HTTPS, DoH, ECH અને VPN જુદી જુદી વસ્તુઓ છુપાવે છે

જે બ્રાઉઝર પહેલેથી HTTPS, DoH અને ECH વાપરે છે તેમાં VPN ઉમેરવાથી ત્રણ સુરક્ષાઓ એકમાં ભેગી થતી નથી; તે બદલે છે કે કોણ શું નિરીક્ષણ કરી શકે તેવી સ્થિતિમાં છે। દરેક પદ્ધતિ જુદી આપલેમાંથી જુદો પક્ષ દૂર કરે છે, અને દરેક કંઈક પાછળ છોડી જાય છે। ઉપયોગી પ્રશ્ન એ નથી કે કઈ સૌથી મજબૂત છે, પણ એ છે કે તમે કયા નિરીક્ષકને દૂર કરવા માંગો છો, કારણ કે જવાબ નક્કી કરે છે કે સુરંગ બિલકુલ મદદ કરે છે કે નહીં। બાકીના નિરીક્ષકોની તુલના લક્ષણોની યાદી કરતાં વધુ ઉપયોગી છે।

ચાર પદ્ધતિઓ, ચાર નિરીક્ષકો

ચાર સંબંધો અને દરેક જે પક્ષને બહાર રાખવા માટે રચાયેલી છે તેનાથી શરૂ કરો। નીચેનું કોષ્ટક એ છે જે હું સમીક્ષામાં વાપરું છું, કારણ કે તે ચર્ચાને ટેકનોલોજીને બદલે નિરીક્ષકનું નામ લેવા ફરજ પાડે છે।

કોષ્ટકનું મૂલ્ય એ છે જે તે કહેવાનું નકારે છે। તે પદ્ધતિઓને ક્રમ આપતું નથી, અને એવો દાવો કરતું નથી કે ચારેય વાપરવાથી ચારેય નિરીક્ષકો દૂર થાય છે। જે ક્લાઉડ વેબ એપ્લિકેશન પોતાની ધાર પર જ TLS સમાપ્ત કરે છે તે તે આપલે માટે ઍક્સેસ નેટવર્કથી સુરક્ષિત છે, અને કોઈ સુરંગ તે ચોક્કસ ગુણધર્મ સુધારતી નથી। સુરંગ શું બદલી શકે છે તે એ છે કે કયું નેટવર્ક બહારના પેકેટ જુએ છે અને હવે કયો ઓપરેટર માર્ગ પર છે।

HTTPS ખરેખર શું છુપાવે છે

HTTPS ક્લાયન્ટ અને પ્રમાણપત્ર જે અંતિમ બિંદુનું નામ આપે છે તેની વચ્ચેની એપ્લિકેશનની આપલેનું રક્ષણ કરે છે। તે લક્ષ્ય સરનામું છુપાવતું નથી, જોડાણ થયું તે છુપાવતું નથી, અને ECH ચાલુ ન હોય તો નામ પણ છુપાવતું નથી। પ્રમાણપત્રની ચકાસણી સુરક્ષાનો ભાગ છે, તેની આસપાસનો રીતરિવાજ નથી।

VPN ને તે TLS સમાપ્ત કરવાની જરૂર નથી, અને ફોરવર્ડિંગ એગ્ઝિટને એપ્લિકેશનના પ્રમાણિત અંતિમ બિંદુ તરીકે ગણવો ન જોઈએ। જો ડિઝાઇન એગ્ઝિટને ડિક્રિપ્ટ કરવા દે છે, તો તે અલગ વિશ્વાસ-ઘોષણા સાથેની અલગ આર્કિટેક્ચર છે।

DoH અને ECH શું ખસેડે છે, અને શું છોડે છે

DoH DNS આપલેને HTTPS રિઝોલ્વર પર ખસેડે છે, એટલે કે તે રિઝોલ્વર સ્થાનિક નેટવર્કના રિઝોલ્વરને બદલે તમારી ક્વેરીઓ જુએ છે। તે વાસ્તવિક અને મર્યાદિત ફેરફાર છે: પસંદ કરેલો રિઝોલ્વર એવો પક્ષ બને છે જે ક્વેરીઓને તમે પછી જે સરનામાંઓ સાથે જોડાઓ છો તેની સાથે સહસંબંધિત કરી શકે છે, અને RFC 8484 એ જ સહસંબંધની ચર્ચા કરે છે। એન્ક્રિપ્ટેડ પરિવહન પ્રાપ્તકર્તાને તે જે ક્વેરીઓના જવાબ આપે છે તેનાથી અજાણ બનાવતું નથી।

ECH ClientHello ના સંવેદનશીલ ભાગનું રક્ષણ કરે છે જેથી માર્ગ પરનો નિષ્ક્રિય નિરીક્ષક ઇચ્છિત સર્વર નામ વાંચી ન શકે। તે સહાયક જમાવટ પર અને સર્વર તથા નેટવર્કની સ્વીકૃતિ પર આધાર રાખે છે, અને બીજી ચેનલોને જ્યાં છે ત્યાં રાખે છે: લક્ષ્ય સરનામાં દૃશ્યમાન રહે છે, અને DNS હજી નામ જાહેર કરી શકે છે।

ECH જે બીજું કરતું નથી તે પોતાને સાબિત કરવું છે। TLS 1.3 વાપરતું જોડાણ એ ECH સ્વીકારાયું તેનો પુરાવો નથી, અને જે બ્રાઉઝર સમર્થન વગરના સર્વરને ECH ઑફર કરે છે તે શાંતિથી પાછું હટે છે। પ્રોટોકોલ આવૃત્તિ પરથી અનુમાન કરવાને બદલે જોડાણની વાસ્તવિક સ્થિતિ તપાસો।

આ સમગ્ર તુલનાનો સામાન્ય આકાર આ છે: દરેક પદ્ધતિ પોતાના સ્તરે ચકાસાય છે, અને એમાંથી કોઈ પણ બીજાની સફળતાથી ચકાસાતું નથી।

VPN શું ખસેડે છે, અને શું ઉમેરે છે

જ્યારે વેબ ટ્રાફિક VPN માં પ્રવેશે છે, ત્યારે ઍક્સેસ નેટવર્ક વ્યક્તિગત એપ્લિકેશન જોડાણોને બદલે VPN સાથી સાથેની બહારની આપલે જુએ છે, અને VPN ઓપરેટર આગળના માર્ગ પર સ્થાન લે છે। તે વિશ્વાસની સીમાનું સ્થળાંતર છે, તેને દૂર કરવું નથી। ઓપરેટર હવે જુએ છે કે તમે કયા લક્ષ્યો સુધી પહોંચો છો, ભલે સામગ્રી શરૂઆતથી અંત સુધી એન્ક્રિપ્ટેડ રહે। તે સુધારો છે કે નહીં તે સંપૂર્ણપણે એના પર આધાર રાખે છે કે તમે એ બે પક્ષોમાંથી કોના પર ઓછો ભરોસો કરો છો।

આ કરતી વખતે એપ્લિકેશનનું HTTPS અને ઇચ્છિત રિઝોલ્વર સુરક્ષા જ્યાં છે ત્યાં રાખો। સુરંગ પ્રમાણપત્ર ચકાસણીનો વિકલ્પ નથી, અને ટ્રાફિક સુરંગમાંથી પસાર થાય છે તેથી રિઝોલ્વરની સુરક્ષાઓ બંધ કરવી એ નિયંત્રણને બદલ્યા વિના દૂર કરવું છે।

જરૂરિયાત પરથી પસંદગી

વાસ્તવિક જરૂરિયાત કહો, કારણ કે તે જ ડિઝાઇન નક્કી કરે છે। ખાનગી સંસાધનોમાં પ્રવેશ, સંચાલિત ઈગ્રેસ પોઇન્ટ, ચોક્કસ ઍક્સેસ-નેટવર્ક ધમકી અને ઉપકરણ અધિકૃતિ એ ચાર જુદી જરૂરિયાતો છે જેમના ચાર જુદા જવાબો છે, અને જે કંપની ફક્ત જાહેર ક્લાઉડ એપ્લિકેશનો વાપરે છે તેણે પણ અધિકૃતિ અને માહિતી સંભાળ નક્કી કરવી પડે છે। વધારાના સ્તરો યોગ્ય હોઈ શકે છે પણ એકબીજાના બદલે નહીં। વધુ જટિલ જોડાણ અનામિકતાનું માપ નથી, અને તે પોતાનામાં સુરક્ષાનો દલીલ નથી।

ECH ની વિશિષ્ટતા, RFC 9849, એ જાણવા માટે વાંચવા જેવી છે કે પદ્ધતિ શું આવરે છે અને શું નહીં, અને જે ચેનલોને તે શાંત રહેવા દે છે તે વિશે તે પ્રામાણિક છે। દરેક પદ્ધતિ જે નિરીક્ષકને દૂર કરે છે તેના આધારે તુલના કરો, તે નિરીક્ષક લખો, અને પછી નક્કી કરો કે વધારાનું સ્તર તેને સંબોધે છે કે નહીં। જો જવાબ એ હોય કે નિરીક્ષક પહેલેથી તમારા ધમકી મોડેલની બહાર હતો, તો સુરંગ લાભ વગરનો ખર્ચ છે।