HTTPS, DoH, ECH र VPN ले फरक फरक कुरा लुकाउँछन्
प्रत्येक विधिले बाटोबाट फरक अवलोकनकर्ता हटाउँछ, र कुनैले पनि सबैलाई हटाउँदैन। अर्को सुरुङ थप्नु अघि के सुरक्षित छ भनेर तुलना गर्नुहोस्।
पहिले नै HTTPS, DoH र ECH प्रयोग गर्ने ब्राउजरमा VPN थप्दा तीन सुरक्षाहरू एउटैमा थुप्रिन्न; यसले को के अवलोकन गर्न सक्ने स्थितिमा छ भन्ने बदल्छ। प्रत्येक विधिले फरक आदानप्रदानबाट फरक पक्ष हटाउँछ, र प्रत्येकले केही पछाडि छोड्छ। उपयोगी प्रश्न कुन सबैभन्दा बलियो हो भन्ने होइन, तर तपाईं कुन अवलोकनकर्ता हटाउन खोज्दै हुनुहुन्छ भन्ने हो, किनकि जवाफले नै सुरुङ काम लाग्छ कि लाग्दैन भन्ने निर्धारण गर्छ। बाँकी अवलोकनकर्ताको तुलना सुविधाको सूचीभन्दा बढी उपयोगी हुन्छ।
चार विधि, चार अवलोकनकर्ता
चार सम्बन्ध र प्रत्येकले बाहिर राख्न तयार पारिएको पक्षबाट सुरु गर्नुहोस्। तलको तालिका नै मैले समीक्षामा प्रयोग गर्ने हो, किनकि यसले कुराकानीलाई प्रविधिको सट्टा अवलोकनकर्ताको नाम लिन बाध्य बनाउँछ।
| विधि | जुन सम्बन्धको रक्षा गर्छ | जुन अवलोकनकर्ता हटाउँदैन |
|---|---|---|
| HTTPS | अनुप्रयोगको आफ्नो नामित अन्तिम बिन्दुसँगको TLS जडान | पहुँच सञ्जालले अझै गन्तव्य ठेगाना देख्छ |
| DoH | छानिएको HTTPS समाधानकर्तासँगको DNS आदानप्रदान | त्यो समाधानकर्ताले प्रत्येक प्रश्न देख्छ |
| ECH | ClientHello का संवेदनशील क्षेत्र, जहाँ समर्थित र स्वीकृत छन् | गन्तव्य ठेगाना, र DNS समेटिएको छैन भने |
| VPN | VPN साथीसम्म लगिएका आवृत प्याकेट | VPN अपरेटरले गन्तव्य देख्छ |
तालिकाको मूल्य त्यसमा छ जुन यसले भन्न अस्वीकार गर्छ। यसले विधिहरूलाई क्रममा राख्दैन, र चारै प्रयोग गर्दा चारै अवलोकनकर्ता हट्छन् भनी दाबी गर्दैन। जुन क्लाउड वेब अनुप्रयोगले आफ्नै किनारमा TLS अन्त्य गर्छ, त्यो त्यस आदानप्रदानका लागि पहुँच सञ्जालबाट सुरक्षित छ, र कुनै सुरुङले त्यो विशेष गुण सुधार्दैन। सुरुङले बदल्न सक्ने कुरा भनेको कुन सञ्जालले बाहिरी प्याकेट देख्छ र अहिले बाटोमा कुन अपरेटर छ भन्ने हो।
HTTPS ले वास्तवमा के लुकाउँछ
HTTPS ले ग्राहक र प्रमाणपत्रले नाम दिने अन्तिम बिन्दुबीचको अनुप्रयोग आदानप्रदानको रक्षा गर्छ। यसले गन्तव्य ठेगाना लुकाउँदैन, जडान भयो भन्ने लुकाउँदैन, र ECH नभएसम्म नाम पनि लुकाउँदैन। प्रमाणपत्र प्रमाणीकरण सुरक्षाको भाग हो, त्यसको वरपरको औपचारिकता होइन।
VPN ले त्यो TLS अन्त्य गर्नुपर्दैन, र अगाडि पठाउने निकासलाई अनुप्रयोगको प्रमाणित अन्तिम बिन्दु मान्नु हुँदैन। यदि डिजाइनले निकासलाई डिक्रिप्ट गर्न दिन्छ भने त्यो फरक विश्वास घोषणा भएको फरक संरचना हो।
DoH र ECH ले के सार्छन्, र के छाड्छन्
DoH ले DNS आदानप्रदानलाई HTTPS समाधानकर्तामा सार्छ, अर्थात् त्यो समाधानकर्ताले स्थानीय सञ्जालको समाधानकर्ताको सट्टा तपाईंका प्रश्नहरू देख्छ। यो वास्तविक र सीमित परिवर्तन हो: छानिएको समाधानकर्ता प्रश्नहरूलाई तपाईं पछि जोडिने ठेगानासँग सम्बन्धित गर्न सक्ने पक्ष बन्छ, र RFC 8484 ले चर्चा गर्ने सम्बन्ध त्यही हो। इन्क्रिप्टेड ढुवानीले प्राप्तकर्तालाई आफूले जवाफ दिने प्रश्नबारे अज्ञानी बनाउँदैन।
ECH ले ClientHello को संवेदनशील भागको रक्षा गर्छ ताकि बाटोमा रहेको निष्क्रिय अवलोकनकर्ताले अभिप्रेत सर्भर नाम पढ्न नसकोस्। यो समर्थन गर्ने तैनाथी र सर्भर तथा सञ्जालको स्वीकृतिमा निर्भर छ, र अरू च्यानल यथावत् राख्छ: गन्तव्य ठेगाना देखिने नै रहन्छन्, र DNS ले अझै नाम खुलाउन सक्छ।
ECH ले नगर्ने अर्को कुरा आफूलाई प्रमाणित गर्नु हो। TLS 1.3 प्रयोग गर्ने जडान ECH स्वीकारियो भन्ने प्रमाण होइन, र समर्थन नभएको सर्भरमा ECH दिने ब्राउजर चुपचाप पछि हट्छ। प्रोटोकल संस्करणबाट अनुमान नगरी जडानको वास्तविक अवस्था जाँच्नुहोस्।
यो सम्पूर्ण तुलनाको सामान्य स्वरूप हो: प्रत्येक विधि आफ्नै तहमा प्रमाणित हुन्छ, र तीमध्ये कुनै पनि अर्कोको सफलताबाट प्रमाणित हुँदैन।
VPN ले के सार्छ, र के थप्छ
जब वेब ट्राफिक VPN मा प्रवेश गर्छ, पहुँच सञ्जालले व्यक्तिगत अनुप्रयोग जडानको सट्टा VPN साथीसँगको बाहिरी आदानप्रदान देख्छ, र VPN अपरेटर अगाडिको बाटोमा स्थान लिन्छ। यो विश्वासको सीमाको स्थानान्तरण हो, त्यसलाई हटाउनु होइन। अपरेटरले अब तपाईं कुन गन्तव्यमा पुग्नुहुन्छ देख्छ, सामग्री सुरुदेखि अन्त्यसम्म इन्क्रिप्टेड रहे पनि। यो सुधार हो कि होइन भन्ने पूर्ण रूपमा यी दुई पक्षमध्ये कसलाई तपाईं कम विश्वास गर्नुहुन्छ भन्नेमा निर्भर छ।
यो गर्दा अनुप्रयोगको HTTPS र अभिप्रेत समाधानकर्ता सुरक्षा यथावत् राख्नुहोस्। सुरुङ प्रमाणपत्र प्रमाणीकरणको विकल्प होइन, र ट्राफिक सुरुङबाट जान्छ भनेर समाधानकर्ताका सुरक्षाहरू बन्द गर्नु नियन्त्रणलाई प्रतिस्थापन नगरी हटाउनु हो।
आवश्यकताबाट छनोट
वास्तविक आवश्यकता भन्नुहोस्, किनकि त्यसैले डिजाइन निर्धारण गर्छ। निजी स्रोतमा प्रवेश, व्यवस्थित निकास बिन्दु, पहुँच सञ्जालको विशेष खतरा र यन्त्र अनुमति यी चार फरक आवश्यकता हुन् चार फरक जवाफसहित, र केवल सार्वजनिक क्लाउड अनुप्रयोग प्रयोग गर्ने कम्पनीले पनि अनुमति र डेटा व्यवस्थापन तय गर्नुपर्छ। थप तहहरू उपयुक्त हुन सक्छन्, तर एकअर्काको ठाउँ लिन सक्दैनन्। बढी जटिल जडान अनामताको मापन होइन, र यो आफैंमा सुरक्षाको तर्क होइन।
ECH को विशिष्टता, RFC 9849, विधिले के समेट्छ र के समेट्दैन भन्ने जान्न पढ्न योग्य छ, र यसले आफूले छाडेका च्यानलबारे इमानदार छ। प्रत्येक विधिले हटाउने अवलोकनकर्ताअनुसार तुलना गर्नुहोस्, त्यो अवलोकनकर्ता लेख्नुहोस्, र त्यसपछि थप तहले उसलाई सम्बोधन गर्छ कि गर्दैन निर्णय गर्नुहोस्। यदि जवाफ त्यो अवलोकनकर्ता पहिले नै तपाईंको खतरा मोडेलबाहिर थियो भन्ने हो भने, सुरुङ लाभविनाको खर्च हो।