HTTPS, DoH, ECH ve VPN farklı şeyleri gizler
Her mekanizma yoldan farklı bir gözlemciyi çıkarır ve hiçbiri hepsini çıkarmaz. Başka bir tünel eklemeden önce neyin korunduğunu karşılaştırın.
Zaten HTTPS, DoH ve ECH kullanan bir tarayıcıya VPN eklemek üç korumayı tek bir korumada birleştirmez; kimin neyi gözlemleyebileceğini değiştirir. Her mekanizma farklı bir alışverişten farklı bir tarafı çıkarır ve her biri geride bir şey bırakır. Yararlı soru hangisinin en güçlü olduğu değil, hangi gözlemciyi çıkarmaya çalıştığınızdır, çünkü cevap bir tünelin hiç yardımcı olup olmadığına karar verir. Kalan gözlemcilerin karşılaştırması bir özellik listesinden daha yararlıdır.
Dört mekanizma, dört gözlemci
Dört ilişkiyle ve her birinin dışarıda tutmak için tasarlandığı tarafla başlayın. Aşağıdaki tablo incelemede kullandığım tablodur, çünkü konuşmayı bir teknoloji yerine bir gözlemci adlandırmaya zorlar.
| Mechanism | Relationship it protects | Observer it does not remove |
|---|---|---|
| HTTPS | The application's TLS connection to its named endpoint | The access network still sees the destination address |
| DoH | The DNS exchange to the selected HTTPS resolver | That resolver sees every query |
| ECH | The sensitive ClientHello fields, where supported and accepted | Destination addresses, and DNS if it is not covered |
| VPN | Covered packets carried to the VPN peer | The VPN operator sees the destinations |
Tablonun değeri söylemeyi reddettiği şeydedir. Mekanizmaları sıralamaz ve dördünün kullanılmasının dört gözlemciyi de çıkardığını iddia etmez. TLS’i zaten kendi ucunda sonlandıran bir bulut web uygulaması o alışveriş için erişim ağından korunur ve hiçbir tünel bu özel özelliği iyileştirmez. Bir tünelin değiştirebileceği şey, dış paketleri hangi ağın gördüğü ve artık yolda hangi operatörün bulunduğudur.
HTTPS gerçekte neyi gizler
HTTPS, istemci ile sertifikanın adlandırdığı uç nokta arasındaki uygulama alışverişini korur. Hedef adresi gizlemez, bir bağlantı gerçekleştiğini gizlemez ve ECH devrede değilse adı gizlemez. Sertifika doğrulaması korumanın bir parçasıdır, çevresindeki bir formalite değildir.
Bir VPN’in o TLS’i sonlandırması gerekmez ve yönlendiren bir çıkış, uygulamanın kimliği doğrulanmış uç noktası olarak görülmemelidir. Bir tasarım çıkışın şifre çözmesine izin veriyorsa, bu farklı bir güven beyanı olan farklı bir mimaridir.
DoH ve ECH neyi taşır, neyi geride bırakır
DoH, DNS alışverişini bir HTTPS çözümleyicisine taşır; bu, o çözümleyicinin yerel ağın çözümleyicisi yerine sizin sorgularınızı gördüğü anlamına gelir. Bu gerçek ve sınırlı bir değişikliktir: seçilen çözümleyici, sorguları daha sonra bağlanacağınız adreslerle ilişkilendirebilen bir taraf hâline gelir; bu tam olarak RFC 8484 belgesinin tartıştığı ilişkilendirmedir. Şifreli taşıma, alıcıyı yanıtladığı sorgulardan habersiz kılmaz.
ECH, ClientHello’nun hassas bölümünü korur; böylece yoldaki pasif bir gözlemci amaçlanan sunucu adını okuyamaz. Destekleyen bir kuruluma ve sunucu ile ağın kabulüne bağlıdır ve diğer kanalları yerinde bırakır: hedef adresler görünür kalır ve DNS adı hâlâ açığa çıkarabilir.
ECH’nin yapmadığı diğer şey kendini kanıtlamasıdır. TLS 1.3 kullanan bir bağlantı, ECH’nin kabul edildiğinin kanıtı değildir ve ECH’yi desteklemeyen bir sunucuya sunan tarayıcı sessizce geri düşer. Protokol sürümünden çıkarsamak yerine bağlantının gerçek durumunu kontrol edin.
Tüm bu karşılaştırmanın genel biçimi budur: her mekanizma kendi katmanında doğrulanır ve hiçbiri diğerinin başarısıyla doğrulanmaz.
VPN neyi taşır ve ne ekler
Web trafiği bir VPN’e girdiğinde, erişim ağı tek tek uygulama bağlantıları yerine VPN eşiyle olan dış alışverişi görür ve VPN operatörü ileri yolda bir konum alır. Bu, güven sınırının taşınmasıdır, ortadan kaldırılması değil. İçerik uçtan uca şifreli kalsa bile operatör artık hangi hedeflere ulaştığınızı görür. Bunun bir iyileşme olup olmadığı tamamen bu iki taraftan hangisine daha az güvendiğinize bağlıdır.
Bunu yaparken uygulamanın HTTPS’ini ve amaçlanan çözümleyici korumasını yerinde tutun. Tünel, sertifika doğrulamasının yerine geçmez ve trafik tünellendiği için bir çözümleyicinin korumalarını kapatmak, yerine bir şey koymadan bir denetimi kaldırır.
Gereksinimden seçmek
Gerçek gereksinimi belirtin, çünkü tasarıma karar veren odur. Özel kaynaklara kabul, yönetilen bir çıkış noktası, belirli bir erişim ağı tehdidi ve cihaz yetkilendirmesi dört farklı yanıtı olan dört farklı ihtiyaçtır ve yalnızca genel bulut uygulamaları kullanan bir şirket yine de yetkilendirmeye ve veri işlemeye karar vermek zorundadır. Ek katmanlar birbirinin yerine geçmeden uygun olabilir. Daha karmaşık bir bağlantı bir anonimlik ölçümü değildir ve tek başına bir güvenlik argümanı da değildir.
ECH belirtimi RFC 9849, mekanizmanın neyi kapsayıp neyi kapsamadığı açısından okunmaya değer ve yalnız bıraktığı kanallar konusunda dürüsttür. Mekanizmaları her birinin çıkardığı gözlemciye göre karşılaştırın, o gözlemciyi yazın ve sonra ek katmanın onu ele alıp almadığına karar verin. Cevap, gözlemcinin zaten tehdit modelinizin dışında olduğuysa, tünel yarar olmadan maliyettir.