HTTPS, DoH, ECH आणि VPN वेगवेगळ्या गोष्टी लपवतात

आधीच HTTPS, DoH आणि ECH वापरणाऱ्या ब्राउझरमध्ये VPN जोडल्याने तीन संरक्षणे एकात साचत नाहीत; कोण काय निरीक्षण करू शकते ते बदलते। प्रत्येक पद्धत वेगळ्या देवाणघेवाणीतून वेगळा पक्ष काढून टाकते, आणि प्रत्येकजण काहीतरी मागे सोडते। कोणती सर्वात मजबूत आहे हा प्रश्न उपयुक्त नाही, तर तुम्ही कोणता निरीक्षक काढू इच्छिता हा, कारण उत्तरच बोगदा उपयोगी आहे की नाही हे ठरवते। उरलेल्या निरीक्षकांची तुलना वैशिष्ट्यांच्या यादीपेक्षा अधिक उपयुक्त आहे।

चार पद्धती, चार निरीक्षक

चार संबंध आणि प्रत्येकजण ज्याला बाहेर ठेवण्यासाठी रचले आहे त्या पक्षापासून सुरुवात करा। खालील तक्ताच मी पुनरावलोकनात वापरतो, कारण तो संभाषणाला तंत्रज्ञानाऐवजी निरीक्षकाचे नाव घेण्यास भाग पाडतो।

तक्त्याचे मूल्य तो जे सांगण्यास नकार देतो त्यात आहे। तो पद्धतींना क्रमवारी लावत नाही, आणि चारही वापरल्यास चारही निरीक्षक काढले जातात असे दावा करत नाही। जे क्लाउड वेब अॅप्लिकेशन आधीच स्वतःच्या कडेवर TLS संपवते ते त्या देवाणघेवाणीसाठी प्रवेश नेटवर्कपासून संरक्षित आहे, आणि कोणताही बोगदा तो विशिष्ट गुणधर्म सुधारत नाही। बोगदा जे बदलू शकतो ते म्हणजे कोणते नेटवर्क बाहेरील पॅकेट पाहते आणि आता मार्गावर कोणता ऑपरेटर आहे।

HTTPS प्रत्यक्षात काय लपवते

HTTPS ग्राहक आणि प्रमाणपत्र ज्याचे नाव देते त्या अंतिम बिंदूमधील अॅप्लिकेशनची देवाणघेवाण संरक्षित करते। ते गंतव्य पत्ता लपवत नाही, कनेक्शन झाले हे लपवत नाही, आणि ECH नसेल तर नावही लपवत नाही। प्रमाणपत्र पडताळणी संरक्षणाचा भाग आहे, त्याभोवतीचा औपचारिकपणा नाही।

VPN ला तो TLS संपवण्याची गरज नाही, आणि पुढे पाठवणाऱ्या एग्झिटला अॅप्लिकेशनचा प्रमाणित अंतिम बिंदू मानू नये। जर रचना एग्झिटला डिक्रिप्ट करू देत असेल, तर ती वेगळ्या विश्वासाच्या घोषणेसह वेगळी रचना आहे।

DoH आणि ECH काय हलवतात, आणि काय सोडतात

DoH DNS देवाणघेवाण HTTPS रिझॉल्व्हरकडे हलवते, म्हणजे तो रिझॉल्व्हर स्थानिक नेटवर्कच्या रिझॉल्व्हरऐवजी तुमच्या क्वेरी पाहतो। हे खरे आणि मर्यादित बदल आहे: निवडलेला रिझॉल्व्हर क्वेरी तुम्ही नंतर जोडता त्या पत्त्यांशी सहसंबंधित करू शकणारा पक्ष बनतो, आणि RFC 8484 ने चर्चा केलेला सहसंबंध तोच आहे। एन्क्रिप्टेड वाहतूक प्राप्तकर्त्याला तो उत्तर देत असलेल्या क्वेरींबद्दल अजाण करत नाही।

ECH ClientHello चा संवेदनशील भाग संरक्षित करते, जेणेकरून मार्गावरील निष्क्रिय निरीक्षकाला इच्छित सर्व्हर नाव वाचता येणार नाही। हे आधार देणाऱ्या तैनातीवर आणि सर्व्हर व नेटवर्कच्या स्वीकृतीवर अवलंबून आहे, आणि इतर मार्ग त्यांच्या जागी सोडते: गंतव्य पत्ते दिसत राहतात, आणि DNS अजूनही नाव उघड करू शकते।

ECH करत नसलेली दुसरी गोष्ट म्हणजे स्वतःला सिद्ध करणे। TLS 1.3 वापरणारे कनेक्शन ECH स्वीकारले गेले याचा पुरावा नाही, आणि आधार नसलेल्या सर्व्हरला ECH देणारा ब्राउझर शांतपणे मागे हटतो। प्रोटोकॉल आवृत्तीवरून अनुमान न काढता कनेक्शनची खरी स्थिती तपासा।

ही संपूर्ण तुलनेची सामान्य रचना आहे: प्रत्येक पद्धत स्वतःच्या स्तरावर पडताळली जाते, आणि त्यातील कोणतीही दुसऱ्याच्या यशाने पडताळली जात नाही।

VPN काय हलवते, आणि काय जोडते

वेब रहदारी VPN मध्ये प्रवेश करते तेव्हा प्रवेश नेटवर्क वैयक्तिक अॅप्लिकेशन कनेक्शनऐवजी VPN सोबत्यासोबतची बाह्य देवाणघेवाण पाहते, आणि VPN ऑपरेटर पुढील मार्गावर स्थान घेतो। हे विश्वासाच्या सीमेचे स्थानांतर आहे, ती काढून टाकणे नाही। ऑपरेटर आता तुम्ही कोणत्या गंतव्यांपर्यंत पोहोचता हे पाहतो, जरी सामग्री टोकापासून टोकापर्यंत एन्क्रिप्टेड राहिली तरी। ते सुधारणा आहे की नाही हे या दोन पक्षांपैकी कोणावर तुमचा कमी विश्वास आहे यावर पूर्णपणे अवलंबून आहे।

हे करताना अॅप्लिकेशनचे HTTPS आणि इच्छित रिझॉल्व्हर संरक्षण त्यांच्या जागी ठेवा। बोगदा प्रमाणपत्र पडताळणीचा पर्याय नाही, आणि रहदारी बोगद्यातून जाते म्हणून रिझॉल्व्हरची संरक्षणे बंद करणे नियंत्रण बदलल्याशिवाय काढून टाकणे आहे।

आवश्यकतेवरून निवड

खरी आवश्यकता सांगा, कारण तीच रचना ठरवते। खाजगी संसाधनांमध्ये प्रवेश, व्यवस्थापित इग्रेस पॉइंट, प्रवेश नेटवर्कचा विशिष्ट धोका आणि उपकरण अधिकृतता या चार वेगळ्या गरजा चार वेगळ्या उत्तरांसह आहेत, आणि केवळ सार्वजनिक क्लाउड अॅप्लिकेशन्स वापरणाऱ्या कंपनीलाही अधिकृतता आणि माहिती हाताळणी ठरवावी लागते। अतिरिक्त स्तर योग्य असू शकतात, पण एकमेकांच्या जागी नाही। अधिक गुंतागुंतीचे कनेक्शन अनामिकतेचे माप नाही, आणि ते स्वतःच सुरक्षेचा युक्तिवाद नाही।

ECH चे तपशील, RFC 9849, पद्धत काय समाविष्ट करते आणि काय नाही हे जाणून घेण्यासाठी वाचनीय आहे, आणि ते ज्या मार्गांना शांत ठेवते त्याबद्दल प्रामाणिक आहे। प्रत्येक पद्धत ज्या निरीक्षकाला काढते त्यावरून तुलना करा, तो निरीक्षक लिहा, आणि नंतर अतिरिक्त स्तर त्याला संबोधित करतो का ते ठरवा। उत्तर असे असेल की निरीक्षक आधीच तुमच्या धोका मॉडेलबाहेर होता, तर बोगदा फायद्याशिवाय खर्च आहे।