HTTPS-ը, DoH-ն, ECH-ն և VPN-ն տարբեր բաներ են թաքցնում
Յուրաքանչյուր մեխանիզմ ուղուց հեռացնում է տարբեր դիտորդի, և ոչ մեկը չի հեռացնում բոլորին։ Համեմատեք, թե ինչ է պաշտպանված, նախքան ևս մեկ թունել ավելացնելը։
VPN ավելացնելը բրաուզերին, որն արդեն օգտագործում է HTTPS, DoH և ECH, երեք պաշտպանություն մեկի մեջ չի կուտակում. այն փոխում է, թե ով ինչ դիտարկելու դիրքում է։ Յուրաքանչյուր մեխանիզմ տարբեր փոխանակումից հեռացնում է տարբեր կողմի, և յուրաքանչյուրը հետևում ինչ-որ բան թողնում է։ Օգտակար հարցը ոչ թե այն է, թե որն է ամենաուժեղը, այլ այն, թե որ դիտորդին եք փորձում հեռացնել, որովհետև պատասխանն է որոշում՝ թունելն ընդհանրապես օգնում է, թե ոչ։ Մնացած դիտորդների համեմատությունը ավելի օգտակար է, քան հատկությունների ցանկը։
Չորս մեխանիզմ, չորս դիտորդ
Սկսեք չորս հարաբերություններից և այն կողմից, որին յուրաքանչյուրը նախատեսված է դուրս պահելու։ Ստորև բերված աղյուսակն այն է, որն օգտագործում եմ վերանայման ժամանակ, որովհետև այն ստիպում է խոսակցությանը անվանել դիտորդ, այլ ոչ թե տեխնոլոգիա։
| Մեխանիզմ | Հարաբերությունը, որը պաշտպանում է | Դիտորդը, որին չի հեռացնում |
|---|---|---|
| HTTPS | Հավելվածի TLS կապը նրա անվանված վերջնակետի հետ | Մուտքի ցանցը դեռ տեսնում է նպատակակետի հասցեն |
| DoH | DNS փոխանակումը ընտրված HTTPS լուծիչի հետ | Այդ լուծիչը տեսնում է ամեն հարցում |
| ECH | ClientHello-ի զգայուն դաշտերը, որտեղ աջակցվում և ընդունվում են | Նպատակակետերի հասցեները, և DNS-ը, եթե ծածկված չէ |
| VPN | Ծածկված փաթեթները, որոնք տարվում են VPN զուգընկերոջը | VPN օպերատորը տեսնում է նպատակակետերը |
Աղյուսակի արժեքը նրանում է, ինչը նա հրաժարվում է ասել։ Այն չի դասակարգում մեխանիզմները և չի պնդում, որ բոլոր չորսի օգտագործումը հեռացնում է բոլոր չորս դիտորդներին։ Ամպային վեբ հավելվածը, որն արդեն ավարտում է TLS-ը սեփական եզրին, այդ փոխանակման համար պաշտպանված է մուտքի ցանցից, և ոչ մի թունել չի բարելավում այդ կոնկրետ հատկությունը։ Ինչ կարող է փոխել թունելը, այն է՝ որ ցանցն է տեսնում արտաքին փաթեթները և որ օպերատորն է հիմա ուղու վրա։
Ինչ է իրականում թաքցնում HTTPS-ը
HTTPS-ը պաշտպանում է հավելվածի փոխանակումը հաճախորդի և վկայագրում նշված վերջնակետի միջև։ Այն չի թաքցնում նպատակակետի հասցեն, չի թաքցնում, որ կապ է եղել, և չի թաքցնում անունը, եթե ECH-ը խաղի մեջ չէ։ Վկայագրի ստուգումը պաշտպանության մասն է, ոչ թե դրա շուրջ ֆորմալություն։
VPN-ը պարտավոր չէ ավարտել այդ TLS-ը, և փոխանցող ելքը չպետք է դիտարկվի որպես հավելվածի նույնականացված վերջնակետ։ Եթե նախագծում ելքը վերծանում է, դա այլ ճարտարապետություն է՝ այլ վստահության հայտարարությամբ։
Ինչ են տեղափոխում DoH-ն և ECH-ն, և ինչ են թողնում
DoH-ն DNS փոխանակումը տեղափոխում է HTTPS լուծիչի, ինչը նշանակում է, որ այդ լուծիչը տեսնում է ձեր հարցումները տեղական ցանցի լուծիչի փոխարեն։ Սա իրական և սահմանափակ փոփոխություն է. ընտրված լուծիչը դառնում է կողմ, որը կարող է հարցումները կապել այն հասցեների հետ, որոնց դուք հետո միանում եք, և դա հենց այն կապն է, որ քննարկում է RFC 8484-ը։ Գաղտնագրված փոխադրումը ստացողին անտեղյակ չի դարձնում այն հարցումներից, որոնց նա պատասխանում է։
ECH-ն պաշտպանում է ClientHello-ի զգայուն մասը, որպեսզի ուղու վրա գտնվող պասիվ դիտորդը չկարողանա կարդալ նախատեսված սերվերի անունը։ Այն կախված է աջակցող տեղաբաշխումից և սերվերի ու ցանցի ընդունումից, և թողնում է այլ ալիքներ իրենց տեղում. նպատակակետերի հասցեները մնում են տեսանելի, և DNS-ը դեռ կարող է բացահայտել անունը։
Մյուս բանը, որ ECH-ն չի անում, ինքն իրեն ապացուցելն է։ TLS 1.3 օգտագործող կապը ECH-ի ընդունման ապացույց չէ, և բրաուզերը, որն ECH է առաջարկում առանց աջակցության սերվերին, լուռ հետ է կանգնում։ Ստուգեք կապի փաստացի վիճակը՝ այն արձանագրության տարբերակից չենթադրելով։
Սա է այս ամբողջ համեմատության ընդհանուր ձևը. յուրաքանչյուր մեխանիզմ ստուգվում է իր շերտում, և դրանցից ոչ մեկը չի ստուգվում մյուսի հաջողությամբ։
Ինչ է տեղափոխում VPN-ը, և ինչ է ավելացնում
Երբ վեբ երթևեկությունը մտնում է VPN, մուտքի ցանցը տեսնում է արտաքին փոխանակումը VPN զուգընկերոջ հետ՝ առանձին հավելվածային կապերի փոխարեն, և VPN օպերատորը դիրք է զբաղեցնում հետագա ուղու վրա։ Սա վստահության սահմանի տեղաշարժ է, ոչ թե դրա հեռացում։ Օպերատորն այժմ տեսնում է, թե որ նպատակակետերին եք հասնում, նույնիսկ եթե բովանդակությունը մնում է գաղտնագրված ծայրից ծայր։ Արդյոք դա բարելավում է, ամբողջովին կախված է նրանից, թե այս երկու կողմերից որին եք ավելի քիչ վստահում։
Պահեք հավելվածի HTTPS-ը և նախատեսված լուծիչի պաշտպանությունը տեղում, մինչ դա անում եք։ Թունելը վկայագրի ստուգման փոխարինող չէ, և լուծիչի պաշտպանություններն անջատելը, քանի որ երթևեկությունը թունելով է անցնում, հեռացնում է վերահսկողություն՝ առանց այն փոխարինելու։
Ընտրություն՝ պահանջից ելնելով
Ձևակերպեք իրական պահանջը, որովհետև հենց այն է որոշում նախագիծը։ Մասնավոր ռեսուրսներին թույլտվությունը, կառավարվող ելքային կետը, մուտքի ցանցի կոնկրետ սպառնալիքը և սարքի լիազորումը չորս տարբեր կարիքներ են՝ չորս տարբեր պատասխաններով, և ընկերությունը, որն օգտագործում է միայն հանրային ամպային հավելվածներ, դեռ պետք է որոշի լիազորումը և տվյալների մշակումը։ Լրացուցիչ շերտերը կարող են տեղին լինել՝ առանց փոխանակելի լինելու։ Ավելի բարդ կապը անանունության չափում չէ և ինքնին անվտանգության փաստարկ չէ։
ECH-ի սպեցիֆիկացիան՝ RFC 9849-ը, արժե կարդալ, թե ինչ է ընդգրկում մեխանիզմը և ինչ՝ ոչ, և այն ազնիվ է այն ալիքների հարցում, որոնք թողնում է անձեռնմխելի։ Համեմատեք մեխանիզմները ըստ այն դիտորդի, որին յուրաքանչյուրը հեռացնում է, գրի առեք այդ դիտորդին, ապա որոշեք՝ արդյոք լրացուցիչ շերտը դիմում է նրան։ Եթե պատասխանն այն է, որ դիտորդն արդեն ձեր սպառնալիքների մոդելից դուրս էր, ապա թունելը ծախս է՝ առանց օգուտի։