HTTPS, DoH, ECH және VPN түрлі нәрселерді жасырады
Әрбір механизм жолдан өзге бақылаушыны алып тастайды, және ешқайсысы бәрін алып тастамайды. Тағы бір туннель қоспас бұрын ненің қорғалғанын салыстырыңыз.
HTTPS, DoH және ECH қолданатын браузерге VPN қосу үш қорғанысты біріне жинамайды; ол кімнің нені бақылай алатынын өзгертеді. Әрбір механизм өзгеше айырбастан өзгеше тарапты алып тастайды, және әрқайсысы артында бірдеңе қалдырады. Пайдалы сұрақ қайсысы күштірек дегенде емес, қандай бақылаушыны алып тастағыңыз келетінінде, өйткені жауап туннельдің жалпы көмектесетінін шешеді. Қалған бақылаушыларды салыстыру мүмкіндіктер тізімінен пайдалырақ.
Төрт механизм, төрт бақылаушы
Төрт қатынастан және әрқайсысы сыртта ұстауға арналған тараптан бастаңыз. Төмендегі кесте мен шолуда қолданатыным, өйткені ол әңгімені технологияның орнына бақылаушыны атауға мәжбүр етеді.
| Механизм | Қорғайтын қатынас | Алып тастамайтын бақылаушы |
|---|---|---|
| HTTPS | Қосымшаның аталған соңғы нүктесімен TLS байланысы | Қатынау желісі әлі де барар жер мекенжайын көреді |
| DoH | Таңдалған HTTPS шешушімен DNS айырбасы | Бұл шешуші әр сұрауды көреді |
| ECH | ClientHello-ның сезімтал өрістері, қолдау мен қабылдау бар жерде | Барар жер мекенжайлары және DNS, егер қамтылмаса |
| VPN | VPN серіктесіне жеткізілетін жабылған пакеттер | VPN операторы барар жерлерді көреді |
Кестенің құндылығы — айтудан бас тартатын нәрсесінде. Ол механизмдерді реттемейді және төртеуін де қолдану төрт бақылаушының бәрін алып тастайды деп мәлімдемейді. TLS-ті өз шетінде аяқтайтын бұлттық веб-қосымша сол айырбас үшін қатынау желісінен қорғалған, және ешбір туннель бұл нақты қасиетті жақсартпайды. Туннель өзгерте алатыны — қай желі сыртқы пакеттерді көретіні және қазір жолда қай оператор тұрғаны.
HTTPS шын мәнінде нені жасырады
HTTPS клиент пен сертификат атайтын соңғы нүкте арасындағы қосымша айырбасын қорғайды. Ол барар жер мекенжайын жасырмайды, байланыс болғанын жасырмайды, және ECH ойында болмаса атауды да жасырмайды. Сертификатты тексеру қорғаныстың бөлігі, оның айналасындағы формальдылық емес.
VPN сол TLS-ті аяқтауға міндетті емес, және жөнелту шығысын қосымшаның аутентификацияланған соңғы нүктесі ретінде қарауға болмайды. Егер жоба шығыстың шифрын ашатынын көздесе, бұл басқа сенім мәлімдемесі бар басқа архитектура.
DoH мен ECH нені жылжытады және нені қалдырады
DoH DNS айырбасын HTTPS шешушіге жылжытады, яғни бұл шешуші жергілікті желі шешушісінің орнына сіздің сұрауларыңызды көреді. Бұл нақты және шектеулі өзгеріс: таңдалған шешуші сұрауларды кейін қосылатын мекенжайлармен байланыстыра алатын тарапқа айналады, және дәл осы корреляцияны RFC 8484 талқылайды. Шифрланған тасымалдау алушыны өзі жауап беретін сұраулардан бейхабар етпейді.
ECH ClientHello-ның сезімтал бөлігін қорғайды, сондықтан жолдағы пассивті бақылаушы көзделген сервер атауын оқи алмайды. Ол қолдайтын орналастыруға және сервер мен желінің қабылдауына тәуелді, және басқа арналарды орнында қалдырады: барар жер мекенжайлары көрінеді, ал DNS әлі де атауды аша алады.
ECH жасамайтын тағы бір нәрсе — өзін дәлелдеу. TLS 1.3 қолданатын байланыс ECH қабылданғанының дәлелі емес, және қолдамайтын серверге ECH ұсынатын браузер үнсіз шегінеді. Хаттама нұсқасынан болжаудың орнына байланыстың нақты күйін тексеріңіз.
Бұл бүкіл салыстырудың жалпы пішіні: әрбір механизм өз қабатында тексеріледі, және олардың ешқайсысы басқасының сәттілігімен тексерілмейді.
VPN нені жылжытады және нені қосады
Веб-трафик VPN-ге кіргенде, қатынау желісі жеке қосымша байланыстарының орнына VPN серіктесімен сыртқы айырбасты көреді, және VPN операторы әрі қарайғы жолда орын алады. Бұл сенім шекарасының жылжуы, оны алып тастау емес. Оператор енді қандай барар жерлерге жететініңізді көреді, тіпті мазмұн ұштан ұшқа дейін шифрланған күйде қалса да. Бұл жақсарту ма, ол толығымен осы екі тараптың қайсысына азырақ сенетініңізге байланысты.
Осыны жасағанда қосымшаның HTTPS-ін және көзделген шешуші қорғанысын орнында ұстаңыз. Туннель сертификатты тексеруді алмастырмайды, ал трафик туннельмен жүреді деп шешушінің қорғаныстарын өшіру бақылауды алмастырмай-ақ алып тастайды.
Талаптан таңдау
Нақты талапты айтыңыз, өйткені ол жобаны шешеді. Жеке ресурстарға рұқсат, басқарылатын шығу нүктесі, қатынау желісінің нақты қауіпі және құрылғыны авторландыру төрт түрлі қажеттілік төрт түрлі жауаппен, және тек қоғамдық бұлттық қосымшаларды қолданатын компания да авторландыру мен деректерді өңдеуді шешуі керек. Қосымша қабаттар орынды болуы мүмкін, бірақ бір-бірін алмастыра алмайды. Күрделірек байланыс анонимдік өлшемі емес және өз алдына қауіпсіздік дәлелі емес.
ECH сипаттамасы, RFC 9849, механизм нені қамтитынын және нені қамтымайтынын білу үшін оқуға тұрарлық, және ол тиіспейтін арналар туралы адал. Механизмдерді әрқайсысы алып тастайтын бақылаушы бойынша салыстырыңыз, сол бақылаушыны жазып алыңыз, содан кейін қосымша қабат оған қатысты ма, соны шешіңіз. Егер жауап бақылаушы сіздің қауіп моделіңізден бұрыннан тыс болғаны болса, туннель — пайдасыз шығын.