse asemel üksikuid rakenduste ühendusi ja VPN-operaator võtab positsiooni edasisel teel. See on usalduspiiri liigutamine, mitte selle eemaldamine. Operaator näeb nüüd, millistele sihtkohtadele te jõuate, isegi kui sisu jääb otsast otsani krüpteerituks. Kas see on paranemine, sõltub täielikult sellest, kumba neist kahest osapoolest te vähem usaldate.
Hoidke rakenduse HTTPS ja kavatsetud resolveri kaitse paigal, samal ajal kui seda teete. Tunnel ei asenda sertifikaadi valideerimist ja resolveri kaitse väljalülitamine seetõttu, et liiklus on tunnelisse viidud, eemaldab kontrolli ilma seda asendamata.
Valik nõudest lähtudes
Sõnastage tegelik nõue, sest see otsustab disaini. Juurdepääs eraruumidele, hallatud väljapääsupunkt, konkreetne juurdepääsuvõrgu oht ja seadme autoriseerimine on neli erinevat vajadust nelja erineva vastusega ning ettevõte, mis kasutab ainult avalikke pilverakendusi, peab ikkagi otsustama autoriseerimise ja andmetöötluse üle. Lisakihid võivad olla asjakohased, olemata vahetatavad. Keerulisem ühendus ei ole anonüümsuse mõõt ja see ei ole iseenesest turvaargument.
ECH spetsifikatsiooni, RFC 9849, tasub lugeda selle kohta, mida mehhanism katab ja mida mitte, ja see on aus kanalite suhtes, mille see rahule jätab. Võrrelge mehhanisme vaatleja järgi, kelle igaüks eemaldab, kirjutage see vaatleja üles ja otsustage siis, kas lisakiht tegeleb temaga. Kui vastus on, et vaatleja oli juba teie ohumudelist väljas, on tunnel kulu, millel pole kasu.