HTTPS, DoH, ECH va VPN turli narsalarni yashiradi
Har bir mexanizm yo‘ldan boshqa kuzatuvchini olib tashlaydi va hech biri hammasini olib tashlamaydi. Yana bir tunnel qo‘shishdan oldin nima himoyalanganini solishtiring.
Allaqachon HTTPS, DoH va ECH ishlatadigan brauzerga VPN qo‘shish uchta himoyani bittaga jamlamaydi; u kim nimani kuzata olishini o‘zgartiradi. Har bir mexanizm boshqa almashinuvdan boshqa tomonni olib tashlaydi va har biri ortda biror narsa qoldiradi. Foydali savol qaysi biri eng kuchli ekani emas, balki qaysi kuzatuvchini olib tashlamoqchi ekaningizdir, chunki javob tunnel umuman yordam beradimi-yo‘qmi, shuni hal qiladi. Qolgan kuzatuvchilarni solishtirish xususiyatlar ro‘yxatidan foydaliroq.
To‘rt mexanizm, to‘rt kuzatuvchi
To‘rtta munosabat va har biri tashqarida ushlab turish uchun mo‘ljallangan tomondan boshlang. Quyidagi jadval men ko‘rib chiqishda ishlatadigan jadval, chunki u suhbatni texnologiya emas, kuzatuvchi nomini aytishga majbur qiladi.
| Mechanism | Relationship it protects | Observer it does not remove |
|---|---|---|
| HTTPS | The application's TLS connection to its named endpoint | The access network still sees the destination address |
| DoH | The DNS exchange to the selected HTTPS resolver | That resolver sees every query |
| ECH | The sensitive ClientHello fields, where supported and accepted | Destination addresses, and DNS if it is not covered |
| VPN | Covered packets carried to the VPN peer | The VPN operator sees the destinations |
Jadvalning qadri u aytishdan bosh tortgan narsada. U mexanizmlarni darajalarga ajratmaydi va to‘rttasini ishlatish to‘rt kuzatuvchini ham olib tashlaydi deb da’vo qilmaydi. TLSni o‘z chekkasida allaqachon tugatadigan bulut veb-ilovasi o‘sha almashinuv uchun kirish tarmog‘idan himoyalangan va hech bir tunnel bu xususiyatni yaxshilamaydi. Tunnel o‘zgartira oladigan narsa — tashqi paketlarni qaysi tarmoq ko‘rishi va endi yo‘lda qaysi operator turishidir.
HTTPS aslida nimani yashiradi
HTTPS mijoz va sertifikat nomlaydigan so‘nggi nuqta o‘rtasidagi ilova almashinuvini himoya qiladi. U manzilni yashirmaydi, ulanish bo‘lganini yashirmaydi va ECH ishtirok etmasa nomni ham yashirmaydi. Sertifikatni tekshirish himoyaning bir qismi, uning atrofidagi rasmiyatchilik emas.
VPN o‘sha TLSni tugatishi shart emas va yo‘naltiruvchi chiqishni ilovaning autentifikatsiya qilingan so‘nggi nuqtasi deb hisoblash kerak emas. Agar loyiha chiqishga shifrni ochishga ruxsat bersa, bu boshqa ishonch bayonoti bo‘lgan boshqa arxitektura.
DoH va ECH nimani ko‘chiradi va nimani qoldiradi
DoH DNS almashinuvini HTTPS rezolveriga ko‘chiradi, ya’ni o‘sha rezolver mahalliy tarmoq rezolveri o‘rniga sizning so‘rovlaringizni ko‘radi. Bu haqiqiy va cheklangan o‘zgarish: tanlangan rezolver so‘rovlarni keyin ulanadigan manzillaringiz bilan bog‘lay oladigan tomonga aylanadi, bu aynan RFC 8484 hujjati muhokama qiladigan bog‘liqlik. Shifrlangan transport qabul qiluvchini o‘zi javob beradigan so‘rovlardan bexabar qilmaydi.
ECH ClientHello ning nozik qismini himoya qiladi, shunda yo‘ldagi passiv kuzatuvchi mo‘ljallangan server nomini o‘qiy olmaydi. U qo‘llab-quvvatlovchi joylashtirishga va server hamda tarmoqning qabul qilishiga bog‘liq, boshqa kanallarni joyida qoldiradi: manzillar ko‘rinib turadi va DNS hali ham nomni oshkor qilishi mumkin.
ECH qilmaydigan yana bir narsa — o‘zini isbotlashi. TLS 1.3 ishlatadigan ulanish ECH qabul qilinganiga dalil emas va ECHni qo‘llab-quvvatlamaydigan serverga taklif qilgan brauzer jimgina orqaga qaytadi. Protokol versiyasidan taxmin qilish o‘rniga ulanishning haqiqiy holatini tekshiring.
Butun taqqoslashning umumiy shakli shu: har bir mexanizm o‘z qatlamida tekshiriladi va hech biri boshqasining muvaffaqiyati bilan tasdiqlanmaydi.
VPN nimani ko‘chiradi va nima qo‘shadi
Veb-trafik VPNga kirganda, kirish tarmog‘i alohida ilova ulanishlari o‘rniga VPN sherigi bilan tashqi almashinuvni ko‘radi va VPN operatori keyingi yo‘lda joy egallaydi. Bu ishonch chegarasini ko‘chirish, uni olib tashlash emas. Operator endi qaysi manzillarga yetayotganingizni ko‘radi, hatto mazmun oxirigacha shifrlangan bo‘lsa ham. Bu yaxshilanishmi — butunlay shu ikki tomondan qaysi biriga kamroq ishonishingizga bog‘liq.
Buni qilayotganda ilovaning HTTPSini va mo‘ljallangan rezolver himoyasini joyida saqlang. Tunnel sertifikat tekshiruvining o‘rnini bosmaydi va trafik tunneldan o‘tgani uchun rezolver himoyalarini o‘chirish o‘rnini to‘ldirmasdan nazoratni olib tashlaydi.
Talabdan kelib chiqib tanlash
Haqiqiy talabni ayting, chunki dizaynni aynan shu hal qiladi. Xususiy resurslarga ruxsat, boshqariladigan chiqish nuqtasi, kirish tarmog‘ining aniq tahdidi va qurilma avtorizatsiyasi to‘rt xil javobga ega to‘rt xil ehtiyojdir va faqat ommaviy bulut ilovalaridan foydalanadigan kompaniya ham avtorizatsiya va ma’lumotlar bilan ishlashni hal qilishi kerak. Qo‘shimcha qatlamlar o‘zaro almashtirilmasdan mos bo‘lishi mumkin. Murakkabroq ulanish anonimlik o‘lchovi emas va o‘z-o‘zidan xavfsizlik dalili ham emas.
ECH spetsifikatsiyasi, RFC 9849, mexanizm nimani qamrab olishi va qamrab olmasligi jihatidan o‘qishga arziydi va u chetda qoldirgan kanallar haqida halol. Mexanizmlarni har biri olib tashlaydigan kuzatuvchi bo‘yicha solishtiring, o‘sha kuzatuvchini yozib qo‘ying va keyin qo‘shimcha qatlam o‘shanga qaratilganmi-yo‘qmi, hal qiling. Javob kuzatuvchi allaqachon tahdid modelingizdan tashqarida bo‘lgan bo‘lsa, tunnel foydasiz xarajat.