HTTPS, DoH, ECH en in VPN ferbergje ferskillende dingen
Elk meganisme ferwideret in oare waarnimmer fan it paad, en gjinien ferwideret se allegear. Fergelykje wat beskerme is foardat jo in oare tunnel tafoegje.
In VPN tafoegje oan in browser dy't al HTTPS, DoH en ECH brûkt, stapelt net trije beskermingen yn ien; it feroaret wa't yn 'e posysje is om wat te waarnimmen. Elk meganisme ferwideret in oare partij út in oare útwikseling, en elk lit wat efter. De nuttige fraach is net hokker it sterkst is, mar hokker waarnimmer jo besykje te ferwiderjen, want it antwurd beslút oft in tunnel hielendal helpt. In fergeliking fan 'e oerbliuwende waarnimmers is nuttiger as in funksjelist.
Fjouwer meganismen, fjouwer waarnimmers
Begjin mei de fjouwer relaasjes en de partij dy't elk fan harren ûntwurpen is om bûten te hâlden. De tabel hjirûnder is dejinge dy't ik by resinsje brûk, want it twingt it petear om in waarnimmer te neamen yn stee fan in technology.
| Meganisme | Relaasje dy't it beskermet | Waarnimmer dy't it net ferwideret |
|---|---|---|
| HTTPS | De TLS-ferbining fan 'e applikaasje mei syn neamde einpunt | It tagongsnetwurk sjocht noch altyd it bestimmingsadres |
| DoH | De DNS-útwikseling mei de keazen HTTPS-oplosser | Dy oplosser sjocht elke fraach |
| ECH | De gefoelige ClientHello-fjilden, wêr't stipe en akseptearre | Bestimmingsadressen, en DNS as it net dekt is |
| VPN | Beklaaide pakketten nei de VPN-pear brocht | De VPN-operator sjocht de bestimmingen |
De wearde fan 'e tabel is wat it wegeret te sizzen. It rangskikt de meganismen net, en it beweart net dat it brûken fan alle fjouwer alle fjouwer waarnimmers ferwideret. In cloud-webapplikaasje dy't TLS al by syn eigen râne beëiniget, is foar dy útwikseling beskerme tsjin it tagongsnetwurk, en gjin tunnel ferbetteret dy spesifike eigenskip. Wat in tunnel feroarje kin, is hokker netwurk de bûtenste pakketten sjocht en hokker operator no op it paad is.
Wat HTTPS eins ferberget
HTTPS beskermet de útwikseling fan 'e applikaasje tusken de klant en it einpunt dat it sertifikaat neamt. It ferberget net it bestimmingsadres, it ferberget net dat der in ferbining wie, en it ferberget de namme net, útsein as ECH yn it spul is. Sertifikaatfalidaasje is diel fan 'e beskerming, net in formaliteit deromhinne.
In VPN hoecht dy TLS net te beëinigjen, en in trochstjoerende útgong moat net as it autentisearre einpunt fan 'e applikaasje behannele wurde. As in ûntwerp de útgong ûntsiferje lit, is dat in oare arsjitektuer mei in oare fertrouwensferklearring.
Wat DoH en ECH ferpleatse, en wat se litte
DoH ferpleatst de DNS-útwikseling nei in HTTPS-oplosser, wat betsjuttet dat dy oplosser jo fragen sjocht yn stee fan 'e oplosser fan it lokale netwurk. Dat is in echte en beheinde feroaring: de keazen oplosser wurdt in partij dy't fragen korrelearje kin mei de adressen dêr't jo dêrnei ferbine, en dat is krekt de korrelaasje dy't RFC 8484 besprekt. Fersifere transport makket de ûntfanger net ûnwitend fan 'e fragen dy't er beäntwurdet.
ECH beskermet it gefoelige part fan ClientHello, sadat in passive waarnimmer op it paad de bedoelde servernamme net lêze kin. It hinget ôf fan in stypjende ynset en fan akseptaasje troch de server en it netwurk, en it lit oare kanalen stean: bestimmingsadressen bliuwe sichtber, en DNS kin de namme noch ferriede.
It oare dat ECH net docht, is himsels bewize. In ferbining dy't TLS 1.3 brûkt is gjin bewiis dat ECH akseptearre waard, en in browser dy't ECH oanbiedt oan in server sûnder stipe falt stil werom. Kontrolearje de werklike tastân fan 'e ferbining yn stee fan dy út 'e protokolferzje ôf te lieden.
Dat is de algemiene foarm fan dizze hiele fergeliking: elk meganisme wurdt op syn eigen laach ferifiearre, en gjinien fan harren wurdt troch it sukses fan in oare ferifiearre.
Wat in VPN ferpleatst, en wat it tafoeget
As webforkear in VPN yn giet, sjocht it tagongsnetwurk de bûtenste útwikseling mei de VPN-pear yn stee fan 'e yndividuele applikaasjeferbiningen, en de VPN-operator nimt posysje yn op it fierdere paad. Dat is in ferpleatsing fan 'e fertrouwensgrins, net it fuortheljen derfan. De operator sjocht no hokker bestimmingen jo berikke, sels as de ynhâld fan ein oant ein fersifere bliuwt. Oft dat in ferbettering is, hinget folslein ôf fan hokker fan dy twa partijen jo minder fertrouwe.
Hâld de HTTPS fan 'e applikaasje en de bedoelde oplosserbeskerming op har plak wylst jo dit dogge. In tunnel ferfangt gjin sertifikaatfalidaasje, en it útskeakeljen fan 'e beskermingen fan in oplosser om't it forkear troch in tunnel giet, ferwideret in kontrôle sûnder dy te ferfangen.
Kieze út 'e eask
Formulearje de werklike eask, want dy beslút it ûntwerp. Tagong ta partikuliere boarnen, in beheard útgongspunt, in spesifike bedriging fan it tagongsnetwurk en apparaatautorisatie binne fjouwer ferskillende behoeften mei fjouwer ferskillende antwurden, en in bedriuw dat allinnich iepenbiere cloud-applikaasjes brûkt, moat noch altyd autorisatie en gegevensbehanneling beslute. Ekstra lagen kinne passend wêze sûnder ferwikselber te wêzen. In yngewikkelder ferbining is gjin anonymitynsmjitting, en it is op himsels gjin feiligensargumint.
De spesifikaasje fan ECH, RFC 9849, is it wurdich te lêzen foar wat it meganisme wol en net omfettet, en it is earlik oer de kanalen dy't it gewurde lit. Fergelykje de meganismen by de waarnimmer dy't elk ferwideret, skriuw dy waarnimmer op, en beslút dan oft de ekstra laach him oansprekt. As it antwurd is dat de waarnimmer al bûten jo bedrigingsmodel wie, is de tunnel kosten sûnder foardiel.