HTTPS, DoH, ECH და VPN სხვადასხვა რამეს მალავენ
ყოველი მექანიზმი გზიდან განსხვავებულ დამკვირვებელს აშორებს და არცერთი არ აშორებს ყველას. შეადარეთ, რა არის დაცული, სანამ კიდევ ერთ გვირაბს დაამატებთ.
VPN-ის დამატება ბრაუზერს, რომელიც უკვე იყენებს HTTPS-ს, DoH-ს და ECH-ს, სამ დაცვას ერთში არ ალაგებს; ის ცვლის, ვინ არის რისი დაკვირვების პოზიციაში. ყოველი მექანიზმი განსხვავებულ მხარეს აშორებს განსხვავებული გაცვლიდან და თითოეული რაღაცას ტოვებს. სასარგებლო კითხვა არ არის, რომელია ყველაზე ძლიერი, არამედ რომელი დამკვირვებლის მოშორებას ცდილობთ, რადგან პასუხი წყვეტს, ეხმარება გვირაბი საერთოდ. დარჩენილი დამკვირვებლების შედარება უფრო სასარგებლოა, ვიდრე ფუნქციების სია.
ოთხი მექანიზმი, ოთხი დამკვირვებელი
დაიწყეთ ოთხი ურთიერთობით და იმ მხარით, რომელიც თითოეულმა გარეთ უნდა დატოვოს. ქვემოთ მოცემული ცხრილი ის არის, რომელსაც მიმოხილვაში ვიყენებ, რადგან აიძულებს საუბარს, ტექნოლოგიის ნაცვლად დამკვირვებელი დაასახელოს.
| მექანიზმი | ურთიერთობა, რომელსაც იცავს | დამკვირვებელი, რომელსაც არ აშორებს |
|---|---|---|
| HTTPS | აპლიკაციის TLS კავშირი მის დასახელებულ საბოლოო წერტილთან | წვდომის ქსელი მაინც ხედავს დანიშნულების მისამართს |
| DoH | DNS გაცვლა არჩეულ HTTPS გადამწყვეტთან | ეს გადამწყვეტი ხედავს ყოველ მოთხოვნას |
| ECH | ClientHello-ის მგრძნობიარე ველები, სადაც მხარდაჭერილი და მიღებულია | დანიშნულების მისამართები და DNS, თუ არ არის დაფარული |
| VPN | დაფარული პაკეტები, რომლებიც VPN პარტნიორამდე მიაქვთ | VPN ოპერატორი ხედავს დანიშნულებებს |
ცხრილის ღირებულება ის არის, რის თქმასაც ის უარს ამბობს. ის მექანიზმებს არ ალაგებს რიგში და არ ამტკიცებს, რომ ოთხივეს გამოყენება ოთხივე დამკვირვებელს აშორებს. ღრუბლოვანი ვებ-აპლიკაცია, რომელიც უკვე ამთავრებს TLS-ს საკუთარ კიდეზე, ამ გაცვლისთვის დაცულია წვდომის ქსელისგან და არცერთი გვირაბი არ აუმჯობესებს ამ კონკრეტულ თვისებას. რისი შეცვლაც გვირაბს შეუძლია, არის ის, რომელი ქსელი ხედავს გარე პაკეტებს და რომელი ოპერატორია ახლა გზაზე.
რას მალავს HTTPS სინამდვილეში
HTTPS იცავს აპლიკაციის გაცვლას კლიენტსა და იმ საბოლოო წერტილს შორის, რომელსაც სერტიფიკატი ასახელებს. ის არ მალავს დანიშნულების მისამართს, არ მალავს, რომ კავშირი მოხდა, და არ მალავს სახელს, თუ ECH თამაშში არ არის. სერტიფიკატის შემოწმება დაცვის ნაწილია და არა მის გარშემო არსებული ფორმალობა.
VPN-ს არ სჭირდება ამ TLS-ის დასრულება და გადამისამართებადი გასასვლელი არ უნდა ჩაითვალოს აპლიკაციის ავთენტიფიცირებულ საბოლოო წერტილად. თუ დიზაინი გასასვლელს გაშიფვრას ავალდებულებს, ეს სხვა არქიტექტურაა სხვა ნდობის განცხადებით.
რას გადაადგილებს DoH და ECH და რას ტოვებს
DoH DNS გაცვლას HTTPS გადამწყვეტზე გადააქვს, რაც ნიშნავს, რომ ეს გადამწყვეტი თქვენს მოთხოვნებს ხედავს ადგილობრივი ქსელის გადამწყვეტის ნაცვლად. ეს რეალური და შეზღუდული ცვლილებაა: არჩეული გადამწყვეტი ხდება მხარე, რომელსაც შეუძლია მოთხოვნები დააკავშიროს იმ მისამართებთან, რომლებზეც შემდეგ უკავშირდებით, და ეს ზუსტად ის კორელაციაა, რომელსაც RFC 8484 განიხილავს. დაშიფრული ტრანსპორტი მიმღებს უცნობს არ ხდის იმ მოთხოვნების შესახებ, რომლებზეც პასუხობს.
ECH იცავს ClientHello-ის მგრძნობიარე ნაწილს, რომ გზაზე მყოფმა პასიურმა დამკვირვებელმა ვერ წაიკითხოს განზრახული სერვერის სახელი. ის დამოკიდებულია მხარდამჭერ განლაგებაზე და სერვერისა და ქსელის მიღებაზე, და სხვა არხებს ადგილზე ტოვებს: დანიშნულების მისამართები ხილული რჩება და DNS მაინც შეიძლება სახელი გაამჟღავნოს.
სხვა, რასაც ECH არ აკეთებს, საკუთარი თავის დამტკიცებაა. TLS 1.3-ის გამოყენებული კავშირი არ არის მტკიცებულება, რომ ECH მიღებულ იქნა, და ბრაუზერი, რომელიც ECH-ს სთავაზობს მხარდაჭერის გარეშე სერვერს, ჩუმად უკან იხევს. შეამოწმეთ კავშირის ფაქტობრივი მდგომარეობა, ნაცვლად იმისა, რომ პროტოკოლის ვერსიიდან დასკვნა გამოიტანოთ.
ეს არის მთელი ამ შედარების ზოგადი ფორმა: ყოველი მექანიზმი თავის ფენაზე მოწმდება და არცერთი მათგანი არ მოწმდება მეორის წარმატებით.
რას გადაადგილებს VPN და რას ამატებს
როდესაც ვებ-ტრაფიკი VPN-ში შედის, წვდომის ქსელი ხედავს გარე გაცვლას VPN პარტნიორთან ცალკეული აპლიკაციური კავშირების ნაცვლად, და VPN ოპერატორი იკავებს პოზიციას შემდგომ გზაზე. ეს ნდობის საზღვრის გადაადგილებაა და არა მისი მოშორება. ოპერატორი ახლა ხედავს, რომელ დანიშნულებებს აღწევთ, თუნდაც შიგთავსი ბოლომდე დაშიფრული დარჩეს. არის თუ არა ეს გაუმჯობესება, მთლიანად დამოკიდებულია იმაზე, თუ ამ ორი მხრიდან რომელს ნაკლებად ენდობით.
შეინარჩუნეთ აპლიკაციის HTTPS და განზრახული გადამწყვეტის დაცვა ადგილზე, სანამ ამას აკეთებთ. გვირაბი სერტიფიკატის შემოწმების ჩამნაცვლებელი არ არის და გადამწყვეტის დაცვების გამორთვა იმიტომ, რომ ტრაფიკი გვირაბში მიდის, კონტროლს აშორებს მისი ჩანაცვლების გარეშე.
არჩევანი მოთხოვნიდან
ჩამოაყალიბეთ რეალური მოთხოვნა, რადგან ის წყვეტს დიზაინს. კერძო რესურსებზე დაშვება, მართული გასასვლელი წერტილი, წვდომის ქსელის კონკრეტული საფრთხე და მოწყობილობის ავტორიზაცია ოთხი განსხვავებული საჭიროებაა ოთხი განსხვავებული პასუხით და კომპანიას, რომელიც მხოლოდ საჯარო ღრუბლოვან აპლიკაციებს იყენებს, მაინც უნდა გადაწყვიტოს ავტორიზაცია და მონაცემთა დამუშავება. დამატებითი ფენები შეიძლება მიზანშეწონილი იყოს, მაგრამ არა ურთიერთშემცვლელი. უფრო რთული კავშირი ანონიმურობის საზომი არ არის და თავისთავად უსაფრთხოების არგუმენტი არ არის.
ECH-ის სპეციფიკაცია, RFC 9849, ღირს წაკითხვად, თუ რას ფარავს მექანიზმი და რას არა, და ის პატიოსანია იმ არხების მიმართ, რომლებსაც ხელს არ ახლებს. შეადარეთ მექანიზმები იმ დამკვირვებლის მიხედვით, რომელსაც თითოეული აშორებს, ჩაწერეთ ეს დამკვირვებელი და შემდეგ გადაწყვიტეთ, მიმართავს თუ არა დამატებითი ფენა მას. თუ პასუხია, რომ დამკვირვებელი უკვე თქვენი საფრთხის მოდელის გარეთ იყო, გვირაბი ხარჯია სარგებლის გარეშე.