HTTPS, DoH, ECH in VPN skrivajo različne stvari
Vsak mehanizem s poti odstrani drugega opazovalca in nobeden ne odstrani vseh. Primerjajte, kaj je zaščiteno, preden dodate še en tunel.
Dodajanje VPN v brskalnik, ki že uporablja HTTPS, DoH in ECH, ne zloži treh zaščit v eno; spremeni, kdo je v položaju opazovati kaj. Vsak mehanizem iz druge izmenjave odstrani drugo stran in vsak nekaj pusti. Koristno vprašanje ni, kateri je najmočnejši, ampak katerega opazovalca poskušate odstraniti, ker odgovor odloči, ali tunel sploh pomaga. Primerjava preostalih opazovalcev je koristnejša od seznama funkcij.
Štirje mehanizmi, štirje opazovalci
Začnite s štirimi razmerji in stranjo, ki jo vsako od njih namerava zadržati zunaj. Spodnja tabela je tista, ki jo uporabljam pri pregledu, ker prisili pogovor, da poimenuje opazovalca namesto tehnologije.
| Mechanism | Relationship it protects | Observer it does not remove |
|---|---|---|
| HTTPS | The application's TLS connection to its named endpoint | The access network still sees the destination address |
| DoH | The DNS exchange to the selected HTTPS resolver | That resolver sees every query |
| ECH | The sensitive ClientHello fields, where supported and accepted | Destination addresses, and DNS if it is not covered |
| VPN | Covered packets carried to the VPN peer | The VPN operator sees the destinations |
Vrednost tabele je v tem, česar noče povedati. Ne razvršča mehanizmov in ne trdi, da uporaba vseh štirih odstrani vse štiri opazovalce. Oblačna spletna aplikacija, ki že zaključuje TLS na svojem robu, je za to izmenjavo zaščitena pred dostopovnim omrežjem in noben tunel te lastnosti ne izboljša. Tunel lahko spremeni le, katero omrežje vidi zunanje pakete in kateri operater je zdaj na poti.
Kaj HTTPS dejansko skrije
HTTPS ščiti izmenjavo aplikacije med odjemalcem in končno točko, ki jo imenuje potrdilo. Ne skrije ciljnega naslova, ne skrije, da je do povezave prišlo, in ne skrije imena, razen če je v igri ECH. Preverjanje potrdila je del zaščite, ne formalnost okoli nje.
VPN ni treba zaključiti tega TLS in posredovalnega izhoda ne bi smeli obravnavati kot overjeno končno točko aplikacije. Če zasnova pusti izhodu, da odšifrira, je to druga arhitektura z drugo izjavo o zaupanju.
Kaj DoH in ECH premakneta in kaj pustita
DoH premakne izmenjavo DNS na resolver HTTPS, kar pomeni, da ta resolver vidi vaše poizvedbe namesto resolverja lokalnega omrežja. To je resnična in omejena sprememba: izbrani resolver postane stran, ki lahko poveže poizvedbe z naslovi, na katere se nato povežete, kar je natanko korelacija, o kateri govori dokument RFC 8484. Šifriran prenos prejemnika ne naredi nevednega o poizvedbah, na katere odgovarja.
ECH ščiti občutljivi del ClientHello, da pasivni opazovalec na poti ne more prebrati želenega imena strežnika. Odvisen je od podpirajoče namestitve in od sprejetja s strani strežnika in omrežja, druge kanale pa pusti na mestu: ciljni naslovi ostanejo vidni in DNS lahko še vedno razkrije ime.
Druga stvar, ki je ECH ne naredi, je to, da bi se sam dokazal. Povezava s TLS 1.3 ni dokaz, da je bil ECH sprejet, in brskalnik, ki ECH ponudi strežniku brez podpore, se tiho vrne nazaj. Preverite dejansko stanje povezave, namesto da ga sklepate iz različice protokola.
To je splošna oblika celotne primerjave: vsak mehanizem se preverja na svojem sloju in nobeden ni potrjen z uspehom drugega.
Kaj VPN premakne in kaj doda
Ko spletni promet vstopi v VPN, dostopovno omrežje vidi zunanjo izmenjavo s partnerjem VPN namesto posameznih povezav aplikacij in operater VPN zavzame položaj na nadaljnji poti. To je premik meje zaupanja, ne njena odstranitev. Operater zdaj vidi, do katerih ciljev pridete, tudi če vsebina ostane šifrirana od konca do konca. Ali je to izboljšanje, je v celoti odvisno od tega, kateri od teh dveh strani zaupate manj.
Medtem ohranite HTTPS aplikacije in predvideno zaščito resolverja. Tunel ni nadomestilo za preverjanje potrdila in izklop zaščite resolverja zato, ker promet poteka skozi tunel, odstrani nadzor brez zamenjave.
Izbira iz zahteve
Navedite dejansko zahtevo, ker ta odloča o zasnovi. Dostop do zasebnih virov, upravljana izhodna točka, določena grožnja dostopovnega omrežja in avtorizacija naprave so štiri različne potrebe s štirimi različnimi odgovori in podjetje, ki uporablja samo javne oblačne aplikacije, se mora še vedno odločiti o avtorizaciji in ravnanju s podatki. Dodatni sloji so lahko primerni, ne da bi bili zamenljivi. Bolj zapletena povezava ni merjenje anonimnosti in sama po sebi ni varnostni argument.
Specifikacijo ECH, RFC 9849, je vredno prebrati zaradi tega, kar mehanizem pokriva in česar ne, in je poštena glede kanalov, ki jih pusti pri miru. Primerjajte mehanizme po opazovalcu, ki ga vsak odstrani, tega opazovalca zapišite in nato odločite, ali dodatni sloj nagovarja njega. Če je odgovor, da je bil opazovalec že zunaj vašega modela groženj, je tunel strošek brez koristi.