A HTTPS, a DoH, az ECH és egy VPN más-mást rejt el
Minden mechanizmus más megfigyelőt távolít el az útvonalról, és egyik sem távolítja el az összeset. Hasonlítsa össze, mi védett, mielőtt újabb alagutat ad hozzá.
Ha egy böngészőhöz, amely már használ HTTPS-t, DoH-t és ECH-t, VPN-t adunk, az nem három védelmet halmoz egybe; megváltoztatja, ki van abban a helyzetben, hogy mit figyeljen meg. Minden mechanizmus más felet távolít el egy másik cseréből, és mindegyik hagy maga után valamit. A hasznos kérdés nem az, melyik a legerősebb, hanem hogy melyik megfigyelőt próbálja eltávolítani, mert a válasz dönti el, segít-e egyáltalán az alagút. A megmaradó megfigyelők összehasonlítása hasznosabb egy funkciólistánál.
Négy mechanizmus, négy megfigyelő
Kezdje a négy kapcsolattal és azzal a féllel, amelyet mindegyik kint tartani hivatott. Az alábbi táblázat az, amelyet átvizsgáláskor használok, mert arra kényszeríti a beszélgetést, hogy megfigyelőt nevezzen meg technológia helyett.
| Mechanizmus | Az általa védett kapcsolat | A megfigyelő, amelyet nem távolít el |
|---|---|---|
| HTTPS | Az alkalmazás TLS-kapcsolata a megnevezett végpontjához | A hozzáférési hálózat továbbra is látja a célcímet |
| DoH | A DNS-csere a kiválasztott HTTPS-feloldóval | Az a feloldó minden lekérdezést lát |
| ECH | A ClientHello érzékeny mezői, ahol támogatott és elfogadott | A célcímek, és a DNS, ha nincs lefedve |
| VPN | A VPN-társhoz vitt fedett csomagok | A VPN-szolgáltató látja a célpontokat |
A táblázat értéke az, amit megtagad kimondani. Nem rangsorolja a mechanizmusokat, és nem állítja, hogy mind a négy használata mind a négy megfigyelőt eltávolítja. Egy felhőalapú webalkalmazás, amely már a saját peremén fejezi be a TLS-t, arra a cserére védett a hozzáférési hálózattal szemben, és egyetlen alagút sem javítja ezt a konkrét tulajdonságot. Amit egy alagút megváltoztathat, az az, hogy melyik hálózat látja a külső csomagokat, és melyik szolgáltató van most az útvonalon.
Mit rejt el valójában a HTTPS
A HTTPS az alkalmazás cseréjét védi az ügyfél és a tanúsítvány által megnevezett végpont között. Nem rejti el a célcímet, nem rejti el, hogy létrejött egy kapcsolat, és a nevet sem rejti el, hacsak az ECH nincs játékban. A tanúsítvány-ellenőrzés a védelem része, nem formalitás körülötte.
Egy VPN-nek nem kell lezárnia ezt a TLS-t, és egy továbbító kilépőpontot nem szabad az alkalmazás hitelesített végpontjaként kezelni. Ha egy tervezetben a kilépőpont visszafejti a titkosítást, az más architektúra, más bizalmi nyilatkozattal.
Mit mozgat a DoH és az ECH, és mit hagynak meg
A DoH a DNS-cserét egy HTTPS-feloldóhoz mozgatja, ami azt jelenti, hogy az a feloldó látja a lekérdezéseit a helyi hálózat feloldója helyett. Ez valódi és korlátozott változás: a kiválasztott feloldó olyan féllé válik, amely össze tudja kapcsolni a lekérdezéseket azokkal a címekkel, amelyekhez később csatlakozik, és pontosan ez az az összefüggés, amelyet az RFC 8484 tárgyal. A titkosított átvitel nem teszi a címzettet tudatlanná azokról a lekérdezésekről, amelyekre válaszol.
Az ECH a ClientHello érzékeny részét védi, hogy az útvonalon lévő passzív megfigyelő ne tudja elolvasni a szándékolt kiszolgálónevet. Ez támogató telepítéstől, valamint a kiszolgáló és a hálózat elfogadásától függ, és más csatornákat a helyén hagy: a célcímek láthatók maradnak, és a DNS még mindig felfedheti a nevet.
A másik dolog, amit az ECH nem tesz, hogy önmagát bizonyítja. Egy TLS 1.3-at használó kapcsolat nem bizonyítéka annak, hogy az ECH-t elfogadták, és egy böngésző, amely ECH-t kínál egy nem támogató kiszolgálónak, csendesen visszalép. Ellenőrizze a kapcsolat tényleges állapotát, ahelyett hogy a protokollverzióból következtetne rá.
Ez az egész összehasonlítás általános formája: minden mechanizmus a saját rétegén ellenőrizhető, és egyiket sem egy másik sikerével igazolják.
Mit mozgat egy VPN, és mit ad hozzá
Amikor a webes forgalom belép egy VPN-be, a hozzáférési hálózat az egyes alkalmazáskapcsolatok helyett a VPN-társsal folytatott külső cserét látja, és a VPN-szolgáltató pozíciót foglal el a további útvonalon. Ez a bizalmi határ elmozdítása, nem megszüntetése. A szolgáltató most látja, mely célpontokat éri el, még akkor is, ha a tartalom végponttól végpontig titkosított marad. Hogy ez javulás-e, teljesen attól függ, melyik két félben bízik kevésbé.
Tartsa a helyén az alkalmazás HTTPS-ét és a szándékolt feloldóvédelmet, miközben ezt teszi. Az alagút nem helyettesíti a tanúsítvány-ellenőrzést, és a feloldó védelmeinek kikapcsolása amiatt, hogy a forgalom alagúton halad, kontrollt távolít el anélkül, hogy pótolná.
Választás a követelményből
Fogalmazza meg a tényleges követelményt, mert az dönti el a tervezést. A privát erőforrásokhoz való beengedés, egy felügyelt kilépési pont, a hozzáférési hálózat adott fenyegetése és az eszközengedélyezés négy különböző igény négy különböző válasszal, és egy vállalatnak, amely csak nyilvános felhőalkalmazásokat használ, még mindig döntenie kell az engedélyezésről és az adatkezelésről. A további rétegek lehetnek indokoltak anélkül, hogy felcserélhetők lennének. Egy bonyolultabb kapcsolat nem anonimitásmérő, és önmagában nem biztonsági érv.
Az ECH specifikációja, az RFC 9849, érdemes elolvasásra azért, amit a mechanizmus lefed és amit nem, és őszinte azokról a csatornákról, amelyeket békén hagy. Hasonlítsa össze a mechanizmusokat az általuk eltávolított megfigyelő szerint, írja fel azt a megfigyelőt, majd döntse el, hogy a további réteg foglalkozik-e vele. Ha a válasz az, hogy a megfigyelő már a fenyegetésmodelljén kívül volt, az alagút haszon nélküli költség.