HTTPS, DoH, ECH và VPN che giấu những thứ khác nhau
Mỗi cơ chế loại bỏ một bên quan sát khác nhau khỏi đường đi và không cơ chế nào loại bỏ tất cả. Hãy so sánh điều gì được bảo vệ trước khi thêm một đường hầm nữa.
Thêm VPN vào một trình duyệt đã dùng HTTPS, DoH và ECH không xếp ba lớp bảo vệ thành một; nó thay đổi ai có vị trí để quan sát cái gì. Mỗi cơ chế loại một bên khác nhau khỏi một trao đổi khác nhau, và mỗi cơ chế để lại một thứ gì đó. Câu hỏi hữu ích không phải cái nào mạnh nhất mà là bạn đang cố loại bỏ bên quan sát nào, vì câu trả lời quyết định liệu một đường hầm có giúp ích gì không. So sánh các bên quan sát còn lại hữu ích hơn một danh sách tính năng.
Bốn cơ chế, bốn bên quan sát
Hãy bắt đầu với bốn mối quan hệ và bên mà mỗi cơ chế được thiết kế để giữ ở ngoài. Bảng dưới đây là bảng tôi dùng khi đánh giá, vì nó buộc cuộc trao đổi phải gọi tên một bên quan sát thay vì một công nghệ.
| Mechanism | Relationship it protects | Observer it does not remove |
|---|---|---|
| HTTPS | The application's TLS connection to its named endpoint | The access network still sees the destination address |
| DoH | The DNS exchange to the selected HTTPS resolver | That resolver sees every query |
| ECH | The sensitive ClientHello fields, where supported and accepted | Destination addresses, and DNS if it is not covered |
| VPN | Covered packets carried to the VPN peer | The VPN operator sees the destinations |
Giá trị của bảng nằm ở điều nó từ chối nói. Nó không xếp hạng các cơ chế và không tuyên bố rằng dùng cả bốn sẽ loại bỏ cả bốn bên quan sát. Một ứng dụng web trên đám mây đã kết thúc TLS tại biên của chính nó được bảo vệ khỏi mạng truy cập cho trao đổi đó, và không đường hầm nào cải thiện thuộc tính cụ thể ấy. Điều một đường hầm có thể thay đổi là mạng nào nhìn thấy các gói bên ngoài và nhà vận hành nào đang ở trên đường đi.
HTTPS thật sự che giấu điều gì
HTTPS bảo vệ trao đổi ứng dụng giữa máy khách và điểm cuối mà chứng chỉ đặt tên. Nó không che địa chỉ đích, không che việc đã có một kết nối, và không che tên trừ khi ECH tham gia. Việc xác thực chứng chỉ là một phần của bảo vệ, không phải thủ tục hình thức quanh nó.
VPN không cần kết thúc TLS đó, và một lối ra chuyển tiếp không nên bị coi là điểm cuối đã xác thực của ứng dụng. Nếu một thiết kế để lối ra giải mã, đó là kiến trúc khác với một tuyên bố tin cậy khác.
DoH và ECH di chuyển điều gì, để lại điều gì
DoH chuyển trao đổi DNS sang một bộ phân giải HTTPS, nghĩa là bộ phân giải đó thấy các truy vấn của bạn thay cho bộ phân giải của mạng cục bộ. Đó là một thay đổi thật và có giới hạn: bộ phân giải được chọn trở thành bên có thể tương quan các truy vấn với những địa chỉ bạn kết nối sau đó, đúng là sự tương quan mà tài liệu RFC 8484 bàn tới. Truyền tải mã hóa không làm người nhận không biết về những truy vấn nó trả lời.
ECH bảo vệ phần nhạy cảm của ClientHello để một bên quan sát thụ động trên đường đi không thể đọc tên máy chủ dự định. Nó phụ thuộc vào một triển khai hỗ trợ và vào việc máy chủ và mạng chấp nhận, và để nguyên các kênh khác: địa chỉ đích vẫn hiển thị, và DNS vẫn có thể tiết lộ tên.
Điều khác ECH không làm là tự chứng minh. Một kết nối dùng TLS 1.3 không phải bằng chứng rằng ECH đã được chấp nhận, và một trình duyệt đề nghị ECH cho máy chủ không hỗ trợ sẽ lặng lẽ quay lại. Hãy kiểm tra trạng thái thực tế của kết nối thay vì suy ra từ phiên bản giao thức.
Đó là hình dạng chung của toàn bộ so sánh này: mỗi cơ chế được xác minh ở lớp của chính nó, và không cơ chế nào được xác minh bằng thành công của cơ chế khác.
VPN di chuyển điều gì và thêm điều gì
Khi lưu lượng web đi vào VPN, mạng truy cập thấy trao đổi bên ngoài với máy ngang hàng VPN thay vì từng kết nối ứng dụng, và nhà vận hành VPN chiếm một vị trí trên đường đi tiếp theo. Đó là việc di chuyển ranh giới tin cậy, không phải loại bỏ nó. Nhà vận hành giờ thấy bạn tới những đích nào, kể cả khi nội dung vẫn mã hóa từ đầu đến cuối. Đó có phải là cải thiện hay không phụ thuộc hoàn toàn vào việc bạn ít tin bên nào hơn trong hai bên đó.
Hãy giữ HTTPS của ứng dụng và lớp bảo vệ bộ phân giải dự định trong khi làm việc này. Một đường hầm không thay thế việc xác thực chứng chỉ, và tắt các lớp bảo vệ của bộ phân giải vì lưu lượng đi qua đường hầm là loại bỏ một kiểm soát mà không thay thế.
Chọn từ yêu cầu
Hãy nêu yêu cầu thực tế, vì nó quyết định thiết kế. Cho phép truy cập tài nguyên riêng, một điểm ra được quản lý, một mối đe dọa cụ thể của mạng truy cập và việc ủy quyền thiết bị là bốn nhu cầu khác nhau với bốn câu trả lời khác nhau, và một công ty chỉ dùng ứng dụng đám mây công cộng vẫn phải quyết định việc ủy quyền và xử lý dữ liệu. Các lớp thêm có thể phù hợp mà không thay thế được cho nhau. Một kết nối phức tạp hơn không phải là phép đo ẩn danh và tự nó không phải là lập luận bảo mật.
Đặc tả ECH, RFC 9849, đáng đọc về những gì cơ chế bao phủ và không bao phủ, và nó trung thực về các kênh mà nó để yên. Hãy so sánh các cơ chế theo bên quan sát mà mỗi cơ chế loại bỏ, ghi bên quan sát đó ra, rồi quyết định xem lớp thêm có nhắm vào nó không. Nếu câu trả lời là bên quan sát vốn đã nằm ngoài mô hình mối đe dọa của bạn, thì đường hầm là chi phí không có lợi ích.