HTTPS, DoH, ECH, VPN എന്നിവ വ്യത്യസ്ത കാര്യങ്ങൾ മറയ്ക്കുന്നു

ഇതിനകം HTTPS, DoH, ECH ഉപയോഗിക്കുന്ന ബ്രൗസറിലേക്ക് VPN ചേർക്കുന്നത് മൂന്ന് സംരക്ഷണങ്ങളെ ഒന്നാക്കി കൂട്ടുന്നില്ല; ആര് എന്ത് നിരീക്ഷിക്കാൻ സ്ഥാനത്തുണ്ട് എന്നത് മാറ്റുന്നു। ഓരോ സംവിധാനവും വ്യത്യസ്ത കൈമാറ്റത്തിൽ നിന്ന് വ്യത്യസ്ത കക്ഷിയെ നീക്കുന്നു, ഓരോന്നും എന്തെങ്കിലും വിട്ടേക്കുന്നു। ഏതാണ് ഏറ്റവും ശക്തം എന്നതല്ല ഉപയോഗപ്രദമായ ചോദ്യം, മറിച്ച് നിങ്ങൾ ഏത് നിരീക്ഷകനെ നീക്കാൻ ശ്രമിക്കുന്നു എന്നതാണ്, കാരണം ഉത്തരം തന്നെ ടണൽ സഹായിക്കുമോ ഇല്ലയോ എന്ന് തീരുമാനിക്കുന്നു। ശേഷിക്കുന്ന നിരീക്ഷകരുടെ താരതമ്യം സവിശേഷതകളുടെ പട്ടികയേക്കാൾ ഉപയോഗപ്രദമാണ്।

നാല് സംവിധാനങ്ങൾ, നാല് നിരീക്ഷകർ

നാല് ബന്ധങ്ങളിൽ നിന്നും ഓരോന്നും പുറത്ത് നിർത്താൻ രൂപകൽപ്പന ചെയ്ത കക്ഷിയിൽ നിന്നും തുടങ്ങുക। താഴെയുള്ള പട്ടികയാണ് ഞാൻ അവലോകനത്തിൽ ഉപയോഗിക്കുന്നത്, കാരണം അത് സംഭാഷണത്തെ സാങ്കേതികവിദ്യയ്ക്ക് പകരം നിരീക്ഷകനെ പേര് പറയാൻ നിർബന്ധിക്കുന്നു।

പട്ടികയുടെ മൂല്യം അത് പറയാൻ വിസമ്മതിക്കുന്നതിലാണ്। അത് സംവിധാനങ്ങളെ റാങ്ക് ചെയ്യുന്നില്ല, നാലും ഉപയോഗിച്ചാൽ നാല് നിരീക്ഷകരെയും നീക്കുമെന്ന് അവകാശപ്പെടുന്നുമില്ല। സ്വന്തം അറ്റത്ത് TLS അവസാനിപ്പിക്കുന്ന ക്ലൗഡ് വെബ് ആപ്ലിക്കേഷൻ ആ കൈമാറ്റത്തിന് ആക്സസ് നെറ്റ്വർക്കിൽ നിന്ന് സംരക്ഷിതമാണ്, ഒരു ടണലും ആ പ്രത്യേക ഗുണം മെച്ചപ്പെടുത്തുന്നില്ല। ടണലിന് മാറ്റാൻ കഴിയുന്നത് ഏത് നെറ്റ്വർക്കാണ് പുറം പാക്കറ്റുകൾ കാണുന്നത്, ഇപ്പോൾ പാതയിൽ ഏത് ഓപ്പറേറ്ററാണ് എന്നതാണ്।

HTTPS യഥാർത്ഥത്തിൽ എന്താണ് മറയ്ക്കുന്നത്

HTTPS ക്ലയന്റും സർട്ടിഫിക്കറ്റ് പേര് നൽകുന്ന അന്ത്യ ബിന്ദുവും തമ്മിലുള്ള ആപ്ലിക്കേഷൻ കൈമാറ്റം സംരക്ഷിക്കുന്നു। അത് ലക്ഷ്യ വിലാസം മറയ്ക്കുന്നില്ല, കണക്ഷൻ ഉണ്ടായിരുന്നു എന്നത് മറയ്ക്കുന്നില്ല, ECH ഇല്ലെങ്കിൽ പേരും മറയ്ക്കുന്നില്ല। സർട്ടിഫിക്കറ്റ് പരിശോധന സംരക്ഷണത്തിന്റെ ഭാഗമാണ്, അതിന് ചുറ്റുമുള്ള ആചാരമല്ല।

VPN ആ TLS അവസാനിപ്പിക്കേണ്ടതില്ല, കൂടാതെ ഫോർവേഡിംഗ് എക്സിറ്റിനെ ആപ്ലിക്കേഷന്റെ പ്രാമാണീകരിച്ച അന്ത്യ ബിന്ദുവായി കാണരുത്। ഡിസൈൻ എക്സിറ്റിനെ ഡീക്രിപ്റ്റ് ചെയ്യാൻ അനുവദിക്കുന്നുവെങ്കിൽ, അത് വേറെ വിശ്വാസ പ്രഖ്യാപനമുള്ള വേറെ ആർക്കിടെക്ചറാണ്।

DoH ഉം ECH ഉം എന്താണ് നീക്കുന്നത്, എന്താണ് വിടുന്നത്

DoH DNS കൈമാറ്റം HTTPS റിസോൾവറിലേക്ക് നീക്കുന്നു, അതായത് ആ റിസോൾവർ പ്രാദേശിക നെറ്റ്വർക്കിന്റെ റിസോൾവറിന് പകരം നിങ്ങളുടെ ചോദ്യങ്ങൾ കാണുന്നു। ഇത് യഥാർത്ഥവും പരിമിതവുമായ മാറ്റമാണ്: തിരഞ്ഞെടുത്ത റിസോൾവർ ചോദ്യങ്ങളെ നിങ്ങൾ പിന്നീട് ബന്ധിപ്പിക്കുന്ന വിലാസങ്ങളുമായി പരസ്പരബന്ധിപ്പിക്കാൻ കഴിയുന്ന കക്ഷിയാകുന്നു, അതാണ് RFC 8484 ചർച്ച ചെയ്യുന്ന പരസ്പരബന്ധം। എൻക്രിപ്റ്റ് ചെയ്ത ഗതാഗതം സ്വീകർത്താവിനെ താൻ ഉത്തരം നൽകുന്ന ചോദ്യങ്ങളെക്കുറിച്ച് അജ്ഞനാക്കുന്നില്ല।

ECH ClientHello യുടെ സംവേദനക്ഷമമായ ഭാഗം സംരക്ഷിക്കുന്നു, അതുവഴി പാതയിലെ നിഷ്ക്രിയ നിരീക്ഷകന് ഉദ്ദേശിച്ച സെർവർ നാമം വായിക്കാനാവില്ല। ഇത് പിന്തുണയ്ക്കുന്ന വിന്യാസത്തെയും സെർവറിന്റെയും നെറ്റ്വർക്കിന്റെയും സ്വീകാര്യതയെയും ആശ്രയിക്കുന്നു, മറ്റ് ചാനലുകൾ അവയുടെ സ്ഥാനത്ത് വിടുന്നു: ലക്ഷ്യ വിലാസങ്ങൾ കാണാവുന്നതായി തുടരുന്നു, DNS ഇപ്പോഴും പേര് വെളിപ്പെടുത്തിയേക്കാം।

ECH ചെയ്യാത്ത മറ്റൊന്ന് സ്വയം തെളിയിക്കലാണ്। TLS 1.3 ഉപയോഗിക്കുന്ന കണക്ഷൻ ECH സ്വീകരിച്ചു എന്നതിന്റെ തെളിവല്ല, പിന്തുണയില്ലാത്ത സെർവറിന് ECH നൽകുന്ന ബ്രൗസർ നിശബ്ദമായി പിന്നോട്ട് പോകുന്നു। പ്രോട്ടോക്കോൾ പതിപ്പിൽ നിന്ന് അനുമാനിക്കാതെ കണക്ഷന്റെ യഥാർത്ഥ അവസ്ഥ പരിശോധിക്കുക।

ഈ മുഴുവൻ താരതമ്യത്തിന്റെയും പൊതുരൂപം ഇതാണ്: ഓരോ സംവിധാനവും അതിന്റെ സ്വന്തം പാളിയിൽ പരിശോധിക്കപ്പെടുന്നു, അവയിൽ ഒന്നും മറ്റൊന്നിന്റെ വിജയത്താൽ പരിശോധിക്കപ്പെടുന്നില്ല।

VPN എന്താണ് നീക്കുന്നത്, എന്താണ് ചേർക്കുന്നത്

വെബ് ട്രാഫിക് VPN ലേക്ക് പ്രവേശിക്കുമ്പോൾ, ആക്സസ് നെറ്റ്വർക്ക് വ്യക്തിഗത ആപ്ലിക്കേഷൻ കണക്ഷനുകൾക്ക് പകരം VPN പിയറുമായുള്ള പുറം കൈമാറ്റം കാണുന്നു, VPN ഓപ്പറേറ്റർ മുന്നോട്ടുള്ള പാതയിൽ സ്ഥാനം എടുക്കുന്നു। ഇത് വിശ്വാസ അതിരിന്റെ സ്ഥാനാന്തരമാണ്, അതിനെ നീക്കം ചെയ്യലല്ല। ഉള്ളടക്കം അറ്റം മുതൽ അറ്റം വരെ എൻക്രിപ്റ്റ് ചെയ്തിരുന്നാലും ഓപ്പറേറ്റർ ഇപ്പോൾ നിങ്ങൾ എത്തുന്ന ലക്ഷ്യങ്ങൾ കാണുന്നു। അത് മെച്ചമാണോ എന്നത് ഈ രണ്ട് കക്ഷികളിൽ ആരെ നിങ്ങൾ കുറച്ച് വിശ്വസിക്കുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു।

ഇത് ചെയ്യുമ്പോൾ ആപ്ലിക്കേഷന്റെ HTTPS ഉം ഉദ്ദേശിച്ച റിസോൾവർ സംരക്ഷണവും അവയുടെ സ്ഥാനത്ത് നിലനിർത്തുക। ടണൽ സർട്ടിഫിക്കറ്റ് പരിശോധനയ്ക്ക് പകരമല്ല, ട്രാഫിക് ടണലിലൂടെ പോകുന്നു എന്ന കാരണത്താൽ റിസോൾവറിന്റെ സംരക്ഷണങ്ങൾ ഓഫ് ചെയ്യുന്നത് നിയന്ത്രണത്തെ മാറ്റിസ്ഥാപിക്കാതെ നീക്കുന്നു।

ആവശ്യകതയിൽ നിന്ന് തിരഞ്ഞെടുക്കുക

യഥാർത്ഥ ആവശ്യകത പറയുക, അതാണ് ഡിസൈൻ തീരുമാനിക്കുന്നത്। സ്വകാര്യ വിഭവങ്ങളിലേക്കുള്ള പ്രവേശനം, നിയന്ത്രിത എഗ്രെസ് പോയിന്റ്, ആക്സസ് നെറ്റ്വർക്കിന്റെ പ്രത്യേക ഭീഷണി, ഉപകരണ അംഗീകാരം എന്നിവ നാല് വ്യത്യസ്ത ആവശ്യങ്ങളാണ് നാല് വ്യത്യസ്ത ഉത്തരങ്ങളോടെ, പൊതു ക്ലൗഡ് ആപ്ലിക്കേഷനുകൾ മാത്രം ഉപയോഗിക്കുന്ന കമ്പനിയും അംഗീകാരവും ഡാറ്റ കൈകാര്യം ചെയ്യലും തീരുമാനിക്കണം। അധിക പാളികൾ ഉചിതമായിരിക്കാം, പക്ഷേ പരസ്പരം പകരമാകരുത്। കൂടുതൽ സങ്കീർണ്ണമായ കണക്ഷൻ അജ്ഞാതത്വത്തിന്റെ അളവല്ല, അത് സ്വയം ഒരു സുരക്ഷാ വാദവുമല്ല।

ECH ന്റെ വ്യവസ്ഥ, RFC 9849, സംവിധാനം എന്ത് ഉൾക്കൊള്ളുന്നു എന്ത് ഇല്ല എന്ന് അറിയാൻ വായിക്കാൻ യോഗ്യമാണ്, താൻ വിടുന്ന ചാനലുകളെക്കുറിച്ച് അത് സത്യസന്ധമാണ്। ഓരോ സംവിധാനവും നീക്കുന്ന നിരീക്ഷകനെ അടിസ്ഥാനമാക്കി താരതമ്യം ചെയ്യുക, ആ നിരീക്ഷകനെ എഴുതുക, തുടർന്ന് അധിക പാളി അവനെ അഭിസംബോധന ചെയ്യുന്നുണ്ടോ എന്ന് തീരുമാനിക്കുക। ഉത്തരം ആ നിരീക്ഷകൻ ഇതിനകം നിങ്ങളുടെ ഭീഷണി മാതൃകയ്ക്ക് പുറത്തായിരുന്നു എന്നാണെങ്കിൽ, ടണൽ പ്രയോജനമില്ലാത്ത ചെലവാണ്।