HTTPS, DoH, ECH un VPN slēpj dažādas lietas
Katrs mehānisms noņem no ceļa citu novērotāju, un neviens nenoņem visus. Salīdziniet, kas ir aizsargāts, pirms pievienojat vēl vienu tuneli.
VPN pievienošana pārlūkam, kas jau izmanto HTTPS, DoH un ECH, nesakrauj trīs aizsardzības vienā; tā maina, kas ir pozīcijā ko novērot. Katrs mehānisms noņem citu pusi no cita apmaiņas, un katrs kaut ko atstāj. Noderīgais jautājums nav, kurš ir spēcīgākais, bet kuru novērotāju jūs mēģināt noņemt, jo atbilde izlemj, vai tunelis vispār palīdz. Atlikušo novērotāju salīdzinājums ir noderīgāks par funkciju sarakstu.
Četri mehānismi, četri novērotāji
Sāciet ar četrām attiecībām un pusi, kuru katra no tām ir paredzēta turēt ārpusē. Zemāk esošā tabula ir tā, ko izmantoju pārskatā, jo tā liek sarunai nosaukt novērotāju, nevis tehnoloģiju.
| Mehānisms | Attiecības, ko tas aizsargā | Novērotājs, kuru tas nenoņem |
|---|---|---|
| HTTPS | Lietotnes TLS savienojums ar tās nosaukto galapunktu | Piekļuves tīkls joprojām redz galamērķa adresi |
| DoH | DNS apmaiņa ar izvēlēto HTTPS risinātāju | Šis risinātājs redz katru vaicājumu |
| ECH | ClientHello jutīgie lauki, kur tie tiek atbalstīti un pieņemti | Galamērķa adreses, un DNS, ja tas nav pārklāts |
| VPN | Pārklāti paketes, kas tiek nestas uz VPN partneri | VPN operators redz galamērķus |
Tabulas vērtība ir tajā, ko tā atsakās teikt. Tā neierindo mehānismus un neapgalvo, ka visu četru izmantošana noņem visus četrus novērotājus. Mākoņpakalpojuma tīmekļa lietotne, kas jau pabeidz TLS savā malā, šai apmaiņai ir aizsargāta no piekļuves tīkla, un neviens tunelis neuzlabo šo konkrēto īpašību. To, ko tunelis var mainīt, ir tas, kurš tīkls redz ārējos paketes un kurš operators tagad ir ceļā.
Ko HTTPS patiesībā slēpj
HTTPS aizsargā lietotnes apmaiņu starp klientu un galapunktu, kuru nosauc sertifikāts. Tas neslēpj galamērķa adresi, neslēpj, ka notika savienojums, un neslēpj nosaukumu, ja vien ECH nav spēlē. Sertifikāta validācija ir aizsardzības daļa, nevis formalitāte ap to.
VPN nav jāpabeidz šis TLS, un pārsūtošā izeja nav jāuzskata par lietotnes autentificēto galapunktu. Ja projektā izeja atšifrē, tā ir cita arhitektūra ar citu uzticības paziņojumu.
Ko pārvieto DoH un ECH, un ko atstāj
DoH pārvieto DNS apmaiņu uz HTTPS risinātāju, kas nozīmē, ka šis risinātājs redz jūsu vaicājumus, nevis vietējā tīkla risinātājs. Tās ir reālas un ierobežotas izmaiņas: izvēlētais risinātājs kļūst par pusi, kas var korelēt vaicājumus ar adresēm, kurām jūs vēlāk pieslēdzaties, un tieši šo korelāciju apskata RFC 8484. Šifrēts transports nepadara saņēmēju neziņā par vaicājumiem, uz kuriem tas atbild.
ECH aizsargā ClientHello jutīgo daļu, lai pasīvs novērotājs ceļā nevarētu nolasīt paredzēto servera nosaukumu. Tas ir atkarīgs no atbalstošas ieviešanas un no servera un tīkla pieņemšanas, un tas atstāj citus kanālus savās vietās: galamērķa adreses paliek redzamas, un DNS joprojām var atklāt nosaukumu.
Otra lieta, ko ECH nedara, ir sevis pierādīšana. Savienojums, kas izmanto TLS 1.3, nav pierādījums, ka ECH tika pieņemts, un pārlūks, kas piedāvā ECH serverim bez atbalsta, klusi atkāpjas. Pārbaudiet savienojuma faktisko stāvokli, nevis seciniet to no protokola versijas.
Tā ir visa šī salīdzinājuma vispārējā forma: katrs mehānisms tiek pārbaudīts savā slānī, un neviens no tiem netiek pārbaudīts ar cita panākumiem.
Ko pārvieto VPN, un ko tas pievieno
Kad tīmekļa trafiks nonāk VPN, piekļuves tīkls redz ārējo apmaiņu ar VPN partneri, nevis atsevišķus lietotņu savienojumus, un VPN operators ieņem pozīciju tālākajā ceļā. Tā ir uzticības robežas pārvietošana, nevis tās noņemšana. Operators tagad redz, kurus galamērķus jūs sasniedzat, pat ja saturs paliek šifrēts no viena gala līdz otram. Vai tas ir uzlabojums, pilnībā atkarīgs no tā, kurai no šīm divām pusēm jūs uzticaties mazāk.
Saglabājiet lietotnes HTTPS un paredzēto risinātāja aizsardzību savā vietā, kamēr to darāt. Tunelis neaizstāj sertifikāta validāciju, un risinātāja aizsardzību izslēgšana tāpēc, ka trafiks iet caur tuneli, noņem kontroli to neaizstājot.
Izvēlēties no prasības
Nosauciet faktisko prasību, jo tā izlemj projektu. Piekļuve privātiem resursiem, pārvaldīts izejas punkts, konkrēts piekļuves tīkla drauds un ierīces autorizācija ir četras dažādas vajadzības ar četrām dažādām atbildēm, un uzņēmumam, kas izmanto tikai publiskas mākoņlietotnes, joprojām jāizlemj autorizācija un datu apstrāde. Papildu slāņi var būt piemēroti, bet ne savstarpēji aizstājami. Sarežģītāks savienojums nav anonimitātes mērs, un tas pats par sevi nav drošības arguments.
ECH specifikācija, RFC 9849, ir vērts lasīt, lai saprastu, ko mehānisms aptver un ko ne, un tā ir godīga par kanāliem, kurus tā atstāj mierā. Salīdziniet mehānismus pēc novērotāja, kuru katrs noņem, pierakstiet šo novērotāju un tad izlemiet, vai papildu slānis uz to attiecas. Ja atbilde ir, ka novērotājs jau bija ārpus jūsu draudu modeļa, tunelis ir izmaksas bez ieguvuma.