В Русия имат намерение да забранят протоколите, позволяващи скриване на имената на сайтовете

Започна обществено обсъждане проект на правния акт за изменение на Федералния закон „За информацията, информационните технологии и защитата на информацията“, разработен от Министерството на цифровото развитие, телекомуникациите и масовите комуникации. В закона се предлага да бъде въведена забрана за използването на територията на Руската федерация на „протоколи за криптиране, които позволяват да се скрие името (идентификатора) на интернет страницата или сайта в интернет, с изключение на случаите, предвидени в законодателството на Руската федерация“.

За нарушение на забраната за използване на шифрователни протоколи, позволяващи да се скрие името на сайта, се предлага да се преустанови функционирането на интернет ресурса в срок не по-късно от 1 (един) работен ден от откритие на това нарушение от упълномощения федерален орган на изпълнителната власт. Основната цел на блокирането е TLS разширението ECH (преди известно като ESNI), което може да се прилага заедно с TLS 1.3 и вече е блокирано в Китай. Тъй като формулировките в законопроекта са неопределени и липсва конкретика, освен ECH/ESNI, формално под блокировка могат да попаднат практически всякакви протоколи, осигуряващи пълно шифроване на комуникационния канал, както и протоколите DNS върху HTTPS (DoH) и DNS върху TLS (DoT).

Да припомним, че за организация на работата на един IP адрес за няколко HTTPS сайта, беше разработено разширение SNI, което предава името на хоста в открит вид в съобщението ClientHello, предадено преди установяването на шифрован канал за комуникация. Подобна особеност дава на интернет доставчика възможността за селективно филтриране на HTTPS трафик и анализиране на какви сайтове отваря потребителят, което не позволява постигането на пълна конфиденциалност при прилагане на HTTPS.

ECH/ESNI напълно елиминира изтичането на информация за искания сайт при анализ на HTTPS връзките. В комбинация с обращението през мрежа за доставка на съдържание, прилагането на ECH/ESNI също дава възможност да се скрие от доставчика и IP адреса на искания ресурс — системите за инспекция на трафика виждат само обращения към CDN и не могат да приложат блокировка без подмяна на TLS сесия, при която в браузъра на потребителя ще бъде показано съответно уведомление за подмяна на сертификата. В случай на въвеждане на забрана на ECH/ESNI, за справяне с такава възможност може да помогне само пълното ограничаване на достъпа до мрежите за доставка на съдържание (CDN), които поддържат ECH/ESNI, в противен случай блокировката ще бъде неефективна и ще може лесно да се заобиколи с помощта на CDN.

При използване на ECH/ESNI името на хоста, както и в SNI, се предава в съобщението ClientHello, но съдържанието на предаваните данни е криптирано. За криптиране се използва секрет, изчислен на базата на ключовете на сървъра и клиента. За да се декриптира прихваната или получена стойност на полето ECH/ESNI, е необходимо да се знае частният ключ на клиента или сървъра (плюс публичните ключове на сървъра или клиента). Информацията за публичните ключове се предава за сървърния ключ в DNS, а за клиентския ключ в съобщението ClientHello. Декрипцията също е възможна чрез общия секрет, съгласуван по време на установяването на TLS-съединение, известен само на клиента и сървъра.

Източник: opennet.ru