HTTPS, DoH, ECH na VPN huficha mambo tofauti
Kila utaratibu huondoa mwangalizi tofauti kwenye njia na hakuna unaoondoa wote. Linganisha kinacholindwa kabla ya kuongeza handaki lingine.
Kuongeza VPN kwenye kivinjari kinachotumia HTTPS, DoH na ECH tayari hakurundii ulinzi tatu kuwa mmoja; hubadilisha nani yuko katika nafasi ya kuona nini. Kila utaratibu huondoa upande tofauti kutoka mabadilishano tofauti, na kila mmoja huacha kitu. Swali lenye manufaa si lipi lina nguvu zaidi bali ni mwangalizi gani unaojaribu kuondoa, kwa sababu jibu huamua kama handaki husaidia kabisa. Kulinganisha wangalizi waliobaki ni kusaidia zaidi kuliko orodha ya vipengele.
Tarathibi nne, wangalizi wanne
Anza na mahusiano manne na upande ambao kila mmoja umeundwa kuuweka nje. Jedwali lililo hapa chini ni lile ninalotumia katika mapitio, kwa sababu hulazimisha mazungumzo kutaja mwangalizi badala ya teknolojia.
| Mechanism | Relationship it protects | Observer it does not remove |
|---|---|---|
| HTTPS | The application's TLS connection to its named endpoint | The access network still sees the destination address |
| DoH | The DNS exchange to the selected HTTPS resolver | That resolver sees every query |
| ECH | The sensitive ClientHello fields, where supported and accepted | Destination addresses, and DNS if it is not covered |
| VPN | Covered packets carried to the VPN peer | The VPN operator sees the destinations |
Thamani ya jedwali ni kile kinachokataa kusema. Hailinganishi tarathibi kwa daraja, na haidai kwamba kutumia zote nne huondoa wangalizi wote wanne. Programu ya wavuti ya wingu ambayo tayari inamaliza TLS kwenye ukingo wake inalindwa kutoka kwa mtandao wa ufikiaji kwa mabadilishano hayo, na hakuna handaki linaloboresha sifa hiyo mahususi. Handaki linaweza kubadilisha ni mtandao upi unaoona pakiti za nje na ni mwendeshaji yupi aliye sasa kwenye njia.
HTTPS huficha nini kwa kweli
HTTPS hulinda mabadilishano ya programu kati ya mteja na ncha ambayo cheti huitaja. Haifichi anwani ya lengwa, haifichi kwamba muunganisho ulifanyika, na haifichi jina isipokuwa ECH iko kazini. Uthibitishaji wa cheti ni sehemu ya ulinzi, si urasmi unaoizunguka.
VPN haihitaji kumaliza TLS hiyo, na kituo cha mbele cha kusambaza hakipaswi kuchukuliwa kama ncha iliyothibitishwa ya programu. Ikiwa muundo unaacha kituo cha mbele kifungue usimbaji, huo ni usanifu tofauti wenye tamko tofauti la uaminifu.
DoH na ECH huhamisha nini, na huacha nini
DoH huhamisha mabadilishano ya DNS kwenda kwa kisuluhishi cha HTTPS, kumaanisha kuwa kisuluhishi hicho huona maswali yako badala ya kisuluhishi cha mtandao wa ndani. Hilo ni badiliko la kweli na lenye mipaka: kisuluhishi kilichochaguliwa huwa upande unaoweza kuhusisha maswali na anwani unazounganisha baadaye, ambayo ni hasa uhusiano unaojadiliwa na waraka RFC 8484. Usafirishaji uliosimbwa haumfanyi mpokeaji asiwe na habari za maswali anayoyajibu.
ECH hulinda sehemu nyeti ya ClientHello ili mwangalizi asiyeshiriki aliye kwenye njia ashindwe kusoma jina la seva lililokusudiwa. Inategemea usambazaji unaoiunga mkono na kukubaliwa na seva na mtandao, na huacha njia nyingine mahali pake: anwani za lengwa zinaendelea kuonekana, na DNS bado inaweza kufichua jina.
Jambo lingine ambalo ECH haifanyi ni kujithibitisha yenyewe. Muunganisho unaotumia TLS 1.3 si ushahidi kwamba ECH ilikubaliwa, na kivinjari kinachotoa ECH kwa seva isiyoiunga mkono hurudi nyuma kimya kimya. Angalia hali halisi ya muunganisho badala ya kuikisia kutoka toleo la itifaki.
Hiyo ni sura ya jumla ya ulinganisho huu wote: kila utaratibu huthibitishwa katika tabaka lake, na hakuna unaothibitishwa na mafanikio ya mwingine.
VPN huhamisha nini, na huongeza nini
Wakati trafiki ya wavuti inaingia kwenye VPN, mtandao wa ufikiaji huona mabadilishano ya nje na mwenza wa VPN badala ya miunganisho ya kibinafsi ya programu, na mwendeshaji wa VPN huchukua nafasi kwenye njia inayoendelea. Hiyo ni kuhamisha mpaka wa uaminifu, si kuondoa mmoja. Mwendeshaji sasa huona ni maeneo gani unayofikia, hata kama maudhui yanabaki yamesimbwa kutoka mwanzo hadi mwisho. Kama hilo ni boresho inategemea kabisa ni upi kati ya pande hizo mbili unamwamini kidogo.
Weka HTTPS ya programu na ulinzi wa kisuluhishi uliokusudiwa mahali pake unapofanya hivi. Handaki si mbadala wa uthibitishaji wa cheti, na kuzima ulinzi wa kisuluhishi kwa sababu trafiki inapita kwenye handaki huondoa udhibiti bila kuubadilisha.
Kuchagua kutokana na hitaji
Taja hitaji halisi, kwa sababu ndilo linaamua usanifu. Kuruhusiwa kwa rasilimali za faragha, kituo cha kutoka kinachosimamiwa, tishio mahususi la mtandao wa ufikiaji na uidhinishaji wa kifaa ni mahitaji manne tofauti yenye majibu manne tofauti, na kampuni inayotumia programu za wingu za umma pekee bado inapaswa kuamua uidhinishaji na utunzaji wa data. Tabaka za ziada zinaweza kufaa bila kubadilishana. Muunganisho mgumu zaidi si kipimo cha kutokujulikana na si hoja ya usalama peke yake.
Vipimo vya ECH, RFC 9849, vinafaa kusomwa kwa kile utaratibu unashughulikia na kile haushughulikii, na ni wazi kuhusu njia unazoacha pembeni. Linganisha tarathibi kwa mwangalizi ambaye kila mmoja huondoa, andika mwangalizi huyo, kisha amua kama tabaka la ziada linamshughulikia. Ikiwa jibu ni kwamba mwangalizi alikuwa tayari nje ya modeli yako ya vitisho, handaki ni gharama bila manufaa.