HTTPS, DoH, ECH и VPN скривају различите ствари
Сваки механизам уклања са пута другог посматрача и ниједан не уклања све. Упоредите шта је заштићено пре него што додате још један тунел.
Додавање VPN-а у прегледач који већ користи HTTPS, DoH и ECH не слаже три заштите у једну; оно мења ко је у положају да посматра шта. Сваки механизам уклања другу страну из друге размене и сваки нешто оставља. Корисно питање није који је најјачи, већ ког посматрача покушавате да уклоните, јер одговор одлучује да ли тунел уопште помаже. Поређење преосталих посматрача корисније је од списка могућности.
Четири механизма, четири посматрача
Почните од четири односа и стране коју је сваки од њих пројектован да држи напољу. Табела испод је она коју користим у прегледу, јер приморава разговор да именује посматрача уместо технологије.
| Mechanism | Relationship it protects | Observer it does not remove |
|---|---|---|
| HTTPS | The application's TLS connection to its named endpoint | The access network still sees the destination address |
| DoH | The DNS exchange to the selected HTTPS resolver | That resolver sees every query |
| ECH | The sensitive ClientHello fields, where supported and accepted | Destination addresses, and DNS if it is not covered |
| VPN | Covered packets carried to the VPN peer | The VPN operator sees the destinations |
Вредност табеле је у ономе што одбија да каже. Она не рангира механизме и не тврди да употреба сва четири уклања сва четири посматрача. Облачна веб-апликација која већ завршава TLS на сопственој ивици заштићена је од приступне мреже за ту размену и ниједан тунел не побољшава то конкретно својство. Оно што тунел може да промени јесте која мрежа види спољне пакете и који оператер је сада на путу.
Шта HTTPS заиста скрива
HTTPS штити размену апликације између клијента и крајње тачке коју именује сертификат. Не скрива одредишну адресу, не скрива да је до везе дошло и не скрива име осим ако је ECH у игри. Провера сертификата је део заштите, а не формалност око ње.
VPN не мора да заврши тај TLS, а прослеђивачки излаз не треба сматрати аутентификованом крајњом тачком апликације. Ако пројекат дозвољава излазу да дешифрује, то је друга архитектура са другом изјавом о поверењу.
Шта DoH и ECH померају и шта остављају
DoH премешта DNS размену на HTTPS резолвер, што значи да тај резолвер види ваше упите уместо резолвера локалне мреже. То је стварна и ограничена промена: изабрани резолвер постаје страна која може да повеже упите са адресама на које се касније повезујете, што је управо корелација о којој говори документ RFC 8484. Шифровани транспорт не чини примаоца необавештеним о упитима на које одговара.
ECH штити осетљиви део ClientHello тако да пасивни посматрач на путу не може да прочита жељено име сервера. Зависи од распоређивања које га подржава и од прихватања од стране сервера и мреже, а остале канале оставља на месту: одредишне адресе остају видљиве, а DNS и даље може да открије име.
Друга ствар коју ECH не чини јесте да сам себе докаже. Веза која користи TLS 1.3 није доказ да је ECH прихваћен, а прегледач који понуди ECH серверу без подршке тихо се враћа назад. Проверите стварно стање везе уместо да га изводите из верзије протокола.
То је општи облик целог овог поређења: сваки механизам се проверава на свом слоју и ниједан се не потврђује успехом другог.
Шта VPN помера и шта додаје
Када веб-саобраћај уђе у VPN, приступна мрежа види спољну размену са VPN партнером уместо појединачних веза апликација, а оператер VPN-а заузима положај на даљем путу. То је померање границе поверења, а не њено уклањање. Оператер сада види која одредишта достижете, чак и ако садржај остаје шифрован од краја до краја. Да ли је то побољшање зависи у потпуности од тога којој од те две стране верујете мање.
Задржите HTTPS апликације и предвиђену заштиту резолвера док то чините. Тунел није замена за проверу сертификата, а искључивање заштите резолвера зато што саобраћај иде кроз тунел уклања контролу без замене.
Избор из захтева
Наведите стварни захтев, јер он одређује пројекат. Приступ приватним ресурсима, управљана излазна тачка, конкретна претња приступне мреже и ауторизација уређаја су четири различите потребе са четири различита одговора, а компанија која користи само јавне облачне апликације и даље мора да одлучи о ауторизацији и обради података. Додатни слојеви могу бити прикладни а да не буду заменљиви. Сложенија веза није мерење анонимности и сама по себи није безбедносни аргумент.
Спецификацију ECH, RFC 9849, вреди прочитати због тога шта механизам покрива и шта не покрива, и она је искрена о каналима које оставља на миру. Упоредите механизме по посматрачу којег сваки уклања, запишите тог посматрача и затим одлучите да ли додатни слој њега адресира. Ако је одговор да је посматрач већ био изван вашег модела претњи, тунел је трошак без користи.