HTTPS, DoH, ECH a VPN skrývajú rozdielne veci
Každý mechanizmus odstraňuje z cesty iného pozorovateľa a ani jeden neodstráni všetkých. Porovnajte, čo je chránené, skôr než pridáte ďalší tunel.
Pridanie VPN do prehliadača, ktorý už používa HTTPS, DoH a ECH, nezloží tri ochrany do jednej; zmení, kto je v pozícii pozorovať čo. Každý mechanizmus odstraňuje inú stranu z inej výmeny a každý niečo zanecháva. Užitočná otázka nie je, ktorý je najsilnejší, ale ktorého pozorovateľa sa snažíte odstrániť, pretože odpoveď rozhoduje o tom, či tunel vôbec pomáha. Porovnanie zostávajúcich pozorovateľov je užitočnejšie než zoznam funkcií.
Štyri mechanizmy, štyria pozorovatelia
Začnite štyrmi vzťahmi a stranou, ktorú má každý z nich držať vonku. Tabuľka nižšie je tá, ktorú používam pri revízii, pretože núti rozhovor pomenovať pozorovateľa namiesto technológie.
| Mechanism | Relationship it protects | Observer it does not remove |
|---|---|---|
| HTTPS | The application's TLS connection to its named endpoint | The access network still sees the destination address |
| DoH | The DNS exchange to the selected HTTPS resolver | That resolver sees every query |
| ECH | The sensitive ClientHello fields, where supported and accepted | Destination addresses, and DNS if it is not covered |
| VPN | Covered packets carried to the VPN peer | The VPN operator sees the destinations |
Hodnota tabuľky je v tom, čo odmieta povedať. Nehodnotí mechanizmy a netvrdí, že použitie všetkých štyroch odstráni všetkých štyroch pozorovateľov. Cloudová webová aplikácia, ktorá už ukončuje TLS na svojom okraji, je pre túto výmenu chránená pred prístupovou sieťou a žiadny tunel toto konkrétne vlastnosť nezlepší. Tunel môže zmeniť len to, ktorá sieť vidí vonkajšie pakety a ktorý operátor je teraz na ceste.
Čo HTTPS v skutočnosti skrýva
HTTPS chráni výmenu aplikácie medzi klientom a koncovým bodom, ktorý pomenúva certifikát. Neskrýva cieľovú adresu, neskrýva, že sa spojenie uskutočnilo, a neskrýva názov, ak nie je v hre ECH. Overenie certifikátu je súčasťou ochrany, nie formalitou okolo nej.
VPN nemusí to TLS ukončovať a preposielajúci výstup by sa nemal považovať za overený koncový bod aplikácie. Ak návrh necháva výstup dešifrovať, je to iná architektúra s iným vyhlásením o dôvere.
Čo DoH a ECH presúvajú a čo zanechávajú
DoH presúva výmenu DNS na HTTPS resolver, čo znamená, že tento resolver vidí vaše dopyty namiesto resolvera lokálnej siete. Je to skutočná a ohraničená zmena: zvolený resolver sa stáva stranou, ktorá môže spájať dopyty s adresami, na ktoré sa potom pripájate, čo je presne korelácia, o ktorej hovorí dokument RFC 8484. Šifrovaný prenos nerobí príjemcu nevedomým o dopytom, na ktoré odpovedá.
ECH chráni citlivú časť ClientHello, aby pasívny pozorovateľ na ceste nemohol prečítať zamýšľaný názov servera. Závisí od podporujúceho nasadenia a od prijatia serverom a sieťou a ostatné kanály necháva na mieste: cieľové adresy zostávajú viditeľné a DNS môže názov stále prezradiť.
Ďalšia vec, ktorú ECH nerobí, je to, že by sa sám dokazoval. Spojenie s TLS 1.3 nie je dôkazom, že ECH bol prijatý, a prehliadač, ktorý ponúka ECH serveru bez podpory, sa ticho vráti späť. Skontrolujte skutočný stav spojenia namiesto odvodzovania z verzie protokolu.
To je všeobecný tvar celého porovnania: každý mechanizmus sa overuje vo svojej vlastnej vrstve a žiadny nie je overený úspechom iného.
Čo VPN presúva a čo pridáva
Keď webová prevádzka vstúpi do VPN, prístupová sieť vidí vonkajšiu výmenu s partnerom VPN namiesto jednotlivých spojení aplikácií a operátor VPN zaujme pozíciu na ďalšej ceste. Je to presun hranice dôvery, nie jej odstránenie. Operátor teraz vidí, ku ktorým cieľom sa dostávate, aj keď obsah zostáva šifrovaný end-to-end. Či je to zlepšenie, závisí úplne od toho, ktorej z tých dvoch strán dôverujete menej.
Zachovajte HTTPS aplikácie a zamýšľanú ochranu resolvera, kým to robíte. Tunel nie je náhradou overenia certifikátu a vypnutie ochrany resolvera preto, že prevádzka ide cez tunel, odstraňuje kontrolu bez náhrady.
Výber z požiadavky
Pomenujte skutočnú požiadavku, pretože ona rozhoduje o návrhu. Prístup k súkromným zdrojom, spravovaný výstupný bod, konkrétna hrozba prístupovej siete a autorizácia zariadenia sú štyri rôzne potreby so štyrmi rôznymi odpoveďami a spoločnosť, ktorá používa len verejné cloudové aplikácie, stále musí rozhodnúť o autorizácii a spracovaní údajov. Ďalšie vrstvy môžu byť vhodné bez toho, aby boli zameniteľné. Zložitejšie spojenie nie je meraním anonymity a samo o sebe nie je bezpečnostným argumentom.
Špecifikácia ECH, RFC 9849, stojí za prečítanie pre to, čo mechanizmus pokrýva a čo nie, a je úprimná o kanáloch, ktoré necháva na pokoji. Porovnávajte mechanizmy podľa pozorovateľa, ktorého každý odstraňuje, zapíšte toho pozorovateľa a potom rozhodnite, či sa mu ďalšia vrstva venuje. Ak je odpoveďou, že pozorovateľ bol už mimo vášho modelu hrozieb, tunel je náklad bez prínosu.