HTTPS, DoH, ECH eta VPN desberdinak ezkutatzen dituzte
Mekanismo bakoitzak behatzaile desberdin bat kentzen du bidetik, eta inork ez ditu denak kentzen. Konparatu zer dagoen babestuta beste tunel bat gehitu aurretik.
HTTPS, DoH eta ECH erabiltzen dituen nabigatzaile bati VPN bat gehitzeak ez ditu hiru babes bat bakarrean pilatzen; nor zer behatzeko posizioan dagoen aldatzen du. Mekanismo bakoitzak parte desberdin bat kentzen du truke desberdin batetik, eta bakoitzak zerbait uzten du atzean. Galdera erabilgarria ez da zein den indartsuena, baizik eta zein behatzaile kentzen saiatzen zaren, erantzunak erabakitzen baitu tunelak batere laguntzen duen. Gainerako behatzaileen konparazioa funtzioen zerrenda baino erabilgarriagoa da.
Lau mekanismo, lau behatzaile
Hasi lau harremanetatik eta bakoitza kanpoan edukitzeko diseinatuta dagoen partetik. Beheko taula berrikuspenean erabiltzen dudana da, elkarrizketa teknologia bat beharrean behatzaile bat izendatzera behartzen duelako.
| Mekanismoa | Babesten duen harremana | Kentzen ez duen behatzailea |
|---|---|---|
| HTTPS | Aplikazioaren TLS konexioa bere izendatutako amaiera-puntuarekin | Sarbide-sareak oraindik helburuko helbidea ikusten du |
| DoH | DNS trukea hautatutako HTTPS ebazlearekin | Ebazle horrek kontsulta guztiak ikusten ditu |
| ECH | ClientHello-ren eremu sentikorrak, onartuak eta onartzen direnean | Helburuko helbideak, eta DNS estalita ez badago |
| VPN | VPN pareari eramanak diren pakete estaliak | VPN operadoreak helmugak ikusten ditu |
Taularen balioa esateari uko egiten diona da. Ez ditu mekanismoak sailkatzen, eta ez du esaten laurak erabiltzeak lau behatzaileak kentzen dituenik. TLS bere ertzean amaitzen duen hodeiko web aplikazio bat sarbide-saretik babestuta dago truke horretarako, eta inongo tunelik ez du propietate hori hobetzen. Tunel batek alda dezakeena da zein sarek ikusten dituen kanpoko paketeak eta zein operadore dagoen orain bidean.
Zer ezkutatzen du HTTPSek benetan
HTTPSek bezeroaren eta ziurtagiriak izendatzen duen amaiera-puntuaren arteko aplikazioaren trukea babesten du. Ez du helburuko helbidea ezkutatzen, ez du ezkutatzen konexio bat gertatu zenik, eta ez du izena ezkutatzen ECH jokoan ez badago. Ziurtagiriaren balidazioa babesaren parte da, ez haren inguruko formalitate bat.
VPN batek ez du TLS hori amaitu behar, eta birbidalketa-irteera ez da aplikazioaren amaiera-puntu autentifikatutzat hartu behar. Diseinu batek irteera deszifratzen badu, hori beste arkitektura bat da, beste konfiantza-aitorpen batekin.
Zer mugitzen dute DoHk eta ECHe, eta zer uzten dute
DoHk DNS trukea HTTPS ebazlera eramaten du, hau da, ebazle horrek zure kontsultak ikusten ditu sare lokalaren ebazlearen ordez. Benetako aldaketa eta mugatua da: hautatutako ebazlea kontsultak gero konektatzen zaren helbideekin korrelazionatu ditzakeen parte bihurtzen da, eta horixe da RFC 8484k aztertzen duen korrelazioa. Garraio zifratuak ez du hartzailea erantzuten dituen kontsultetaz ezjakin bihurtzen.
ECHe ClientHello-ren zati sentikorra babesten du, bidean dauden behatzaile pasibo batek nahi den zerbitzari-izena irakur ez dezan. Ezarpen lagungarri baten eta zerbitzariaren eta sarearen onarpenaren mende dago, eta beste kanal batzuk tokian uzten ditu: helburuko helbideak ikusgai jarraitzen dute, eta DNSk oraindik izena ager dezake.
ECHe egiten ez duen beste gauza bere burua frogatzea da. TLS 1.3 erabiltzen duen konexio bat ez da ECH onartu izanaren froga, eta ECH onartzen ez duen zerbitzari bati ECH eskaintzen dion nabigatzailea isilean atzera egiten du. Egiaztatu konexioaren benetako egoera, protokoloaren bertsiotik ondorioztatu beharrean.
Hori da konparazio oso honen forma orokorra: mekanismo bakoitza bere geruzan egiaztatzen da, eta horietako bat ere ez da beste baten arrakastak egiaztatzen.
Zer mugitzen du VPN batek, eta zer gehitzen du
Web trafikoak VPN batera sartzen denean, sarbide-sareak VPN parearekin duen kanpoko trukea ikusten du aplikazioen konexio indibidualen ordez, eta VPN operadoreak posizioa hartzen du aurrerako bidean. Konfiantza-mugaren lekualdatzea da, ez ezabapena. Operadoreak orain ikusten du zein helmugatara iristen zaren, edukia muturretik muturrera zifratuta egon arren. Hori hobekuntza den ala ez bi parte horietako zeini gutxiago fidatzen zaren mende dago erabat.
Mantendu aplikazioaren HTTPS eta aurreikusitako ebazlearen babesa, hau egiten duzun bitartean. Tunel bat ez da ziurtagiriaren balidazioaren ordezkoa, eta ebazle baten babesak itzaltzea trafikoa tunel batetik doalako kontrola kentzea da, ordezkatu gabe.
Betekizunetik aukeratu
Adierazi benetako betekizuna, hark erabakitzen baitu diseinua. Baliabide pribatuetarako sarbidea, kudeatutako irteera-puntu bat, sarbide-sareko mehatxu zehatz bat eta gailuen autorizazioa lau behar desberdin dira, lau erantzun desberdinekin, eta hodeiko aplikazio publikoak soilik erabiltzen dituen enpresak autorizazioa eta datuen tratamendua erabaki behar ditu oraindik. Geruza gehigarriak egokiak izan daitezke trukagarriak izan gabe. Konexio konplexuagoa ez da anonimotasunaren neurketa bat, eta ez da bere horretan segurtasun-argudio bat.
ECHren zehaztapena, RFC 9849, irakurtzea merezi du mekanismoak zer hartzen duen eta zer ez jakiteko, eta zintzoa da bakean uzten dituen kanalei buruz. Konparatu mekanismoak bakoitzak kentzen duen behatzailearen arabera, idatzi behatzaile hori, eta erabaki gero geruza gehigarriak hura lantzen duen. Erantzuna behatzailea zure mehatxu-eredutik kanpo zegoela bada, tunela kostua da etekinik gabe.