TLS 1.3 har yanzu yana aika sunan uwar garken a fili

Haɓaka mai sauraro zuwa TLS 1.3 yana canza abin da mai kallo zai iya karantawa, amma ba kamar yadda lambar sigar ta nuna ba. ClientHello har yanzu yana tafiya kafin a yi shawarar kowane ɓoyewa, kuma a cikin haɗi na yau da kullum sunan uwar garken da aka nema yana nan a fili. Encrypted Client Hello shine hanyar da ke ɓoye shi, kuma turawa ce daban da take da nata sharuɗɗan. Yi waɗannan matakai huɗu kafin ka rubuta manufar da ta ɗauka ɗaya daga cikin halayen biyu.

Abin da musafaha ke bayyanawa da gaske

TLS 1.3 yana ɓoye takardar shaidar uwar garken da yawancin musafahar da ke biyo ServerHello. Duk abin da abokin ciniki ke aikawa da farko yana wajen wannan kariya, domin maɓallan ba su wanzu ba tukuna. Alamar sunan uwar garken tana cikin wannan jirgin farko, shi ya sa mai kallo da ba ya shiga tsakani zai iya karanta shi ba tare da karya komai ba.

Ƙayyadaddun ECH, RFC 9849, yana canza wannan ta hanyar ɓoye ClientHello na ciki ga uwar garken da ke haɗin gwiwa. Musafahar na waje ya rage kuma yana ɗauke da sunan jama’a da hanyar sadarwa za ta iya gani, don haka turawar har yanzu tana buƙatar ainihi na waje wanda ke da ma’ana ga masu shiga tsakani. Wannan sunan na waje shine ɓangaren da mutane ke rasa lokacin da suke tsammanin haɗin zai zama mara suna. Sunan rufi ne, ba ɓoyayyen suna ba, kuma dole ne a warware shi kuma a tabbatar da shi kamar kowane.

Babu ɗaya daga cikin waɗannan da ke ɓoye hanyar isarwa. Adiresoshin tushe da manufa, tashoshi, girman fakiti da lokaci suna kasancewa ana iya lura da su, kuma waɗannan sukan faɗi fiye da sunan game da wanda ke magana. Warwarewar sunaye da alaƙar matakin aikace-aikace wani rufi ne kuma, kowanne da nasa ganuwa.

Karanta ClientHello maimakon ɗauka

Sigar da ke cikin ServerHello ba ta gaya maka abin da abokin ciniki ya aika ba. Duba jirgin farko kai tsaye, daga matsayin da ke wakiltar mai kallon da kake damu da shi.

openssl s_client -connect app.plant.example:443 -servername app.plant.example -tls1_3 </dev/null> 2>/dev/null | head -20
sudo tcpdump -ni eth0 -c 40 'tcp port 443' -w /tmp/tls.pcap
tshark -r /tmp/tls.pcap -Y 'tls.handshake.extensions_server_name' -T fields -e tls.handshake.extensions_server_name

Umarni na farko yana yin musafaha kuma yana nuna sigogin da aka tattauna, ciki har da sigar ka’ida da sunan da ka nema. Na biyu yana kama fakitin farko na haɗi na gaske, kuma na uku yana fitar da filin SNI daga wannan kamawa. Idan filin ya cika, mai kallon da ka kwaikwaya zai iya karanta shi.

Kama daban a gefen abokin ciniki da kuma a hanya lokacin da biyun ba su yarda ba, domin kamawa na gida na iya nuna sunan da middlebox zai sake rubuta ko ya watsar daga baya. Kama kuma daga mai masaukin da ba ya kammala TLS da kansa, tunda wakili mai kammalawa yana ganin rubutu a fili bisa ƙira kuma ba ya tabbatar da komai game da abin da hanyar sadarwa ke gani.

Ɗauki ƙarin ECH a matsayin da’awa, ba hujja ba

Ganin ƙarin ECH a cikin ClientHello ba ya nufin haɗin ya yi amfani da ECH ba. Abokan ciniki suna aika GREASE ECH lokacin da ba su da ingantaccen tsari, domin musafaharsu su yi kama ɗaya. Ƙarin yana nan, hello na ciki tarko ne, kuma ainihin sunan har yanzu ana iya karantawa.

dig +short HTTPS app.plant.example
openssl s_client -connect app.plant.example:443 -tls1_3 -status </dev/null> 2>/dev/null | grep -i -E 'ech|status_request'

Umarni na farko yana nuna ko asalin yana wallafa rikodin albarkatun HTTPS tare da sigar tsarin ECH, kuma haka abokan ciniki ke koyon maɓalli. Na biyu yana neman bayanin matsayin musafaha, ko da yake saƙon nasara na abokin ciniki shine mafi ƙarfin hujja. Karɓa shine abin da ke da muhimmanci: uwar garken da ba ta da maɓallin da ya dace ba za ta iya ɓata hello na ciki ba, kuma haɗin yana komawa baya.

Duba abokin ciniki kuma, domin tallafin burauza da tsari sun bambanta bisa siga da dandali. Manufar da aka gina akan „burauza na zamani suna amfani da ECH“ hasashe ne game da runduna, ba gaskiya ba game da rundunarka. Yi lissafin sigogin da suke haɗi da gaske, sannan ka gwada ɗaya daga kowanne. Shafin da ke aiki daga burauzar tebur na yanzu yana iya zama ba ya ɓoye komai daga tsohon abokin ciniki a cikin hanyar sadarwa ɗaya.

Rubuta iyakar mai kallo a cikin manufar

Bayyana inda mai kallon yake zaune da abin da ake gani a wannan matsayi kafin ka yanke shawarar abin da iko zai dogara da shi. Haɗin burauza da gidan yanar gizo, jigilar VPN na waje da wakilin da ke kammala TLS kowanne yana bayyana wani saitin gaskiya daban, kuma dokar da aka rubuta don matsayi ɗaya ba safai ake matsawa zuwa wani ba.

Idan iko ya dogara da karanta SNI, gwada yadda abokan cinikin da aka tura suke ɗabi’a lokacin da ECH yake samuwa da kuma lokacin da ba ya. Sannan rubuta sakamakon dacewa, domin tacewa da ta daina dacewa a hankali ya fi muni da wadda ba a taɓa turawa ba.

A ƙarshe, riƙe rashin tabbas a cikin rikodin. Maye gurbin tsohuwar da’awa ta duniya da sabuwa yana barin ramin ɗaya a ƙarƙashin wani sunan ka’ida, kuma mai bita na gaba zai yi imani da ita da ƙarfi ɗaya.