HTTPS, DoH, ECH dhe një VPN fshehin gjëra të ndryshme
Secili mekanizëm heq nga rruga një vëzhgues tjetër dhe asnjë nuk i heq të gjithë. Krahasoni çfarë mbrohet përpara se të shtoni një tunel tjetër.
Shtimi i një VPN në një shfletues që tashmë përdor HTTPS, DoH dhe ECH nuk i grumbullon tre mbrojtje në një; ndryshon kush është në pozicion për të vëzhguar çfarë. Secili mekanizëm heq një palë tjetër nga një shkëmbim tjetër dhe secili lë diçka pas. Pyetja e dobishme nuk është cili është më i forti, por cilin vëzhgues po përpiqeni të hiqni, sepse përgjigjja vendos nëse një tunel ndihmon fare. Krahasimi i vëzhguesve të mbetur është më i dobishëm sesa një listë veçorish.
Katër mekanizma, katër vëzhgues
Filloni me katër marrëdhëniet dhe palën që secila prej tyre është krijuar të mbajë jashtë. Tabela më poshtë është ajo që përdor në rishikim, sepse e detyron bisedën të emërojë një vëzhgues në vend të një teknologjie.
| Mechanism | Relationship it protects | Observer it does not remove |
|---|---|---|
| HTTPS | The application's TLS connection to its named endpoint | The access network still sees the destination address |
| DoH | The DNS exchange to the selected HTTPS resolver | That resolver sees every query |
| ECH | The sensitive ClientHello fields, where supported and accepted | Destination addresses, and DNS if it is not covered |
| VPN | Covered packets carried to the VPN peer | The VPN operator sees the destinations |
Vlera e tabelës është ajo që ajo refuzon të thotë. Ajo nuk i rendit mekanizmat dhe nuk pohon se përdorimi i të katërve heq të katër vëzhguesit. Një aplikacion web në re që tashmë e përfundon TLS në skajin e vet mbrohet nga rrjeti i aksesit për atë shkëmbim dhe asnjë tunel nuk e përmirëson atë veçori të caktuar. Ajo që një tunel mund të ndryshojë është cili rrjet i sheh paketat e jashtme dhe cili operator është tani në rrugë.
Çfarë fsheh në të vërtetë HTTPS
HTTPS mbron shkëmbimin e aplikacionit midis klientit dhe pikës fundore që emërton certifikata. Nuk e fsheh adresën e destinacionit, nuk e fsheh që ndodhi një lidhje dhe nuk e fsheh emrin, përveç nëse ECH është në lojë. Vërtetimi i certifikatës është pjesë e mbrojtjes, jo një formalitet rreth saj.
Një VPN nuk ka nevojë ta përfundojë atë TLS dhe një dalje përcjellëse nuk duhet trajtuar si pika fundore e vërtetuar e aplikacionit. Nëse një dizajn e lë daljen të deshifrojë, ai është një arkitekturë tjetër me një deklaratë tjetër besimi.
Çfarë lëvizin DoH dhe ECH dhe çfarë lënë pas
DoH e zhvendos shkëmbimin DNS në një zgjidhës HTTPS, që do të thotë se ai zgjidhës sheh pyetjet tuaja në vend të zgjidhësit të rrjetit lokal. Ky është një ndryshim i vërtetë dhe i kufizuar: zgjidhësi i zgjedhur bëhet një palë që mund t’i korrelojë pyetjet me adresat ku ju lidheni më pas, pikërisht korrelacioni që diskuton dokumenti RFC 8484. Transporti i kriptuar nuk e bën marrësin të pavetëdijshëm për pyetjet që përgjigjet.
ECH mbron pjesën e ndjeshme të ClientHello, kështu që një vëzhgues pasiv në rrugë nuk mund të lexojë emrin e synuar të serverit. Varet nga një vendosje mbështetëse dhe nga pranimi nga serveri dhe rrjeti, dhe i lë kanalet e tjera në vend: adresat e destinacionit mbeten të dukshme dhe DNS mund ta zbulojë ende emrin.
Gjëja tjetër që ECH nuk bën është të provojë vetveten. Një lidhje që përdor TLS 1.3 nuk është provë se ECH u pranua, dhe një shfletues që i ofron ECH një serveri që nuk e mbështet kthehet mbrapsht në heshtje. Kontrolloni gjendjen aktuale të lidhjes në vend që ta nxirrni nga versioni i protokollit.
Kjo është forma e përgjithshme e gjithë krahasimit: secili mekanizëm verifikohet në shtresën e vet dhe asnjë prej tyre nuk verifikohet nga suksesi i një tjetri.
Çfarë lëviz një VPN dhe çfarë shton
Kur trafiku web hyn në një VPN, rrjeti i aksesit sheh shkëmbimin e jashtëm me partnerin VPN në vend të lidhjeve individuale të aplikacioneve dhe operatori i VPN merr një pozicion në rrugën e mëtejshme. Ky është një zhvendosje e kufirit të besimit, jo heqja e një kufiri. Operatori tani sheh cilat destinacione arrini, edhe kur përmbajtja mbetet e kriptuar skaj më skaj. Nëse ky është përmirësim varet plotësisht nga ajo se cilës prej këtyre dy palëve i besoni më pak.
Mbajini HTTPS-in e aplikacionit dhe mbrojtjen e synuar të zgjidhësit në vend ndërsa e bëni këtë. Një tunel nuk është zëvendësim për vërtetimin e certifikatës dhe fikja e mbrojtjeve të një zgjidhësi sepse trafiku është tunelizuar heq një kontroll pa e zëvendësuar.
Zgjedhja nga kërkesa
Përcaktoni kërkesën reale, sepse ajo vendos dizajnin. Pranimi në burime private, një pikë dalje e menaxhuar, një kërcënim i caktuar i rrjetit të aksesit dhe autorizimi i pajisjes janë katër nevoja të ndryshme me katër përgjigje të ndryshme, dhe një kompani që përdor vetëm aplikacione publike në re prapëseprapë duhet të vendosë për autorizimin dhe trajtimin e të dhënave. Shtresat shtesë mund të jenë të përshtatshme pa qenë të këmbyeshme. Një lidhje më e ndërlikuar nuk është matje e anonimitetit dhe nuk është më vete një argument sigurie.
Specifikimi ECH, RFC 9849, ia vlen të lexohet për atë që mekanizmi mbulon dhe çfarë nuk mbulon, dhe është i sinqertë për kanalet që i lë të qeta. Krahasoni mekanizmat sipas vëzhguesit që secili heq, shkruajeni atë vëzhgues dhe pastaj vendosni nëse shtresa shtesë po i drejtohet atij. Nëse përgjigjja është se vëzhguesi ishte tashmë jashtë modelit tuaj të kërcënimit, tuneli është kosto pa përfitim.