HTTPS, DoH, ECH और VPN अलग-अलग चीज़ें छिपाते हैं

जो ब्राउज़र पहले से HTTPS, DoH और ECH इस्तेमाल करता है, उसमें VPN जोड़ना तीन सुरक्षाओं को एक में नहीं ढेर करता; यह बदलता है कि कौन क्या देख सकने की स्थिति में है। हर तंत्र अलग आदान-प्रदान से अलग पक्ष हटाता है, और हर एक कुछ पीछे छोड़ जाता है। उपयोगी सवाल यह नहीं कि कौन सबसे मज़बूत है, बल्कि यह कि आप किस निरीक्षक को हटाना चाहते हैं, क्योंकि जवाब ही तय करता है कि सुरंग काम आती है या नहीं। बचे हुए निरीक्षकों की तुलना सुविधाओं की सूची से ज़्यादा उपयोगी है।

चार तंत्र, चार निरीक्षक

चार संबंधों और उस पक्ष से शुरू करें जिसे हर एक बाहर रखने के लिए बना है। नीचे दी गई तालिका वही है जो मैं समीक्षा में इस्तेमाल करता हूँ, क्योंकि यह बातचीत को तकनीक के बजाय निरीक्षक का नाम लेने पर मजबूर करती है।

तालिका का मूल्य वह है जो वह कहने से इनकार करती है। यह तंत्रों को क्रम नहीं देती, और यह दावा नहीं करती कि चारों के इस्तेमाल से चारों निरीक्षक हट जाते हैं। जो क्लाउड वेब एप्लिकेशन पहले से अपने किनारे पर TLS समाप्त करता है, वह उस आदान-प्रदान के लिए एक्सेस नेटवर्क से सुरक्षित है, और कोई सुरंग उस विशेष गुण को बेहतर नहीं बनाती। सुरंग जो बदल सकती है वह यह है कि कौन सा नेटवर्क बाहरी पैकेट देखता है और अब मार्ग पर कौन सा ऑपरेटर है।

HTTPS वास्तव में क्या छिपाता है

HTTPS क्लाइंट और प्रमाणपत्र द्वारा नामित अंतिम बिंदु के बीच एप्लिकेशन के आदान-प्रदान की रक्षा करता है। यह गंतव्य पता नहीं छिपाता, यह नहीं छिपाता कि कनेक्शन हुआ, और नाम भी नहीं छिपाता जब तक ECH न हो। प्रमाणपत्र सत्यापन सुरक्षा का हिस्सा है, उसके आसपास की औपचारिकता नहीं।

VPN को उस TLS को समाप्त करने की ज़रूरत नहीं, और फ़ॉरवर्डिंग एग्ज़िट को एप्लिकेशन का प्रमाणित अंतिम बिंदु नहीं माना जाना चाहिए। अगर डिज़ाइन एग्ज़िट को डिक्रिप्ट करने देता है, तो वह अलग विश्वास-घोषणा वाली अलग संरचना है।

DoH और ECH क्या खिसकाते हैं, और क्या छोड़ते हैं

DoH DNS आदान-प्रदान को HTTPS रिज़ॉल्वर पर ले जाता है, यानी वह रिज़ॉल्वर स्थानीय नेटवर्क के रिज़ॉल्वर के बजाय आपकी क्वेरी देखता है। यह वास्तविक और सीमित बदलाव है: चुना गया रिज़ॉल्वर ऐसा पक्ष बन जाता है जो क्वेरी को उन पतों से जोड़ सकता है जिनसे आप बाद में जुड़ते हैं, और यह ठीक वही सहसंबंध है जिस पर RFC 8484 चर्चा करता है। एन्क्रिप्टेड परिवहन प्राप्तकर्ता को उन क्वेरी से अनजान नहीं बनाता जिनका वह जवाब देता है।

ECH ClientHello के संवेदनशील हिस्से की रक्षा करता है ताकि मार्ग पर निष्क्रिय निरीक्षक इच्छित सर्वर नाम न पढ़ सके। यह सहायक परिनियोजन और सर्वर तथा नेटवर्क की स्वीकृति पर निर्भर है, और दूसरे चैनल जहाँ हैं वहीं छोड़ता है: गंतव्य पते दिखते रहते हैं, और DNS अब भी नाम ज़ाहिर कर सकता है।

ECH जो दूसरी चीज़ नहीं करता वह है खुद को साबित करना। TLS 1.3 इस्तेमाल करने वाला कनेक्शन इस बात का सबूत नहीं कि ECH स्वीकार हुआ, और जो ब्राउज़र बिना समर्थन वाले सर्वर को ECH पेश करता है वह चुपचाप पीछे हट जाता है। प्रोटोकॉल संस्करण से अनुमान लगाने के बजाय कनेक्शन की वास्तविक स्थिति जाँचें।

यह पूरी तुलना का सामान्य आकार है: हर तंत्र अपनी परत पर सत्यापित होता है, और इनमें से कोई भी दूसरे की सफलता से सत्यापित नहीं होता।

VPN क्या खिसकाता है, और क्या जोड़ता है

जब वेब ट्रैफ़िक VPN में प्रवेश करता है, तो एक्सेस नेटवर्क अलग-अलग एप्लिकेशन कनेक्शन के बजाय VPN साथी के साथ बाहरी आदान-प्रदान देखता है, और VPN ऑपरेटर आगे के मार्ग पर स्थान लेता है। यह विश्वास की सीमा का स्थानांतरण है, उसे हटाना नहीं। ऑपरेटर अब देखता है कि आप किन गंतव्यों तक पहुँचते हैं, भले ही सामग्री शुरू से अंत तक एन्क्रिप्टेड रहे। यह सुधार है या नहीं, यह पूरी तरह इस पर निर्भर है कि आप इन दो पक्षों में से किस पर कम भरोसा करते हैं।

ऐसा करते समय एप्लिकेशन का HTTPS और इच्छित रिज़ॉल्वर सुरक्षा जहाँ है वहीं रखें। सुरंग प्रमाणपत्र सत्यापन का विकल्प नहीं है, और ट्रैफ़िक सुरंग से जाता है इसलिए रिज़ॉल्वर की सुरक्षाएँ बंद करना नियंत्रण को बदले बिना हटाना है।

आवश्यकता से चुनना

वास्तविक आवश्यकता बताएं, क्योंकि वही डिज़ाइन तय करती है। निजी संसाधनों तक प्रवेश, प्रबंधित ईग्रेस बिंदु, एक्सेस नेटवर्क की विशेष धमकी और डिवाइस प्राधिकरण चार अलग ज़रूरतें हैं जिनके चार अलग जवाब हैं, और जो कंपनी केवल सार्वजनिक क्लाउड एप्लिकेशन इस्तेमाल करती है उसे भी प्राधिकरण और डेटा प्रबंधन तय करना होता है। अतिरिक्त परतें उपयुक्त हो सकती हैं, पर एक-दूसरे की जगह नहीं ले सकतीं। अधिक जटिल कनेक्शन गुमनामी का माप नहीं है, और वह अपने आप में सुरक्षा का तर्क नहीं है।

ECH का विनिर्देश, RFC 9849, इस बात के लिए पढ़ने योग्य है कि तंत्र क्या कवर करता है और क्या नहीं, और यह उन चैनलों के बारे में ईमानदार है जिन्हें वह अछूता छोड़ता है। तंत्रों की तुलना उस निरीक्षक से करें जिसे हर एक हटाता है, उस निरीक्षक को लिखें, और फिर तय करें कि अतिरिक्त परत उसे संबोधित करती है या नहीं। अगर जवाब यह है कि निरीक्षक पहले से आपके धमकी मॉडल से बाहर था, तो सुरंग बिना लाभ का खर्च है।