HTTPS، DoH، ECH و یک VPN چیزهای متفاوتی را پنهان می‌کنند
هر سازوکار ناظر متفاوتی را از مسیر حذف می‌کند و هیچ‌کدام همه را حذف نمی‌کند. پیش از افزودن تونل دیگری، مقایسه کنید چه چیزی محافظت می‌شود.
افزودن VPN به مرورگری که از پیش از HTTPS، DoH و ECH استفاده می‌کند سه محافظت را در یکی انباشته نمی‌کند؛ بلکه تغییر می‌دهد چه کسی در موقعیت مشاهدهٔ چه چیزی قرار دارد. هر سازوکار طرف متفاوتی را از تبادل متفاوتی حذف می‌کند و هر یک چیزی را پشت سر می‌گذارد. پرسش سودمند این نیست که کدام قوی‌تر است، بلکه این است که کدام ناظر را می‌خواهید حذف کنید، چون پاسخ تعیین می‌کند که آیا تونل اصلاً کمک می‌کند. مقایسهٔ ناظران باقی‌مانده از فهرست ویژگی‌ها سودمندتر است.
چهار سازوکار، چهار ناظر
با چهار رابطه و طرفی که هر یک برای بیرون نگه‌داشتن آن طراحی شده آغاز کنید. جدول زیر همانی است که در بازبینی به کار می‌برم، چون گفت‌وگو را وادار می‌کند به‌جای فناوری، یک ناظر را نام ببرد.
| سازوکار | رابطه‌ای که محافظت می‌کند | ناظری که حذف نمی‌کند |
|---|---|---|
| HTTPS | اتصال TLS برنامه به نقطهٔ پایانی نام‌برده‌شده‌اش | شبکهٔ دسترسی هنوز نشانی مقصد را می‌بیند |
| DoH | تبادل DNS با حل‌کنندهٔ HTTPS برگزیده | آن حل‌کننده هر پرس‌وجو را می‌بیند |
| ECH | فیلدهای حساس ClientHello، جایی که پشتیبانی و پذیرفته شود | نشانی‌های مقصد، و DNS اگر پوشش داده نشود |
| VPN | بسته‌های پوشش‌داده‌شده که به همتای VPN حمل می‌شوند | اپراتور VPN مقصدها را می‌بیند |
ارزش جدول در چیزی است که از گفتن آن خودداری می‌کند. سازوکارها را رتبه‌بندی نمی‌کند و ادعا نمی‌کند که استفاده از هر چهار، هر چهار ناظر را حذف می‌کند. یک برنامهٔ وب ابری که TLS را از پیش در لبهٔ خود پایان می‌دهد برای آن تبادل از شبکهٔ دسترسی محافظت می‌شود و هیچ تونلی آن ویژگی خاص را بهبود نمی‌دهد. آنچه تونل می‌تواند تغییر دهد این است که کدام شبکه بسته‌های بیرونی را می‌بیند و اکنون کدام اپراتور روی مسیر است.
HTTPS در واقع چه چیزی را پنهان می‌کند
HTTPS تبادل برنامه را میان کارخواه و نقطهٔ پایانی که گواهی نام می‌برد محافظت می‌کند. نشانی مقصد را پنهان نمی‌کند، پنهان نمی‌کند که اتصالی رخ داده و نام را پنهان نمی‌کند مگر آنکه ECH در کار باشد. اعتبارسنجی گواهی بخشی از محافظت است، نه تشریفاتی پیرامون آن.
VPN لازم نیست آن TLS را پایان دهد و خروجی ارسال نباید به‌عنوان نقطهٔ پایانی معتبر برنامه تلقی شود. اگر طراحی کاری کند که خروجی رمزگشایی کند، آن معماری دیگری با بیانیهٔ اعتماد دیگری است.
DoH و ECH چه چیزی را جابه‌جا می‌کنند و چه چیزی را باقی می‌گذارند
DoH تبادل DNS را به یک حل‌کنندهٔ HTTPS منتقل می‌کند، یعنی آن حل‌کننده به‌جای حل‌کنندهٔ شبکهٔ محلی پرس‌وجوهای شما را می‌بیند. این تغییری واقعی و محدود است: حل‌کنندهٔ برگزیده طرفی می‌شود که می‌تواند پرس‌وجوها را با نشانی‌هایی که سپس به آن‌ها وصل می‌شوید همبسته کند و این همان همبستگی‌ای است که RFC 8484 بحث می‌کند. انتقال رمزنگاری‌شده گیرنده را از پرس‌وجوهایی که پاسخ می‌دهد بی‌خبر نمی‌کند.
ECH بخش حساس ClientHello را محافظت می‌کند تا ناظر غیرفعال روی مسیر نتواند نام سرور مقصود را بخواند. به استقرار پشتیبان و به پذیرش سرور و شبکه وابسته است و کانال‌های دیگری را بر جا می‌گذارد: نشانی‌های مقصد دیده می‌شوند و DNS هنوز می‌تواند نام را آشکار کند.
کار دیگری که ECH نمی‌کند اثبات خودش است. اتصالی که از TLS 1.3 استفاده می‌کند شاهد پذیرفته‌شدن ECH نیست و مرورگری که ECH را به سروری بدون پشتیبانی پیشنهاد می‌دهد بی‌صدا عقب می‌نشیند. وضعیت واقعی اتصال را بررسی کنید، نه آنکه آن را از نسخهٔ پروتکل استنتاج کنید.
این شکل کلی تمام این مقایسه است: هر سازوکار در لایهٔ خودش بررسی می‌شود و هیچ‌کدام با موفقیت دیگری بررسی نمی‌شود.
VPN چه چیزی را جابه‌جا می‌کند و چه چیزی می‌افزاید
وقتی ترافیک وب وارد VPN می‌شود، شبکهٔ دسترسی به‌جای اتصال‌های فردی برنامه، تبادل بیرونی با همتای VPN را می‌بیند و اپراتور VPN روی مسیر بعدی جایگاه می‌گیرد. این جابه‌جایی مرز اعتماد است، نه حذف آن. اپراتور اکنون می‌بیند به کدام مقصدها می‌رسید، حتی اگر محتوا سرتاسر رمزنگاری‌شده بماند. اینکه این بهبود است کاملاً بستگی دارد به اینکه به کدام یک از این دو طرف کمتر اعتماد دارید.
هنگام انجام این کار، HTTPS برنامه و محافظت حل‌کنندهٔ مقصود را بر جا نگه دارید. تونل جانشین اعتبارسنجی گواهی نیست و خاموش‌کردن محافظت‌های حل‌کننده به این دلیل که ترافیک از تونل می‌گذرد، کنترلی را بدون جانشین حذف می‌کند.
گزینش بر پایهٔ نیاز
نیاز واقعی را بیان کنید، چون همان طراحی را تعیین می‌کند. دسترسی به منابع خصوصی، نقطهٔ خروج مدیریت‌شده، تهدید مشخص شبکهٔ دسترسی و مجوزدهی دستگاه چهار نیاز متفاوت با چهار پاسخ متفاوت‌اند و شرکتی که فقط از برنامه‌های ابری عمومی استفاده می‌کند باز هم باید دربارهٔ مجوزدهی و مدیریت داده تصمیم بگیرد. لایه‌های افزوده می‌توانند مناسب باشند بی‌آنکه جای‌گزین یکدیگر شوند. اتصال پیچیده‌تر اندازه‌گیری ناشناسی نیست و به‌تنهایی استدلال امنیتی نیست.
مشخصات ECH، RFC 9849، ارزش خواندن دارد برای اینکه سازوکار چه چیزی را پوشش می‌دهد و چه چیزی را نه، و دربارهٔ کانال‌هایی که به حال خود رها می‌کند صادق است. سازوکارها را بر پایهٔ ناظری که هر یک حذف می‌کند مقایسه کنید، آن ناظر را بنویسید و سپس تصمیم بگیرید که آیا لایهٔ افزوده به آن می‌پردازد. اگر پاسخ این است که ناظر از پیش بیرون از مدل تهدید شما بوده، تونل هزینه‌ای بی‌فایده است.