HTTPS, DoH, ECH an eng VPN verstoppe verschiddenes
All Mechanismus entfernt en aneren Observateur aus dem Wee, an keen entfernt se all. Vergläicht, wat geschützt ass, ier Dir en aneren Tunnel derbäi setzt.
Eng VPN an e Browser ze setzen, deen schonn HTTPS, DoH an ECH benotzt, staapelt net dräi Schutzmaßnamen an eng; et ännert, wien an der Positioun ass, wat ze observéieren. All Mechanismus entfernt eng aner Partei aus engem aneren Austausch, an all léisst eppes hannert sech. Déi nëtzlech Fro ass net, wéi eng am stäerksten ass, mä wéi en Observateur Dir versicht ze entfernen, well d'Äntwert entscheet, ob en Tunnel iwwerhaapt hëlleft. E Verglach vun de verbleiwwenden Observateure ass nëtzlecher wéi eng Funktiounslëscht.
Véier Mechanismen, véier Observateuren
Fänkt mat de véier Bezéiungen un an mat der Partei, déi jiddwereng dovun designt ass, dobaussen ze halen. Den Table hei drënner ass deen, deen ech an der Iwwerpréiwung benotzen, well en d'Gespréich forcéiert, en Observateur ze nennen amplaz eng Technologie.
| Mechanismus | D'Bezéiung, déi en schützt | Den Observateur, deen en net entfernt |
|---|---|---|
| HTTPS | D'TLS-Verbindung vun der Applikatioun mat hirem genannten Endpunkt | Den Zougangsnetz gesäit nach ëmmer d'Ziladress |
| DoH | Den DNS-Austausch mam gewielten HTTPS-Resolwer | Dee Resolwer gesäit all Ufro |
| ECH | Déi sensibel ClientHello-Felder, wou ënnerstëtzt an akzeptéiert | Ziladressen, an DNS wann et net deckt ass |
| VPN | Ofgedeckt Pakete, déi bis zum VPN-Peer gedroe ginn | Den VPN-Operateur gesäit d'Ziler |
Den Wäert vum Table ass, wat en refuséiert ze soen. En rangéiert d'Mechanismen net, an en behaapt net, datt d'Benotze vun alle véier all véier Observateuren entfernt. Eng Cloud-Webapplikatioun, déi TLS schonn un hirer eegener Kante beendet, ass fir deen Austausch vum Zougangsnetz geschützt, an keen Tunnel verbessert déi spezifesch Propriétéit. Wat en Tunnel ännere kann, ass wéi ee Netz déi baussenzeg Pakete gesäit a wéi en Operateur elo um Wee ass.
Wat HTTPS tatsächlech verstoppt
HTTPS schützt den Austausch vun der Applikatioun tëscht dem Client an dem Endpunkt, deen den Zertifikat nennt. En verstoppt net d'Ziladress, en verstoppt net, datt eng Verbindung war, an en verstoppt den Numm net, ausser ECH ass am Spill. D'Zertifikatvalidatioun ass Deel vum Schutz, net eng Formalitéit ronderëm.
Eng VPN muss deen TLS net beenden, an en Ausgang, deen weiderleet, soll net als authentifizéierten Endpunkt vun der Applikatioun behandelt ginn. Wann en Design den Ausgang entschlësselt, ass dat eng aner Architektur mat enger anerer Vertrauenserklärung.
Wat DoH an ECH verréckelen, a wat se loossen
DoH verréckelt den DNS-Austausch op en HTTPS-Resolwer, dat heescht, dësen Resolwer gesäit Är Ufroen amplaz vum Resolwer vum lokalen Netz. Dat ass eng reell a begrenzt Ännerung: de gewielte Resolwer gëtt eng Partei, déi Ufroe mat den Adressen korreléiere kann, mat deenen Dir duerno verbënnt, an dat ass genee déi Korrelatioun, déi RFC 8484 diskutéiert. Verschlësselten Transport mécht den Empfänger net onwëssend iwwer d'Ufroen, déi en äntwert.
ECH schützt de sensiblen Deel vum ClientHello, sou datt en passive Observateur um Wee den ugeduechten Servernumm net liese kann. En hänkt vun enger ënnerstëtzender Ausrollung an der Akzeptanz vum Server an dem Netz of, an en léisst aner Kanäl stoen: Ziladressen bleiwen sichtbar, an DNS ka den Numm nach ëmmer verroden.
Déi aner Saach, déi ECH net mécht, ass sech selwer ze beweisen. Eng Verbindung, déi TLS 1.3 benotzt, ass kee Beweis, datt ECH akzeptéiert gouf, an e Browser, deen ECH engem Server ouni Ënnerstëtzung ubitt, zitt sech roueg zeréck. Préift den tatsächlechen Zoustand vun der Verbindung, amplaz en aus der Protokollversioun ofzeleeden.
Dat ass déi allgemeng Form vun dësem ganze Verglach: all Mechanismus gëtt op senger eegener Schicht verifizéiert, an kee vun hinnen gëtt duerch den Erfolleg vun engem aneren verifizéiert.
Wat eng VPN verréckelt, a wat se bäisetzt
Wann Webverkéier an eng VPN kënnt, gesäit den Zougangsnetz den baussenzegen Austausch mam VPN-Peer amplaz vun den eenzelen Applikatiounsverbindungen, an den VPN-Operateur hëlt eng Positioun um weideren Wee an. Dat ass eng Verréckelung vun der Vertrauensgrenz, net hir Beseitegung. Den Operateur gesäit elo, wéi eng Ziler Dir erreecht, och wann den Inhalt vun Enn zu Enn verschlësselt bleift. Ob dat eng Verbesserung ass, hänkt komplett dovun of, wéi enger vun deenen zwou Parteien Dir manner vertraut.
Hält d'HTTPS vun der Applikatioun an de virgesäine Resolwerschutz a Plaz, wärend Dir dat maacht. En Tunnel ass keen Ersatz fir d'Zertifikatvalidatioun, an de Schutz vun engem Resolwer auszeschalten, well den Verkéier duerch en Tunnel geet, entfernt eng Kontroll ouni se ze ersetzen.
Aus der Ufuerderung auswielen
Nennt déi tatsächlech Ufuerderung, well se decidéiert den Design. Zougang zu private Ressourcen, en verwalteten Ausgangspunkt, eng bestëmmte Bedrohung vum Zougangsnetz an d'Autorisatioun vun Apparater sinn véier verschidde Besoinen mat véier verschiddenen Äntwerten, an eng Firma, déi nëmmen ëffentlech Cloud-Applikatioune benotzt, muss nach ëmmer Autorisatioun an Datesëmgank entscheeden. Zousätzlech Schichte kënnen ubruecht sinn, ouni austauschbar ze sinn. Eng méi komplizéiert Verbindung ass keng Moossnam fir Anonymitéit, an se ass net aus sech selwer e Sécherheetsargument.
D'Spezifikatioun vun ECH, RFC 9849, ass et wäert ze liesen fir wat de Mechanismus deckt an net deckt, an se ass éierlech iwwer d'Kanäl, déi se a Rou léisst. Vergläicht d'Mechanismen no dem Observateur, deen all een entfernt, schreift deen Observateur op, an entscheet dann, ob déi zousätzlech Schicht en adresséiert. Wann d'Äntwert ass, datt den Observateur schonn ausserhalb vun Ärem Bedrohungsmodell war, ass den Tunnel Käschten ouni Notzen.