Руската федерация възнамерява да забрани протоколи, които позволяват да се скрие името на уебсайт

започна обществено обсъждане проект на правен акт за изменение на Федералния закон „За информацията, информационните технологии и защитата на информацията“, разработен от Министерството на цифровото развитие, съобщенията и масовите комуникации. Законът предлага да се въведе забрана за използване на територията на Руската федерация на „протоколи за криптиране, които позволяват да се скрие името (идентификатора) на интернет страница или сайт в Интернет, с изключение на случаите, установени от законодателството на Руската федерация."

За нарушаване на забраната за използване на протоколи за криптиране, които позволяват да се скрие името на сайта, се предлага да се спре работата на интернет ресурса не по-късно от 1 (един) работен ден от датата на откриване на това нарушение от упълномощения федерален изпълнителен орган. Основната цел на блокирането е TLS разширението ЕСН (по-рано известен като ESNI), който може да се използва заедно с TLS 1.3 и вече блокиран в Китай. Тъй като формулировката в законопроекта е неясна и няма специфичност, с изключение на ECH/ESNI, формално почти всички протоколи, които осигуряват пълно криптиране на комуникационния канал, както и протоколи DNS през HTTPS (DoH) и DNS през TLS (DoT).

Нека си припомним, че за да се организира работата на няколко HTTPS сайта на един IP адрес, наведнъж беше разработено разширението SNI, което предава името на хоста в ясен текст в съобщението ClientHello, предадено преди инсталирането на криптиран комуникационен канал. Тази функция дава възможност от страна на интернет доставчика да филтрира селективно HTTPS трафика и да анализира кои сайтове отваря потребителят, което не позволява постигането на пълна поверителност при използване на HTTPS.

ECH/ESNI напълно елиминира изтичането на информация за заявения сайт при анализиране на HTTPS връзки. В комбинация с достъп чрез мрежа за доставка на съдържание, използването на ECH/ESNI също така прави възможно скриването на IP адреса на искания ресурс от доставчика - системите за инспекция на трафика виждат само заявки към CDN и не могат да прилагат блокиране без подправяне на TLS сесия, в който случай в браузъра на потребителя ще се покаже съответно известие за подмяната на сертификата. Ако бъде въведена забрана за ECH/ESNI, единственият начин за борба с тази възможност е напълно да се ограничи достъпът до мрежи за доставка на съдържание (CDN), които поддържат ECH/ESNI, в противен случай забраната ще бъде неефективна и лесно може да бъде заобиколена от CDN.

Когато използвате ECH/ESNI, името на хоста, както в SNI, се предава в съобщението ClientHello, но съдържанието на данните, предавани в това съобщение, е криптирано. Шифроването използва тайна, изчислена от ключовете на сървъра и клиента. За да декриптирате прихваната или получена стойност на ECH/ESNI поле, трябва да знаете личния ключ на клиента или сървъра (плюс публичните ключове на сървъра или клиента). Информацията за публичните ключове се предава за ключа на сървъра в DNS и за ключа на клиента в съобщението ClientHello. Дешифрирането е възможно и с помощта на споделена тайна, договорена по време на настройката на TLS връзката, известна само на клиента и сървъра.

Източник: opennet.ru