HTTPS, DoH, ECH ir VPN slepia skirtingus dalykus
Kiekvienas mechanizmas pašalina iš kelio skirtingą stebėtoją, ir nė vienas nepašalina visų. Palyginkite, kas apsaugota, prieš pridėdami dar vieną tunelį.
Pridėjus VPN prie naršyklės, kuri jau naudoja HTTPS, DoH ir ECH, trys apsaugos nesudedamos į vieną; pasikeičia tai, kas gali ką stebėti. Kiekvienas mechanizmas pašalina skirtingą šalį iš skirtingo mainų, ir kiekvienas ką nors palieka. Naudingas klausimas ne kuris stipriausias, o kurį stebėtoją bandote pašalinti, nes atsakymas nulemia, ar tunelis apskritai padeda. Likusių stebėtojų palyginimas naudingesnis už funkcijų sąrašą.
Keturi mechanizmai, keturi stebėtojai
Pradėkite nuo keturių ryšių ir šalies, kurią kiekvienas jų skirtas laikyti lauke. Žemiau pateikta lentelė yra ta, kurią naudoju peržiūroje, nes ji verčia pokalbį įvardyti stebėtoją, o ne technologiją.
| Mechanizmas | Ryšys, kurį saugo | Stebėtojas, kurio nepašalina |
|---|---|---|
| HTTPS | Programos TLS ryšys su įvardytu galiniu tašku | Prieigos tinklas vis dar mato paskirties adresą |
| DoH | DNS mainai su pasirinktu HTTPS sprendėju | Tas sprendėjas mato kiekvieną užklausą |
| ECH | Jautrūs ClientHello laukai, kai palaikomi ir priimami | Paskirties adresai ir DNS, jei jis neapimtas |
| VPN | Uždengti paketai, nešami VPN partneriui | VPN operatorius mato tikslus |
Lentelės vertė yra tai, ko ji atsisako pasakyti. Ji nereitinguoja mechanizmų ir neteigia, kad naudojant visus keturis pašalinami visi keturi stebėtojai. Debesų žiniatinklio programa, kuri jau užbaigia TLS savo krašte, tam mainų yra apsaugota nuo prieigos tinklo, ir joks tunelis nepagerina šios konkrečios savybės. Ką tunelis gali pakeisti, tai kuris tinklas mato išorinius paketus ir kuris operatorius dabar yra kelyje.
Ką HTTPS iš tikrųjų slepia
HTTPS saugo programos mainus tarp kliento ir galinio taško, kurį įvardija sertifikatas. Jis neslepia paskirties adreso, neslepia, kad įvyko ryšys, ir neslepia vardo, nebent ECH yra žaidime. Sertifikato tikrinimas yra apsaugos dalis, o ne formalumas aplink ją.
VPN neturi užbaigti to TLS, o persiuntimo išėjimas neturėtų būti laikomas autentifikuotu programos galiniu tašku. Jei projekte išėjimas iššifruoja, tai kita architektūra su kitu pasitikėjimo pareiškimu.
Ką DoH ir ECH perkelia ir ką palieka
DoH perkelia DNS mainus į HTTPS sprendėją, o tai reiškia, kad tas sprendėjas mato jūsų užklausas, o ne vietinio tinklo sprendėjas. Tai realus ir ribotas pokytis: pasirinktas sprendėjas tampa šalimi, kuri gali susieti užklausas su adresais, prie kurių vėliau jungiatės, ir būtent apie šią koreliaciją kalbama RFC 8484. Šifruotas perdavimas nepadaro gavėjo nežinančio apie užklausas, į kurias jis atsako.
ECH saugo jautrią ClientHello dalį, kad pasyvus stebėtojas kelyje negalėtų perskaityti numatyto serverio vardo. Tai priklauso nuo palaikančio diegimo ir nuo serverio bei tinklo priėmimo, ir palieka kitus kanalus vietoje: paskirties adresai lieka matomi, o DNS vis tiek gali atskleisti vardą.
Kitas dalykas, kurio ECH nedaro, yra savęs įrodymas. Ryšys, naudojantis TLS 1.3, nėra įrodymas, kad ECH buvo priimtas, o naršyklė, siūlanti ECH serveriui be palaikymo, tyliai atsitraukia. Tikrinkite tikrąją ryšio būseną, o ne spėkite ją iš protokolo versijos.
Tai bendra viso šio palyginimo forma: kiekvienas mechanizmas tikrinamas savo sluoksnyje, ir nė vienas jų netikrinamas kito sėkme.
Ką VPN perkelia ir ką prideda
Kai žiniatinklio srautas patenka į VPN, prieigos tinklas mato išorinius mainus su VPN partneriu, o ne atskirus programų ryšius, ir VPN operatorius užima poziciją tolesniame kelyje. Tai pasitikėjimo ribos perkėlimas, o ne jos pašalinimas. Operatorius dabar mato, kokius tikslus pasiekiate, net jei turinys lieka šifruotas nuo galo iki galo. Ar tai pagerinimas, visiškai priklauso nuo to, kuria iš šių dviejų šalių pasitikite mažiau.
Išlaikykite programos HTTPS ir numatytą sprendėjo apsaugą savo vietoje, kol tai darote. Tunelis nepakeičia sertifikato tikrinimo, o sprendėjo apsaugų išjungimas dėl to, kad srautas eina tuneliu, pašalina kontrolę jos nepakeisdamas.
Rinktis iš reikalavimo
Įvardykite tikrąjį reikalavimą, nes jis nulemia projektą. Priėjimas prie privačių išteklių, valdomas išėjimo taškas, konkreti prieigos tinklo grėsmė ir įrenginio autorizacija yra keturi skirtingi poreikiai su keturiais skirtingais atsakymais, ir įmonė, naudojanti tik viešas debesų programas, vis tiek turi nuspręsti dėl autorizacijos ir duomenų tvarkymo. Papildomi sluoksniai gali būti tinkami, bet ne pakeičiami. Sudėtingesnis ryšys nėra anonimiškumo matas ir savaime nėra saugumo argumentas.
ECH specifikacija, RFC 9849, verta perskaityti dėl to, ką mechanizmas apima ir ko neapima, ir ji yra sąžininga dėl kanalų, kurių neliečia. Palyginkite mechanizmus pagal stebėtoją, kurį kiekvienas pašalina, užsirašykite tą stebėtoją ir tada nuspręskite, ar papildomas sluoksnis jį sprendžia. Jei atsakymas yra, kad stebėtojas jau buvo už jūsų grėsmių modelio ribų, tunelis yra išlaidos be naudos.