HTTPS, DoH, ECH dan VPN menyembunyikan perkara yang berbeza
Setiap mekanisme membuang pemerhati yang berbeza dari laluan, dan tiada satu pun membuang semuanya. Bandingkan apa yang dilindungi sebelum menambah terowong lain.
Menambah VPN pada pelayar yang sudah menggunakan HTTPS, DoH dan ECH tidak menyusun tiga perlindungan menjadi satu; ia mengubah siapa yang berada dalam kedudukan untuk memerhati apa. Setiap mekanisme membuang pihak yang berbeza daripada pertukaran yang berbeza, dan setiap satu meninggalkan sesuatu. Soalan yang berguna bukanlah yang mana paling kuat, tetapi pemerhati mana yang anda cuba buang, kerana jawapannya menentukan sama ada terowong membantu sama sekali. Perbandingan pemerhati yang tinggal lebih berguna daripada senarai ciri.
Empat mekanisme, empat pemerhati
Mulakan dengan empat hubungan dan pihak yang setiap satunya direka untuk menyimpan di luar. Jadual di bawah ialah yang saya gunakan dalam semakan, kerana ia memaksa perbualan menamakan pemerhati dan bukannya teknologi.
| Mekanisme | Hubungan yang dilindungi | Pemerhati yang tidak dibuang |
|---|---|---|
| HTTPS | Sambungan TLS aplikasi ke titik akhir yang dinamakannya | Rangkaian akses masih melihat alamat destinasi |
| DoH | Pertukaran DNS dengan penyelesai HTTPS yang dipilih | Penyelesai itu melihat setiap pertanyaan |
| ECH | Medan sensitif ClientHello, di mana disokong dan diterima | Alamat destinasi, dan DNS jika tidak diliputi |
| VPN | Paket bertutup yang dibawa ke rakan VPN | Operator VPN melihat destinasi |
Nilai jadual itu ialah apa yang ia enggan katakan. Ia tidak menyusun mekanisme mengikut pangkat, dan tidak mendakwa bahawa menggunakan keempat-empatnya membuang keempat-empat pemerhati. Aplikasi web awan yang sudah menamatkan TLS di tepinya sendiri dilindungi daripada rangkaian akses untuk pertukaran itu, dan tiada terowong memperbaiki sifat khusus itu. Apa yang boleh diubah oleh terowong ialah rangkaian mana yang melihat paket luar dan operator mana yang kini berada di laluan.
Apa yang sebenarnya disembunyikan HTTPS
HTTPS melindungi pertukaran aplikasi antara klien dan titik akhir yang dinamakan oleh sijil. Ia tidak menyembunyikan alamat destinasi, tidak menyembunyikan bahawa sambungan berlaku, dan tidak menyembunyikan nama melainkan ECH terlibat. Pengesahan sijil ialah sebahagian daripada perlindungan, bukan formaliti di sekelilingnya.
VPN tidak perlu menamatkan TLS itu, dan pintu keluar penghantaran tidak boleh dianggap sebagai titik akhir aplikasi yang disahkan. Jika reka bentuk membenarkan pintu keluar menyahsulit, itu seni bina lain dengan pernyataan kepercayaan yang lain.
Apa yang dialihkan oleh DoH dan ECH, dan apa yang ditinggalkan
DoH mengalihkan pertukaran DNS kepada penyelesai HTTPS, bermakna penyelesai itu melihat pertanyaan anda dan bukannya penyelesai rangkaian tempatan. Itu perubahan yang nyata dan terbatas: penyelesai yang dipilih menjadi pihak yang boleh mengaitkan pertanyaan dengan alamat yang anda sambung kemudian, dan itulah tepat korelasi yang dibincangkan oleh RFC 8484. Pengangkutan yang disulitkan tidak menjadikan penerima tidak sedar tentang pertanyaan yang dijawabnya.
ECH melindungi bahagian sensitif ClientHello supaya pemerhati pasif di laluan tidak dapat membaca nama pelayan yang dimaksudkan. Ia bergantung pada penggunaan yang menyokong dan pada penerimaan oleh pelayan dan rangkaian, dan ia membiarkan saluran lain di tempatnya: alamat destinasi kekal kelihatan, dan DNS mungkin masih mendedahkan nama itu.
Perkara lain yang ECH tidak lakukan ialah membuktikan dirinya. Sambungan yang menggunakan TLS 1.3 bukan bukti bahawa ECH diterima, dan pelayar yang menawarkan ECH kepada pelayan yang tidak menyokongnya berundur secara senyap. Periksa keadaan sebenar sambungan dan bukannya menyimpulkannya daripada versi protokol.
Itulah bentuk umum keseluruhan perbandingan ini: setiap mekanisme disahkan pada lapisannya sendiri, dan tiada satu pun daripadanya disahkan oleh kejayaan yang lain.
Apa yang dialihkan oleh VPN, dan apa yang ditambahnya
Apabila trafik web memasuki VPN, rangkaian akses melihat pertukaran luar dengan rakan VPN dan bukannya sambungan aplikasi individu, dan operator VPN mengambil kedudukan di laluan seterusnya. Itu pemindahan sempadan kepercayaan, bukan pembuangannya. Operator kini melihat destinasi mana yang anda capai, walaupun kandungannya kekal disulitkan hujung ke hujung. Sama ada itu satu penambahbaikan bergantung sepenuhnya pada pihak mana antara dua pihak itu yang anda kurang percayai.
Kekalkan HTTPS aplikasi dan perlindungan penyelesai yang dimaksudkan sambil melakukan ini. Terowong bukan pengganti pengesahan sijil, dan mematikan perlindungan penyelesai kerana trafik melalui terowong membuang kawalan tanpa menggantikannya.
Memilih daripada keperluan
Nyatakan keperluan sebenar, kerana itulah yang menentukan reka bentuk. Kemasukan ke sumber peribadi, titik keluar terurus, ancaman tertentu pada rangkaian akses dan kebenaran peranti ialah empat keperluan berbeza dengan empat jawapan berbeza, dan syarikat yang hanya menggunakan aplikasi awan awam masih perlu memutuskan kebenaran dan pengendalian data. Lapisan tambahan boleh wajar tanpa boleh saling ditukar. Sambungan yang lebih rumit bukan ukuran tanpa nama, dan ia bukan hujah keselamatan dengan sendirinya.
Spesifikasi ECH, RFC 9849, wajar dibaca untuk mengetahui apa yang diliputi oleh mekanisme itu dan apa yang tidak, dan ia jujur tentang saluran yang dibiarkannya. Bandingkan mekanisme mengikut pemerhati yang dibuang oleh setiap satu, catat pemerhati itu, dan kemudian putuskan sama ada lapisan tambahan itu menanganinya. Jika jawapannya ialah pemerhati itu sudah berada di luar model ancaman anda, terowong itu kos tanpa manfaat.