HTTPS, DoH, ECH og VPN fela mismunandi hluti
Hver aðferð fjarlægir annan áhorfanda af leiðinni, og engin fjarlægir þá alla. Berðu saman hvað er varið áður en þú bætir við annarri göng.
Að bæta VPN við vafra sem þegar notar HTTPS, DoH og ECH staflar ekki þremur vörnum í eina; það breytir því hver er í stöðu til að fylgjast með hverju. Hver aðferð fjarlægir annan aðila úr annarri skiptingu, og hver og ein skilur eitthvað eftir. Gagnlega spurningin er ekki hver er sterkust, heldur hvaða áhorfanda þú ert að reyna að fjarlægja, því svarið ræður því hvort göng hjálpa yfirleitt. Samanburður á þeim áhorfendum sem eftir eru er gagnlegri en listi yfir eiginleika.
Fjórar aðferðir, fjórir áhorfendur
Byrjaðu á fjórum tengslunum og þeim aðila sem hvert þeirra er hannað til að halda utan við. Taflan hér að neðan er sú sem ég nota við yfirferð, því hún neyðir samtalið til að nefna áhorfanda í stað tækni.
| Aðferð | Tengslin sem hún verndar | Áhorfandinn sem hún fjarlægir ekki |
|---|---|---|
| HTTPS | TLS tenging forritsins við nefndan endapunkt | Aðgangsnetið sér enn áfangastaðinn |
| DoH | DNS skiptingin við valinn HTTPS leysi | Sá leysir sér hverja fyrirspurn |
| ECH | Viðkvæm ClientHello svæði, þar sem þau eru studd og samþykkt | Áfangastaðir, og DNS ef það er ekki þakið |
| VPN | Þakin pakkar sem bornir eru til VPN jafningjans | VPN rekstraraðilinn sér áfangastaðina |
Gildi töflunnar er það sem hún neitar að segja. Hún raðar aðferðunum ekki og heldur því ekki fram að notkun allra fjögurra fjarlægi alla fjóra áhorfendurna. Skýjaforrit á vef sem þegar lýkur TLS á eigin brún er varið fyrir aðgangsnetinu fyrir þá skiptingu, og engin göng bæta þann tiltekna eiginleika. Það sem göng geta breytt er hvaða net sér ytri pakkana og hvaða rekstraraðili er nú á leiðinni.
Hvað HTTPS felur í raun
HTTPS verndar skiptingu forritsins milli biðlarans og endapunktsins sem vottorðið nefnir. Það felur ekki áfangastaðinn, felur ekki að tenging hafi átt sér stað og felur ekki nafnið nema ECH sé í gangi. Vottorðssannprófun er hluti varnarinnar, ekki formsatriði í kringum hana.
VPN þarf ekki að ljúka því TLS, og ekki á að meðhöndla framsendingarútgang sem sannvottaðan endapunkt forritsins. Ef hönnun lætur útganginn afkóða er það önnur arkitektúr með annarri traustsyfirlýsingu.
Hvað DoH og ECH færa og hvað þau láta eftir
DoH færir DNS skiptinguna yfir á HTTPS leysir, sem þýðir að sá leysir sér fyrirspurnirnar þínar í stað leysisins í staðarnetinu. Það er raunveruleg og takmörkuð breyting: valinn leysir verður aðili sem getur tengt fyrirspurnir við þau netföng sem þú tengist síðan, og það er einmitt sú fylgni sem RFC 8484 fjallar um. Dulkóðuð flutningur gerir viðtakandann ekki ómeðvitaðan um fyrirspurnirnar sem hann svarar.
ECH verndar viðkvæma hlutann af ClientHello svo óvirkur áhorfandi á leiðinni geti ekki lesið fyrirhugað netþjónsnafn. Það fer eftir styðjandi uppsetningu og samþykki netþjónsins og netsins, og það skilur aðra rásir eftir: áfangastaðir sjást enn, og DNS getur enn opinberað nafnið.
Hinn hluturinn sem ECH gerir ekki er að sanna sjálft sig. Tenging sem notar TLS 1.3 er ekki sönnun þess að ECH hafi verið samþykkt, og vafri sem býður ECH netþjóni sem styður það ekki dregur sig hljóðlega til baka. Athugaðu raunverulegt ástand tengingarinnar í stað þess að álykta það af útgáfu samskiptareglunnar.
Þetta er almenna myndin af öllum þessum samanburði: hver aðferð er sannreynd á eigin lagi, og engin þeirra er sannreynd af velgengni annarrar.
Hvað VPN færir og hvað það bætir við
Þegar vefumferð fer inn í VPN sér aðgangsnetið ytri skiptinguna við VPN jafningjann í stað einstakra forritatenginga, og VPN rekstraraðilinn tekur stöðu á áframhaldandi leiðinni. Það er tilfærsla á traustmörkum, ekki fjarlæging þeirra. Rekstraraðilinn sér nú hvaða áfangastaði þú nærð, jafnvel þótt efnið sé dulritað frá enda til enda. Hvort það er endurbót fer algjörlega eftir því hvora þessara tveggja aðila þú treystir síður.
Haltu HTTPS forritsins og fyrirhugaðri vörn leysisins á sínum stað á meðan þú gerir þetta. Göng koma ekki í stað vottorðssannprófunar, og að slökkva á vörnum leysis vegna þess að umferðin fer um göng fjarlægir stýringu án að koma í stað hennar.
Velja út frá kröfunni
Segðu raunverulegu kröfuna, því hún ræður hönnuninni. Aðgangur að einkaaðföngum, stýrður útgangspunktur, tiltekin ógn frá aðgangsnetinu og heimild tækja eru fjórar mismunandi þarfir með fjórum mismunandi svörum, og fyrirtæki sem notar aðeins opinber skýjaforrit verður samt að ákveða heimild og meðferð gagna. Viðbótarlög geta verið viðeigandi án þess að vera skiptanleg. Flóknari tenging er ekki mæling á nafnleynd, og hún er ekki öryggisrök út af fyrir sig.
Forskrift ECH, RFC 9849, er þess virði að lesa fyrir það sem aðferðin nær og nær ekki, og hún er heiðarleg um rásirnar sem hún lætur í friði. Berðu saman aðferðirnar eftir þeim áhorfanda sem hver fjarlægir, skrifaðu þann áhorfanda niður og ákveddu svo hvort viðbótarlagið taki á honum. Ef svarið er að áhorfandinn hafi þegar verið utan ógnarlíkansins þíns eru göngin kostnaður án ávinnings.