HTTPS, DoH, ECH болон VPN өөр өөр зүйлийг нуудаг
Механизм бүр замналаас өөр ажиглагчийг арилгадаг бөгөөд аль нь ч бүгдийг арилгадаггүй. Өөр нэг туннель нэмэхийн өмнө юу хамгаалагдсаныг харьцуул.
HTTPS, DoH, ECH аль хэдийн ашиглаж буй хөтөчдөд VPN нэмэх нь гурван хамгаалалтыг нэг болгон овоолдоггүй; хэн юуг ажиглах боломжтойг өөрчилдөг. Механизм бүр өөр солилцооноос өөр талыг арилгадаг бөгөөд тус бүр ямар нэг зүйлийг үлдээдэг. Хамгийн хүчтэй нь аль вэ гэсэн биш, харин та ямар ажиглагчийг арилгахыг хүсч байна вэ гэдэг нь ашигтай асуулт, учир нь хариулт нь туннель ерөнхийдөө тус болох эсэхийг шийднэ. Үлдсэн ажиглагчдыг харьцуулах нь боломжуудын жагсаалтаас илүү ашигтай.
Дөрвөн механизм, дөрвөн ажиглагч
Дөрвөн харилцаа ба тус бүр гадагш барихаар зохиогдсон талаас эхэл. Доорх хүснэгт нь миний хяналтад ашигладаг хүснэгт, учир нь энэ нь яриаг технологийн оронд ажиглагчийг нэрлэхэд хүргэдэг.
| Механизм | Хамгаалдаг харилцаа | Арилгадаггүй ажиглагч |
|---|---|---|
| HTTPS | Аппликейшны нэрлэсэн төгсгөлийн цэгтэй TLS холболт | Хандалтын сүлжээ очих хаягийг хараахан хардаг |
| DoH | Сонгосон HTTPS шийдэгчтэй DNS солилцоо | Тэр шийдэгч асуулт бүрийг хардаг |
| ECH | ClientHello-ийн мэдрэмтгий талбарууд, дэмжигдэж хүлээн авах үед | Очих хаягууд, хамрагдаагүй бол DNS |
| VPN | VPN түнш рүү зөөгдсөн бүрхсэн пакетууд | VPN оператор очих газруудыг хардаг |
Хүснэгтийн үнэ цэнэ нь түүний хэлэхээс татгалздаг зүйлд байна. Энэ нь механизмуудыг эрэмбэлэхгүй бөгөөд дөрвийг бүгдийг нь ашиглавал дөрвөн ажиглагч бүгд арилна гэж мэдэгдэхгүй. Өөрийн захад TLS-ийг аль хэдийн дуусгадаг үүлэн вэб аппликейшн тэр солилцоонд хандалтын сүлжээнээс хамгаалагдсан бөгөөд ямар ч туннель тэр тодорхой шинж чанарыг сайжруулахгүй. Туннелийн өөрчилж чадах зүйл бол аль сүлжээ гадаад пакетуудыг хардаг, одоо замналд аль оператор байгаа вэ гэдэг.
HTTPS үнэндээ юуг нуудаг
HTTPS нь клиент ба гэрчилгээний нэрлэсэн төгсгөлийн цэгийн хоорондох аппликейшны солилцоог хамгаалдаг. Энэ нь очих хаягийг нуухгүй, холболт болсон гэдгийг нуухгүй, ECH тоглоомд байхгүй бол нэрийг ч нуухгүй. Гэрчилгээний баталгаажуулалт нь хамгаалалтын хэсэг бөгөөд түүний эргэн тойрны ёслол биш.
VPN тэр TLS-ийг дуусгах шаардлагагүй бөгөөд дамжуулах гаралтыг аппликейшны баталгаажсан төгсгөлийн цэг гэж үзэх ёсгүй. Хэрэв дизайн гаралтыг тайлбарлахыг зөвшөөрвөл энэ нь өөр итгэлийн мэдэгдэлтэй өөр архитектур.
DoH ба ECH юуг зөөдөг, юуг үлдээдэг вэ
DoH нь DNS солилцоог HTTPS шийдэгч рүү зөөдөг, энэ нь тухайн шийдэгч орон нутгийн сүлжээний шийдэгчийн оронд таны асуултуудыг хардаг гэсэн үг. Энэ бол бодит бөгөөд хязгаарлагдмал өөрчлөлт: сонгосон шийдэгч нь асуултуудыг та дараа холбогдох хаягуудтай хамааруулж чадах тал болж, энэ нь RFC 8484-д хэлэлцсэн яг тэр хамаарал юм. Шифрлэгдсэн тээвэр нь хүлээн авагчийг өөрөө хариулах асуултуудаас мэдээлэлгүй болгодоггүй.
ECH нь ClientHello-ийн мэдрэмтгий хэсгийг хамгаалж, замнал дээрх идэвхгүй ажиглагч зориудын серверийн нэрийг уншиж чадахгүй болгоно. Энэ нь дэмжих байршуулалт болон сервер, сүлжээний хүлээн зөвшөөрлөөс хамаарах бөгөөд бусад сувгийг байранд нь үлдээнэ: очих хаягууд харагдах хэвээр, DNS нэрний талаар илчилж болно.
ECH-ийн хийдэггүй өөр нэг зүйл бол өөрийгөө батлах. TLS 1.3 ашигласан холболт нь ECH хүлээн авсан гэдгийн баталгаа биш бөгөөд дэмжлэггүй серверт ECH санал болгосон хөтөч чимээгүй буцдаг. Протоколын хувилбараас дүгнэх биш, холболтын бодит байдлыг шалга.
Энэ бол энэ бүх харьцуулалтын ерөнхий хэлбэр: механизм бүр өөрийн давхаргад баталгаажиж, аль нь ч нөгөөгийн амжилтаар баталгаажихгүй.
VPN юуг зөөдөг, юуг нэмдэг вэ
Вэб трафик VPN-д ороход хандалтын сүлжээ нь тусдаа аппликейшны холболтуудын оронд VPN түншийн гадаад солилцоог харж, VPN оператор цаашдын замналд байр суурь эзэлдэг. Энэ бол итгэлийн хилийн шилжилт, түүнийг арилгах биш. Оператор одоо таны хүрч буй газруудыг хардаг, агуулга төгсгөлөөс төгсгөл хүртэл шифрлэгдсэн хэвээр байсан ч. Энэ нь сайжруулалт мөн эсэх нь энэ хоёр талын алийг нь та бага итгэдэгээс бүрэн хамаарна.
Үүнийг хийхдээ аппликейшны HTTPS болон зориудын шийдэгчийн хамгаалалтыг байранд нь бариарай. Туннель нь гэрчилгээний баталгаажуулалтыг орлохгүй бөгөөд трафик туннелээр явдаг гэсэн шалтгаанаар шийдэгчийн хамгаалалтыг унтраах нь хяналтыг орлуулалгүйгээр арилгах юм.
Шаардлагаас сонгох
Бодит шаардлагыг хэл, учир нь тэр дизайныг шийддэг. Хувийн нөөцөд нэвтрэх, удирдлагатай гаралтын цэг, хандалтын сүлжээний тодорхой аюул, төхөөрөмжийн зөвшөөрөл нь дөрвөн өөр хэрэгцээ дөрвөн өөр хариулттай, нийтийн үүлэн аппликейшн л ашигладаг компани ч зөвшөөрөл, өгөгдлийн боловсруулалтыг шийдэх ёстой. Нэмэлт давхаргууд тохиромжтой байж болох ч бие биеэ орлохгүй. Илүү төвөгтэй холболт нь нэргүйн хэмжүүр биш бөгөөд өөрөө аюулгүй байдлын үндэслэл биш.
ECH-ийн тодорхойлолт, RFC 9849, механизм юуг хамардаг, юуг хамардаггүйг мэдэхэд уншихад үнэ цэнэтэй бөгөөд энэ нь хөндөхгүй үлдээсэн сувгуудын талаар шударга. Механизмуудыг тус бүр арилгадаг ажиглагчаар харьцуул, тэр ажиглагчийг бичиж аваад, нэмэлт давхарга түүнд ханддаг эсэхийг шийд. Хэрэв хариулт нь ажиглагч аль хэдийн таны аюулын загвараас гадуур байсан гэвэл туннель нь ашиггүй зардал.