Κρυπτογραφημένο Client Hello and SNI Filtering: Τι πρέπει να γνωρίζουν οι χρήστες VPN με επίγνωση απορρήτου

Το HTTPS προστατεύει το περιεχόμενο της σελίδας, αλλά δεν έχει πάντα κρύψει το όνομα του ιστότοπου που προσπαθεί να προσεγγίσει ένα πρόγραμμα περιήγησης. Αυτό το κενό έχει σημασία στο δημόσιο Wi-Fi, το σχολείο, το ξενοδοχείο, τον χώρο εργασίας και τα περιοριστικά δίκτυα όπου η πρόσβαση μπορεί να φιλτραριστεί μέσω των μεταδεδομένων σύνδεσης.

Το κρυπτογραφημένο Client Hello, ή ECH, μειώνει αυτήν την έκθεση. Προστατεύει ευαίσθητα μέρη του TLS ClientHello, συμπεριλαμβανομένου του ονόματος κεντρικού υπολογιστή που ήταν ορατό στο παρελθόν μέσω της ένδειξης ονόματος διακομιστή. Το ECH δεν είναι δυνατότητα VPN, δεν καθιστά τους χρήστες ανώνυμους και δεν εγγυάται την πρόσβαση. Κλείνει ένα σημαντικό κενό μεταδεδομένων, ενώ τα VPN, τα κρυπτογραφημένα DNS, οι ρυθμίσεις του προγράμματος περιήγησης και οι προσεκτικές συνήθειες λογαριασμού παραμένουν ξεχωριστά επίπεδα.

Το κενό απορρήτου HTTPS: SNI

Ένα πρόγραμμα περιήγησης συνήθως αναζητά έναν τομέα μέσω DNS και στη συνέχεια ξεκινά μια χειραψία TLS. Το TLS βοηθά στην κρυπτογράφηση του περιεχομένου της σελίδας, των κωδικών πρόσβασης, των μηνυμάτων και των αρχείων. Για πολλά χρόνια, το όνομα κεντρικού υπολογιστή σε αυτή τη χειραψία παρέμεινε ορατό ως SNI. Το SNI υπάρχει επειδή πολλοί ιστότοποι μοιράζονται μία διεύθυνση IP και ο διακομιστής πρέπει να γνωρίζει ποιο πιστοποιητικό να παρουσιάσει.

Αυτή η ορατή τιμή TLS SNI μπορεί να αποκαλύψει τον τομέα που προσπαθεί να επισκεφτεί μια συσκευή, ακόμη και όταν το περιεχόμενο της σελίδας παραμένει κρυπτογραφημένο.

Τι κάνει το SNI Filtering

Το φιλτράρισμα SNI σημαίνει επιτρέποντας, αποκλεισμό ή διακοπή συνδέσεων HTTPS με βάση το όνομα κεντρικού υπολογιστή που είναι ορατό στην πρώιμη χειραψία TLS. Ένας χειριστής δικτύου μπορεί να επιθεωρήσει το SNI, να το συγκρίνει με μια λίστα και να επαναφέρει ή να αποκλείσει τη σύνδεση χωρίς να αποκρυπτογραφήσει την πλήρη περίοδο λειτουργίας HTTPS. Για τους χρήστες, το αποτέλεσμα μπορεί να μοιάζει με αόριστη αποτυχία σύνδεσης.

Τι αλλάζει ο κρυπτογραφημένος πελάτης Hello

Το Encrypted Client Hello κρυπτογραφεί το ευαίσθητο εσωτερικό ClientHello με ένα δημόσιο κλειδί διακομιστή. Το πρόγραμμα περιήγησης στέλνει ένα λιγότερο αποκαλυπτικό εξωτερικό ClientHello και ένα κρυπτογραφημένο εσωτερικό ClientHello που μόνο η προβλεπόμενη υποδομή από την πλευρά του διακομιστή μπορεί να διαβάσει. Ο παρατηρητής μπορεί να δει μια σύνδεση με την υποδομή φιλοξενίας, αλλά δεν θα πρέπει να δει απευθείας το προστατευμένο όνομα κεντρικού υπολογιστή.

Αυτή είναι η πρακτική αξία του κρυπτογραφημένου πελάτη hello: μειώνει την άμεση διαρροή ονόματος κεντρικού υπολογιστή κατά τις υποστηριζόμενες χειραψίες TLS. Εξηγεί επίσης την κίνηση πέρα ​​από το κρυπτογραφημένο SNI. Το κρυπτογραφημένο SNI ήταν η προηγούμενη ιδέα της κρυπτογράφησης μόνο του SNI. Το ECH προστατεύει περισσότερο από το ClientHello, συμπεριλαμβανομένου του SNI και άλλων ευαίσθητων παραμέτρων.

Τι δεν κρύβει το ECH

Το ECH δεν είναι απόλυτο απόρρητο. Τα ερωτήματα DNS μπορούν να αποκαλύψουν τομείς εάν δεν χρησιμοποιείται κρυπτογραφημένο DNS. Οι διευθύνσεις IP παραμένουν ορατές για δρομολόγηση. Ο χρόνος και ο όγκος της κυκλοφορίας μπορούν ακόμα να παρέχουν ενδείξεις. Οι συνδεδεμένοι λογαριασμοί, τα cookie, τα δαχτυλικά αποτυπώματα του προγράμματος περιήγησης και η συμπεριφορά εφαρμογών εξακολουθούν να μπορούν να αναγνωρίζουν ή να παρακολουθούν τους χρήστες. Το ECH λειτουργεί μόνο όταν το υποστηρίζει το πρόγραμμα περιήγησης, η διαδρομή DNS και η υπηρεσία προορισμού.

Γιατί έχει σημασία για την αντίσταση στη λογοκρισία

Το φιλτράρισμα SNI έγινε χρήσιμο στους λογοκριτές επειδή ήταν ακριβές. Εάν το όνομα κεντρικού υπολογιστή ήταν ορατό, ένα φίλτρο θα μπορούσε να στοχεύσει έναν τομέα χωρίς να αποκλείσει κάθε τοποθεσία στην ίδια διεύθυνση IP. Το ECH μπορεί να κάνει αυτή τη συντόμευση λιγότερο αξιόπιστη όταν υποστηρίζεται πλήρως. Ωστόσο, δεν νικάει τη λογοκρισία από μόνη της. Τα δίκτυα μπορεί να χρησιμοποιούν αποκλεισμό DNS, αποκλεισμό IP, στοιχεία ελέγχου τελικού σημείου, ανάλυση κυκλοφορίας ή άμεσο αποκλεισμό κυκλοφορίας που σχετίζεται με το ECH.

Πού ταιριάζει η χρήση VPN

Για τους αναγνώστες Δορυφόρων VPN, η χρήση ECH και VPN απαντούν σε διαφορετικά σημεία του προβλήματος απορρήτου. Το ECH μειώνει την έκθεση του ονόματος κεντρικού υπολογιστή στις υποστηριζόμενες χειραψίες HTTPS. Ένα VPN αλλάζει την τοπική διαδρομή κυκλοφορίας στέλνοντας κίνηση μέσω μιας κρυπτογραφημένης σήραγγας σε έναν διακομιστή VPN. Με το VPN Unlimited by KeepSolid, το τοπικό δίκτυο Wi-Fi ή ο ISP θα πρέπει γενικά να βλέπει μια σύνδεση VPN αντί να χωρίζει άμεσες συνδέσεις σε κάθε ιστότοπο.

Ένα VPN μπορεί να είναι χρήσιμο σε δημόσια Wi-Fi, δίκτυα ξενοδοχείων, δίκτυα πανεπιστημιούπολης, κοινόχρηστα διαμερίσματα και άλλα δίκτυα που δεν ελέγχετε. Δεν σας καθιστά ανώνυμους σε ιστότοπους όπου συνδέεστε, αφαιρείτε cookies, εγγυάται την πρόσβαση σε κάθε υπηρεσία, αποφασίζει εάν ένας ιστότοπος υποστηρίζει ECH ή αντικαθιστά την υγιεινή του προγράμματος περιήγησης και την επίγνωση της τοπικής νομοθεσίας.

Πρακτική λίστα ελέγχου

Διατηρήστε το πρόγραμμα περιήγησής σας ενημερωμένο

Τα σύγχρονα προγράμματα περιήγησης είναι πιο πιθανό να περιλαμβάνουν νεότερες βελτιώσεις απορρήτου TLS, αν και η υποστήριξη διαφέρει ανάλογα με την πλατφόρμα και τις ρυθμίσεις.

Χρησιμοποιήστε HTTPS, αλλά κατανοήστε τα μεταδεδομένα

Το HTTPS προστατεύει το περιεχόμενο. Το απόρρητο των μεταδεδομένων είναι σχετικό αλλά ξεχωριστό και το SNI ήταν ένα από τα κενά που το ECH προορίζεται να μειώσει.

Αντιμετωπίστε το κρυπτογραφημένο DNS ως μέρος της εικόνας

Το ECH εξαρτάται συχνά από εγγραφές DNS. Εάν το DNS είναι αποκλεισμένο, τροποποιημένο ή ορατό σε απλό κείμενο, μέρος του πλεονεκτήματος απορρήτου μπορεί να αποδυναμωθεί.

Χρησιμοποιήστε ένα VPN σε δίκτυα που δεν εμπιστεύεστε

Ένα VPN είναι πιο σχετικό όταν το τοπικό δίκτυο είναι το κύριο μέλημα. Μπορεί να μειώσει την άμεση ορατότητα για αυτό το δίκτυο, αλλά είναι ένα επίπεδο, όχι μια πλήρης λύση απορρήτου.

Προετοιμαστείτε πριν από το ταξίδι

Εγκαταστήστε και δοκιμάστε τα εργαλεία απορρήτου προτού βρίσκεστε σε ένα περιοριστικό δίκτυο. Ελέγξτε τους τοπικούς κανόνες, γιατί αυτό το άρθρο είναι τεχνική εκπαίδευση και όχι νομικές συμβουλές.

Συχνές ερωτήσεις

Είναι το Encrypted Client Hello το ίδιο με ένα VPN;

Όχι. Το ECH είναι ένας μηχανισμός απορρήτου TLS για υποστηριζόμενες συνδέσεις HTTPS. Ένα VPN δρομολογεί την κυκλοφορία της συσκευής μέσω μιας κρυπτογραφημένης σήραγγας σε έναν διακομιστή VPN.

Το ECH διακόπτει όλα τα φιλτράρισμα SNI;

Όχι. Μπορεί να μειώσει τη χρησιμότητα του φιλτραρίσματος που βασίζεται σε SNI όταν υποστηρίζεται, αλλά τα δίκτυα μπορούν να χρησιμοποιήσουν άλλες μεθόδους φιλτραρίσματος.

Γιατί ήταν ορατό το SNI εάν το HTTPS είναι κρυπτογραφημένο;

Ο διακομιστής έπρεπε να γνωρίζει ποιο πιστοποιητικό να παρουσιάσει προτού δημιουργηθεί πλήρως η κρυπτογραφημένη περίοδος λειτουργίας.

Η κατώτατη γραμμή

Το ECH προστατεύει ένα τμήμα μεταδεδομένων ιστού που παρέμεινε εκτεθειμένο για πάρα πολύ καιρό. Το πρακτικό μάθημα είναι η πολυεπίπεδη ιδιωτικότητα: το HTTPS προστατεύει το περιεχόμενο, το ECH βοηθά στην προστασία της χειραψίας, το κρυπτογραφημένο DNS μειώνει τη διαρροή DNS και ένα VPN μειώνει αυτό που βλέπει το τοπικό δίκτυο σχετικά με τη διαδρομή κυκλοφορίας.