HTTPS, DoH, ECH и VPN кријат различни работи
Секој механизам отстранува различен набљудувач од патеката, и ниеден не ги отстранува сите. Споредете што е заштитено пред да додадете уште еден тунел.
Додавањето VPN на прелистувач што веќе користи HTTPS, DoH и ECH не натрупува три заштити во една; го менува тоа кој е во позиција да набљудува што. Секој механизам отстранува различна страна од различна размена, и секој остава нешто зад себе. Корисното прашање не е кој е најсилен, туку кој набљудувач се обидувате да го отстраните, бидејќи одговорот одлучува дали тунелот воопшто помага. Споредбата на преостанатите набљудувачи е покорисна од список на функции.
Четири механизми, четири набљудувачи
Започнете со четирите односи и со страната што секоја од нив е дизајнирана да ја држи надвор. Табелата подолу е таа што ја користам при преглед, бидејќи го принудува разговорот да именува набљудувач наместо технологија.
| Механизам | Односот што го штити | Набљудувачот што не го отстранува |
|---|---|---|
| HTTPS | TLS врската на апликацијата со нејзината именувана крајна точка | Пристапната мрежа сѐ уште ја гледа адресата на одредиштето |
| DoH | DNS размената со избраниот HTTPS резолвер | Тој резолвер го гледа секое барање |
| ECH | Чувствителните полиња на ClientHello, каде што се поддржани и прифатени | Адресите на одредиштето, и DNS ако не е покриен |
| VPN | Покриени пакети што се носат до партнерот на VPN | Операторот на VPN ги гледа одредиштата |
Вредноста на табелата е во она што таа одбива да го каже. Таа не ги рангира механизмите и не тврди дека користењето на сите четири ги отстранува сите четири набљудувачи. Облачна веб-апликација што веќе го завршува TLS на сопствениот раб е заштитена од пристапната мрежа за таа размена, и ниеден тунел не го подобрува тоа својство. Она што тунелот може да го смени е која мрежа ги гледа надворешните пакети и кој оператор е сега на патеката.
Што всушност крие HTTPS
HTTPS ја штити размената на апликацијата меѓу клиентот и крајната точка што сертификатот ја именува. Тој не ја крие адресата на одредиштето, не крие дека имало врска и не го крие името освен ако ECH не е во игра. Проверката на сертификатот е дел од заштитата, а не формалност околу неа.
VPN не мора да го заврши тој TLS, и излезот што проследува не треба да се третира како автентифицирана крајна точка на апликацијата. Ако дизајнот предвидува излезот да дешифрира, тоа е друга архитектура со друга изјава за доверба.
Што преместуваат DoH и ECH, и што оставаат
DoH ја преместува DNS размената на HTTPS резолвер, што значи дека тој резолвер ги гледа вашите барања наместо резолверот на локалната мрежа. Тоа е вистинска и ограничена промена: избраниот резолвер станува страна што може да ги поврзе барањата со адресите на кои потоа се поврзувате, и токму таа корелација ја разгледува RFC 8484. Шифрираниот пренос не го прави примачот несвесен за барањата на кои одговара.
ECH го штити чувствителниот дел од ClientHello за пасивен набљудувач на патеката да не може да го прочита предвиденото име на серверот. Тоа зависи од поддржувачко распоредување и од прифаќање од серверот и мрежата, и остава други канали на место: адресите на одредиштето остануваат видливи, а DNS сѐ уште може да го открие името.
Другото што ECH не го прави е да се докаже себеси. Врска што користи TLS 1.3 не е доказ дека ECH бил прифатен, а прелистувач што нуди ECH на сервер без поддршка тивко се повлекува. Проверете ја вистинската состојба на врската наместо да ја заклучувате од верзијата на протоколот.
Тоа е општата форма на целата оваа споредба: секој механизам се проверува на својот слој, и ниту еден од нив не се проверува со успехот на друг.
Што преместува VPN, и што додава
Кога веб-сообраќајот влегува во VPN, пристапната мрежа ја гледа надворешната размена со партнерот на VPN наместо поединечните врски на апликациите, и операторот на VPN зазема позиција на понатамошната патека. Тоа е преместување на границата на доверба, а не нејзино отстранување. Операторот сега гледа до кои одредишта стигнувате, дури и ако содржината остане шифрирана од крај до крај. Дали тоа е подобрување зависи целосно од тоа на која од овие две страни ѝ верувате помалку.
Задржете ги HTTPS на апликацијата и предвидената заштита на резолверот на место додека го правите ова. Тунелот не е замена за проверка на сертификат, а исклучувањето на заштитите на резолверот затоа што сообраќајот оди низ тунел отстранува контрола без да ја замени.
Избор од барањето
Изразете го вистинското барање, бидејќи тоа го одлучува дизајнот. Пристап до приватни ресурси, управувана излезна точка, конкретна закана од пристапната мрежа и авторизација на уреди се четири различни потреби со четири различни одговори, и компанија што користи само јавни облачни апликации сѐ уште мора да одлучи за авторизација и обработка на податоци. Дополнителните слоеви можат да бидат соодветни без да бидат заменливи. Посложена врска не е мерка за анонимност и не е безбедносен аргумент сама по себе.
Спецификацијата на ECH, RFC 9849, вреди да се прочита за тоа што механизмот го покрива и што не, и таа е чесна за каналите што ги остава на мир. Споредете ги механизмите според набљудувачот што секој го отстранува, запишете го тој набљудувач и потоа одлучете дали дополнителниот слој се однесува на него. Ако одговорот е дека набљудувачот веќе бил надвор од вашиот модел на закани, тунелот е трошок без корист.