TLS 1.3 තවමත් සර්වර් නාමය පැහැදිලි පෙළෙහි යවයි

සවන්දෙන්නෙකු TLS 1.3 වෙත උත්ශ්‍රේණි කිරීම නිරීක්ෂකයෙකුට කියවිය හැකි දේ වෙනස් කරයි, නමුත් අනුවාද අංකය යෝජනා කරන තරම් නොවේ. ClientHello තවමත් කිසිදු සංකේතනයක් සාකච්ඡා කිරීමට පෙර ගමන් කරයි, සහ සාමාන්‍ය සම්බන්ධතාවයක ඉල්ලා සිටින සර්වර් නාමය එහි පැහැදිලි පෙළෙහි පවතී. Encrypted Client Hello එය සඟවන යාන්ත්‍රණය වන අතර එය තමන්ගේම පූර්ව කොන්දේසි සහිත වෙනම යෙදවීමකි. එක් හෝ අනෙක් හැසිරීම උපකල්පනය කරන ප්‍රතිපත්තියක් ලිවීමට පෙර මෙම පියවර හතර සිදු කරන්න.

හස්ත සලාකය ඇත්තෙන්ම හෙළි කරන්නේ කුමක්ද

TLS 1.3 සර්වරයේ සහතිකය සහ ServerHello ට පසුව එන හස්ත සලාකයේ වැඩි කොටස සංකේතනය කරයි. සේවාලාභියා පළමුව යවන සියල්ල එම ආරක්ෂාවෙන් පිටත ය, මන්ද යතුරු තවම නොපවතී. සර්වර් නාම දක්වනය එම පළමු පියාසැරියේ කොටසකි, එබැවින් අක්‍රීය නිරීක්ෂකයෙකුට කිසිවක් නොබිඳ එය තවමත් කියවිය හැකිය.

ECH පිරිවිතර, RFC 9849, සහයෝගය දක්වන සර්වරයක් සඳහා අභ්‍යන්තර ClientHello එකක් සංකේතනය කිරීමෙන් මෙය වෙනස් කරයි. බාහිර හස්ත සලාකය රැඳී පවතින අතර ජාලයට දැකිය හැකි පොදු නාමයක් දරයි, එබැවින් යෙදවීමට තවමත් මැදිහත්කරුවන්ට අර්ථවත් බාහිර අනන්‍යතාවයක් අවශ්‍ය වේ. එම බාහිර නාමය තමයි මිනිසුන් සම්බන්ධතාවය නිර්නාමික වනු ඇතැයි බලාපොරොත්තු වන විට මගහැරෙන කොටස. එය ආවරණ නාමයකි, සැඟවුණු නාමයක් නොවේ, සහ එය අනෙක් ඕනෑම එකක් මෙන් විසඳා සත්‍යාපනය කළ යුතුය.

මේ කිසිවක් බෙදාහැරීමේ මාර්ගය සඟවන්නේ නැත. මූලාශ්‍ර සහ ගමනාන්ත ලිපින, වරායන්, පැකට් ප්‍රමාණ සහ කාලය නිරීක්ෂණය කළ හැකි ලෙස පවතී, සහ ඒවා බොහෝ විට නාමයට වඩා කවුරුන් කතා කරන්නේද යන්න පවසයි. නාම විශ්ලේෂණය සහ යෙදුම් මට්ටමේ සම්බන්ධතා තවත් ස්තරයකි, එක් එක් එකට තමන්ගේම දෘශ්‍යතාවය ඇත.

උපකල්පනය නොකර ClientHello එකක් කියවන්න

ServerHello හි ඇති අනුවාදය සේවාලාභියා යැවූ දේ ඔබට නොකියයි. පළමු පියාසැරිය සෘජුවම බලන්න, ඔබට වැදගත් නිරීක්ෂකයා නියෝජනය කරන ස්ථානයක සිට.

openssl s_client -connect app.plant.example:443 -servername app.plant.example -tls1_3 </dev/null> 2>/dev/null | head -20
sudo tcpdump -ni eth0 -c 40 'tcp port 443' -w /tmp/tls.pcap
tshark -r /tmp/tls.pcap -Y 'tls.handshake.extensions_server_name' -T fields -e tls.handshake.extensions_server_name

පළමු විධානය හස්ත සලාකයක් සිදු කර සාකච්ඡා කළ පරාමිතීන් පෙන්වයි, ඒවාට ප්‍රොටෝකෝල අනුවාදය සහ ඔබ ඉල්ලා සිටි නාමය ඇතුළත් වේ. දෙවැන්න සැබෑ සම්බන්ධතාවයක පළමු පැකට් ග්‍රහණය කරයි, තෙවැන්න එම ග්‍රහණයෙන් SNI ක්ෂේත්‍රය උපුටා ගනී. ක්ෂේත්‍රය පිරී ඇත්නම්, ඔබ අනුකරණය කළ නිරීක්ෂකයාට එය කියවිය හැකිය.

දෙක නොගැළපෙන විට සේවාලාභී පැත්තේ සහ මාර්ගයේ වෙන වෙනම ග්‍රහණය කරන්න, මන්ද දේශීය ග්‍රහණයක් මැදිහත් උපාංගයක් පසුව නැවත ලියන හෝ ඉවත දමන නාමයක් පෙන්විය හැකිය. ස්වයංව TLS අවසන් නොකරන සත්කාරකයකින් ද ග්‍රහණය කරන්න, මන්ද අවසන් කරන ප්‍රොක්සිය පැහැදිලි පෙළ නිර්මාණයෙන්ම දකින අතර ජාලය දකින දේ ගැන කිසිවක් ඔප්පු නොකරයි.

ECH දිගුවක් ප්‍රකාශයක් ලෙස සලකන්න, සාක්ෂියක් ලෙස නොවේ

ClientHello එකක ECH දිගුවක් දැකීමෙන් සම්බන්ධතාවය ECH භාවිතා කළ බව අදහස් නොවේ. සේවාලාභීන්ට භාවිත කළ හැකි වින්‍යාසයක් නොමැති විට GREASE ECH යවන්නේ, ඔවුන්ගේ හස්ත සලාක එකම ලෙස පෙනෙන පරිදිය. දිගුව පවතී, අභ්‍යන්තර hello එකක් ඇමක් වේ, සහ සැබෑ නාමය තවමත් කියවිය හැකිය.

dig +short HTTPS app.plant.example
openssl s_client -connect app.plant.example:443 -tls1_3 -status </dev/null> 2>/dev/null | grep -i -E 'ech|status_request'

පළමු විධානය මූලය ECH වින්‍යාස පරාමිතියක් සහිත HTTPS සම්පත් වාර්තාවක් ප්‍රකාශයට පත් කරන්නේදැයි පෙන්වයි, සහ සේවාලාභීන් යතුර ඉගෙන ගන්නේ එලෙසය. දෙවැන්න හස්ත සලාකයේ තත්ත්ව තොරතුරු සොයයි, නමුත් සේවාලාභියාගේ සාර්ථක පණිවිඩය වඩාත් ශක්තිමත් සාක්ෂියයි. පිළිගැනීම වැදගත්: ගැළපෙන යතුර නොමැති සර්වරයකට අභ්‍යන්තර hello එක විග්‍රහ කළ නොහැක, සහ සම්බන්ධතාවය ආපසු අස්වැන්න.

සේවාලාභියා ද පරීක්ෂා කරන්න, මන්ද බ්‍රව්සර සහාය සහ වින්‍යාසය අනුවාදය සහ වේදිකාව අනුව වෙනස් වේ. „නවීන බ්‍රව්සර ECH භාවිතා කරයි“ මත ගොඩනැගුණු ප්‍රතිපත්තියක් බලඇණියක් ගැන අනුමානයක් මිස ඔබේ බලඇණිය ගැන කරුණක් නොවේ. සැබවින්ම සම්බන්ධ වන අනුවාද ලැයිස්තුගත කර, පසුව එකකින් එකක් පරීක්ෂා කරන්න. වර්තමාන ඩෙස්ක්ටොප් බ්‍රව්සරයකින් ක්‍රියා කරන එම පිටුවම එකම ජාලයේ පැරණි සේවාලාභියෙකුගෙන් කිසිවක් නොසඟවා සිටිය හැකිය.

නිරීක්ෂකයාගේ විෂය පථය ප්‍රතිපත්තියට ලියන්න

පාලනයක් කුමක් මත රැඳිය හැකිද යන්න තීරණය කිරීමට පෙර නිරීක්ෂකයා කොහේ සිටීද සහ එම ස්ථානයේ දෘශ්‍යමාන දේ ප්‍රකාශ කරන්න. බ්‍රව්සරයක් වෙබ් අඩවියකට සම්බන්ධ වීම, බාහිර VPN ප්‍රවාහය සහ TLS අවසන් කරන ප්‍රොක්සිය — එක් එක් වෙනස් කරුණු කට්ටලයක් හෙළි කරයි, සහ එක් ස්ථානයක් සඳහා ලියූ රීතියක් තවත් එකකට පිරිසිදුව මාරු වන්නේ කලාතුරකිනි.

පාලනයක් SNI කියවීම මත රඳා පවතී නම්, ECH ලබා ගත හැකි විට සහ නොහැකි විට යෙදවූ සේවාලාභීන් හැසිරෙන ආකාරය පරීක්ෂා කරන්න. පසුව ගැළපුම් ප්‍රතිවිපාකය සටහන් කරන්න, මන්ද නිහඬව ගැළපීම නවත්වන පෙරහනක් කිසිදා යොදවා නොමැති එකකට වඩා නරකය.

අවසාන වශයෙන්, අවිනිශ්චිතතාවය වාර්තාවේ තබා ගන්න. පැරණි සාර්වත්‍රී ප්‍රකාශයක් නව එකකින් ප්‍රතිස්ථාපනය කිරීම එම පරතරයම වෙනත් ප්‍රොටෝකෝල නාමයක් යටතේ ඉතිරි කරයි, සහ ඊළඟ සමාලෝචකයා එය එසේම තදින් විශ්වාස කරනු ඇත.