HTTPS, DoH, ECH жана VPN ар башка нерселерди жашырат
Ар бир механизм жолдон башка байкоочуну алып салат жана эч бири баарын алып салбайт. Дагы бир туннель кошордон мурун эмне корголгонун салыштырыңыз.
HTTPS, DoH жана ECH колдонгон браузерге VPN кошуу үч коргоону бирине үйбөйт; ал ким эмнени байкоо ордунда экенин өзгөртөт. Ар бир механизм башка алмашуудан башка тарапты алып салат жана ар бири артында бир нерсе калтырат. Пайдалуу суроо кайсы күчтүү дегенде эмес, кайсы байкоочуну алып салгыңыз келет дегенде, анткени жооп туннель жалпы жардам береби-жокпу чечет. Калган байкоочуларды салыштыруу мүмкүнчүлүктөр тизмесинен пайдалуураак.
Төрт механизм, төрт байкоочу
Төрт мамиледен жана ар бири сыртта кармоо үчүн жасалган тараптан баштаңыз. Төмөнкү таблица менен мен серепте колдоном, анткени ал сүйлөшүүнү технологиянын ордуна байкоочуну атоого мажбурлайт.
| Механизм | Коргогон мамиле | Алып салбаган байкоочу |
|---|---|---|
| HTTPS | Колдонмонун аталган акыркы чекити менен TLS байланышы | Кирүү тармагы дагы эле барар жердин дарегин көрөт |
| DoH | Тандалган HTTPS чечүүчү менен DNS алмашуусу | Ал чечүүчү ар бир суроону көрөт |
| ECH | ClientHello нун сезимтал талаалары, колдоо жана кабыл алуу бар жерде | Барар жердин даректери жана DNS, эгер камтылбаса |
| VPN | VPN өнөктөшүнө жеткирилген жабылган пакеттер | VPN оператору барар жерлерди көрөт |
Таблицанын баалуулугу айтуудан баш тарткан нерсесинде. Ал механизмдерди ретке койбойт жана төртөөнү тең колдонуу төрт байкоочунун баарын алып салат деп ырастабайт. TLS ти өз четирнде бүтүргөн булуттук веб-колдонмо ошол алмашуу үчүн кирүү тармагынан корголгон жана эч бир туннель бул конкреттүү касиетти жакшыртпайт. Туннель өзгөртө алган нерсе — кайсы тармак сырткы пакеттерди көрөт жана азыр жолдо кайсы оператор турганы.
HTTPS чындыгында эмнени жашырат
HTTPS кардар менен сертификат атаган акыркы чекиттин ортосундагы колдонмо алмашуусун коргойт. Ал барар жердин дарегин жашырбайт, байланыш болгонун жашырбайт жана ECH оюнда болбосо атты да жашырбайт. Сертификатты текшерүү коргоонун бөлүгү, анын айланасындагы формалдуулук эмес.
VPN ал TLS ти бүтүрүүгө милдеттүү эмес жана жөнөтүүчү чыгууну колдонмонун аутентификацияланган акыркы чекити катары кароого болбойт. Эгер долбоор чыгуу шифрди чечсин десе, бул башка ишеним билдирүүсү бар башка архитектура.
DoH жана ECH эмнени жылдырат жана эмнени калтырат
DoH DNS алмашуусун HTTPS чечүүчүгө жылдырат, башкача айтканда ал чечүүчү жергиликтүү тармактын чечүүчүсүнүн ордуна сиздин суроолоруңузду көрөт. Бул реалдуу жана чектелген өзгөрүү: тандалган чечүүчү суроолорду кийин туташкан даректер менен байланыштыра алган тарапка айланат жана RFC 8484 талкуулаган корреляция дал ушул. Шифрленген транспорт алуучуну өзү жооп берген суроолордон кабарсыз кылбайт.
ECH ClientHello нун сезимтал бөлүгүн коргойт, ошондуктан жолдогу пассивдүү байкоочу көздөлгөн сервер атын окуй албайт. Ал колдоого алынган жайгаштырууга жана сервер менен тармактын кабыл алышына көз каранды жана башка каналдарды ордунда калтырат: барар жердин даректери көрүнүп турат, ал эми DNS атын дагы эле ачыкка чыгарышы мүмкүн.
ECH жасабаган дагы бир нерсе — өзүн далилдөө. TLS 1.3 колдонгон байланыш ECH кабыл алынганынын далили эмес жана колдобогон серверге ECH сунуштаган браузер үнсүз чегинет. Протокол версиясынан божомолдобой, байланыштын чыныгы абалын текшериңиз.
Бул бүт салыштыруунун жалпы формасы: ар бир механизм өз катмарында текшерилет жана алардын эч бири башкасынын ийгилиги менен текшерилбейт.
VPN эмнени жылдырат жана эмнени кошот
Веб-трафик VPN ге киргенде, кирүү тармагы өзүнчө колдонмо байланыштарынын ордуна VPN өнөктөшү менен сырткы алмашууну көрөт жана VPN оператору андан ары жолдо орун алат. Бул ишеним чек арасынын жылышы, аны алып салуу эмес. Оператор эми кайсы барар жерлерге жетериңизди көрөт, мазмун учтан учка шифрленген бойдон калса да. Бул жакшыртуубу, ал толугу менен ушул эки тараптын кайсынысына азыраак ишенишиңизге байланыштуу.
Муну жасап жатканда колдонмонун HTTPS ин жана көздөлгөн чечүүчүнүн коргоосун ордунда кармаңыз. Туннель сертификатты текшерүүнү алмаштырбайт жана трафик туннелден өтөт деп чечүүчүнүн коргоолорун өчүрүү көзөмөлдү алмаштырбастан алып салат.
Талаптан тандоо
Чыныгы талапты айтыңыз, анткени ал долбоорду чечет. Жеке ресурстарга кирүү, башкарылуучу чыгуу чекити, кирүү тармагынын конкреттүү коркунучу жана түзмөктү авторизациялоо төрт башка муктаждык төрт башка жооп менен, жана коомдук булуттук колдонмолорду гана колдонгон компания да авторизациялоо менен маалыматты иштетүүнү чечүүгө тийиш. Кошумча катмарлар орундуу болушу мүмкүн, бирок бири-бирин алмаштыра албайт. Татаал байланыш анонимдүүлүктүн өлчөмү эмес жана өз алдынча коопсуздук далили эмес.
ECH спецификациясы, RFC 9849, механизм эмнени камтыйт жана эмнени камтыбайт экенин билүү үчүн окууга татыктуу жана ал тийбеген каналдар тууралуу чынчыл. Механизмдерди ар бири алып салган байкоочу боюнча салыштырыңыз, ошол байкоочуну жазып алыңыз, анан кошумча катмар ага тиешелүүбү чечиңиз. Эгер жооп байкоочу мурун эле сиздин коркунуч моделиңизден тышкары болгон десе, туннель пайдасыз чыгым.