HTTPS, DoH, ECH u VPN jaħbu affarijiet differenti
Kull mekkaniżmu jneħħi osservatur differenti mill-passaġġ, u ħadd ma jneħħihom kollha. Qabbel x'inhu protett qabel ma żżid tunnel ieħor.
Iż-żieda ta' VPN ma' browser li diġà juża HTTPS, DoH u ECH ma ttella' tliet protezzjonijiet f'waħda; tbiddel min hu fil-pożizzjoni li josserva xiex. Kull mekkaniżmu jneħħi parti differenti minn skambju differenti, u kull wieħed iħalli xi ħaġa warajh. Il-mistoqsija utli mhix liema hu l-aktar b'saħħtu, iżda liema osservatur qed tipprova tneħħi, għax it-tweġiba tiddeċiedi jekk tunnel jgħin xejn. Paragun ta' l-osservaturi li jibqgħu hu aktar utli minn lista ta' karatteristiċi.
Erba' mekkaniżmi, erba' osservaturi
Ibda bir-rabtiet erbgħa u bil-parti li kull wieħed minnhom hu maħsub biex iżomm barra. It-tabella hawn taħt hija dik li nuża fir-reviżjoni, għax iġġiegħel id-diskussjoni ssemmi osservatur minflok teknoloġija.
| Mekkaniżmu | Ir-relazzjoni li jipproteġi | L-osservatur li ma jneħħix |
|---|---|---|
| HTTPS | Il-konnessjoni TLS ta' l-applikazzjoni mal-punt tat-tmiem imsemmi tagħha | In-netwerk ta' aċċess xorta jara l-indirizz tad-destinazzjoni |
| DoH | L-iskambju DNS mas-solvatur HTTPS magħżul | Dak is-solvatur jara kull mistoqsija |
| ECH | L-oqsma sensittivi tal-ClientHello, fejn huma appoġġati u aċċettati | L-indirizzi tad-destinazzjoni, u DNS jekk mhux kopert |
| VPN | Pakketti mgħottija li jinġarru sal-pari tal-VPN | L-operatur tal-VPN jara d-destinazzjonijiet |
Il-valur tat-tabella huwa dak li tirrifjuta li tgħid. Ma tikklassifikax il-mekkaniżmi, u ma tgħidx li l-użu ta' l-erbgħa jneħħi l-erba' osservaturi kollha. Applikazzjoni web fil-cloud li diġà ttemm it-TLS fuq it-tarf tagħha hija protetta min-netwerk ta' aċċess għal dak l-iskambju, u l-ebda tunnel ma jtejjeb dik il-proprjetà partikolari. Dak li tunnel jista' jbiddel huwa liema netwerk jara l-pakketti ta' barra u liema operatur issa jinsab fil-passaġġ.
X'jaħbi tassew HTTPS
HTTPS jipproteġi l-iskambju ta' l-applikazzjoni bejn il-klijent u l-punt tat-tmiem li semmi ċ-ċertifikat. Ma jaħbix l-indirizz tad-destinazzjoni, ma jaħbix li seħħ konnessjoni, u ma jaħbix l-isem sakemm ECH ma jkunx involut. Il-validazzjoni taċ-ċertifikat hija parti mill-protezzjoni, mhux formalità madwarha.
VPN m'għandux għalfejn itemm dan it-TLS, u ħruġ li jgħaddi 'l quddiem m'għandux jiġi trattat bħala l-punt tat-tmiem awtentikat ta' l-applikazzjoni. Jekk disinn iħalli lill-ħruġ jiddekripta, dik hija arkitettura oħra b'dikjarazzjoni ta' fiduċja oħra.
X'ibiddlu DoH u ECH, u x'jitilqu
DoH iċaqlaq l-iskambju DNS għal solvatur HTTPS, li jfisser li dak is-solvatur jara l-mistoqsijiet tiegħek minflok is-solvatur tan-netwerk lokali. Din hija bidla reali u limitata: is-solvatur magħżul isir parti li tista' tikkorrelata l-mistoqsijiet ma' l-indirizzi li tikkonnettja magħhom wara, u dik hija proprju l-korrelazzjoni li tiddiskuti RFC 8484. It-trasport ikkriptat ma jagħmilx lir-riċevitur injorant dwar il-mistoqsijiet li jwieġeb.
ECH jipproteġi l-parti sensittiva tal-ClientHello biex osservatur passiv fil-passaġġ ma jistax jaqra l-isem tas-server maħsub. Jiddependi minn skjerament li jappoġġa u mill-aċċettazzjoni mis-server u min-netwerk, u jħalli kanali oħra fil-post: l-indirizzi tad-destinazzjoni jibqgħu viżibbli, u DNS jista' xorta jiżvela l-isem.
Il-ħaġa l-oħra li ECH ma jagħmilx hija li jipprova lilu nnifsu. Konnessjoni li tuża TLS 1.3 mhix prova li ECH ġie aċċettat, u browser li joffri ECH lil server li ma jappoġġahx jirtira bil-kwiet. Iċċekkja l-istat attwali tal-konnessjoni minflok tiddeduċih mill-verżjoni tal-protokoll.
Dan huwa l-għamla ġenerali ta' dan il-paragun kollu: kull mekkaniżmu huwa verifikat fil-livell tiegħu, u ħadd minnhom mhu verifikat mis-suċċess ta' ieħor.
X'ibiddel VPN, u x'jżid
Meta t-traffiku tal-web jidħol f'VPN, in-netwerk ta' aċċess jara l-iskambju ta' barra mal-pari tal-VPN minflok il-konnessjonijiet individwali ta' l-applikazzjonijiet, u l-operatur tal-VPN jieħu pożizzjoni fil-passaġġ 'il quddiem. Din hija mxifa tal-fruntiera tal-fiduċja, mhux tneħħija tagħha. L-operatur issa jara liema destinazzjonijiet tilħaq, anki jekk il-kontenut jibqa' kkriptat minn tarf sa tarf. Jekk dan huwiex titjib jiddependi għal kollox minn liema minn dawn iż-żewġ partijiet tafda inqas.
Żomm l-HTTPS ta' l-applikazzjoni u l-protezzjoni tas-solvatur maħsuba fil-post waqt li tagħmel dan. Tunnel mhuwiex sostitut għall-validazzjoni taċ-ċertifikat, u li titfi l-protezzjonijiet ta' solvatur għax it-traffiku jgħaddi minn tunnel ineħħi kontroll mingħajr ma jissostitwih.
L-għażla mir-rekwiżit
Stqarr ir-rekwiżit attwali, għax dak jiddeċiedi d-disinn. L-ammissjoni għal riżorsi privati, punt ta' ħruġ ġestit, theddida speċifika tan-netwerk ta' aċċess u awtorizzazzjoni tal-apparat huma erba' bżonnijiet differenti b'erba' tweġibiet differenti, u kumpanija li tuża biss applikazzjonijiet tal-cloud pubbliċi xorta trid tiddeċiedi l-awtorizzazzjoni u l-immaniġġjar tad-data. Saffi addizzjonali jistgħu jkunu xierqa mingħajr ma jkunu jistgħu jiġu skambjati. Konnessjoni aktar komplikata mhix kejl ta' anonimità, u mhix argument tas-sigurtà fiha nnifisha.
L-ispeċifikazzjoni ta' ECH, RFC 9849, tistħoqqlha tinqara għal dak li l-mekkaniżmu jkopri u ma jkoprix, u hija onesta dwar il-kanali li tħalli kwieti. Qabbel il-mekkaniżmi skont l-osservatur li jneħħi kull wieħed, ikteb dak l-osservatur, u mbagħad iddeċiedi jekk is-saff addizzjonali jindirizzahx. Jekk it-tweġiba hija li l-osservatur kien diġà barra mill-mudell ta' theddid tiegħek, it-tunnel huwa spiża mingħajr benefiċċju.