Firefox এবং Cloudflare HTTPS ট্রাফিকের মধ্যে ডোমেন লুকানোর জন্য ECH সমর্থন সক্ষম করে

মোজিলা ECH (এনক্রিপ্টেড ক্লায়েন্ট হ্যালো) পদ্ধতির জন্য ফায়ারফক্সের স্থিতিশীল শাখার ব্যবহারকারীদের জন্য সমর্থন অন্তর্ভুক্ত করার ঘোষণা দিয়েছে, যা ESNI (এনক্রিপ্টেড সার্ভার নেম ইন্ডিকেশন) প্রযুক্তির বিকাশ অব্যাহত রাখে এবং TLS সেশনের প্যারামিটার সম্পর্কে তথ্য এনক্রিপ্ট করার জন্য ডিজাইন করা হয়েছে। , যেমন অনুরোধ করা ডোমেন নাম। ECH এর সাথে কাজ করার জন্য কোডটি মূলত Firefox 85 রিলিজে যোগ করা হয়েছিল, কিন্তু ডিফল্টরূপে অক্ষম করা হয়েছিল। Chrome ধীরে ধীরে Chrome 115 প্রকাশের সাথে শুরু করে ECH সমর্থন অন্তর্ভুক্ত করতে শুরু করে।

যেহেতু সংযোগ স্থাপনের পাশাপাশি সার্ভার অনুরোধকৃত ডোমেন তথ্য DNS এর মাধ্যমে ফাঁস হয়ে যায়। সম্পূর্ণ সুরক্ষার জন্য, ECH ছাড়াও, DNS ট্র্যাফিক এনক্রিপ্ট করার জন্য আপনাকে HTTPS এর মাধ্যমে DNS অথবা TLS এর মাধ্যমে DNS ব্যবহার করতে হবে। সেটিংসে HTTPS এর মাধ্যমে DNS সক্ষম না করে Firefox ECH ব্যবহার করবে না। আপনি এই পৃষ্ঠায় আপনার ব্রাউজারে ECH সমর্থন পরীক্ষা করতে পারেন।

ফায়ারফক্সে ডিফল্টরূপে ECH সমর্থন সক্রিয় করার কারণগুলির মধ্যে একটি হল ক্লাউডফ্লেয়ার এর কিছু দিন আগে তার সামগ্রী বিতরণ নেটওয়ার্কে ECH সমর্থন অন্তর্ভুক্ত করা। ব্যবহারিক দিক থেকে, যেহেতু ECH ব্যবহার করার সময় অনুরোধ করা হোস্টগুলির ডেটা বিশ্লেষণ থেকে লুকানো থাকে, তাই Cloudflare CDN ব্যবহার করে অবাঞ্ছিত সাইটগুলিকে ফিল্টারিং এবং ব্লক করার জন্য এখন পুরো Cloudflare নেটওয়ার্ক ব্লক করা, ECH থেকে সমস্ত অনুরোধ ব্লক করা, বা জাল রুট সার্টিফিকেট ব্যবহার করে HTTPS ইন্টারসেপশন সংগঠিত করা প্রয়োজন। ব্যবহারকারী সিস্টেমে।

প্রাথমিকভাবে, একাধিক HTTPS সাইটের একটি আইপি ঠিকানায় কাজ সংগঠিত করার জন্য, TLS এক্সটেনশন SNI ব্যবহার করা হয়েছিল, যেখানে অনুরোধ করা হোস্টের নামটি একটি এনক্রিপ্ট করা যোগাযোগ চ্যানেল স্থাপন করার আগে প্রেরণ করা ক্লায়েন্টহেলো বার্তায় নির্দেশিত হয়েছিল। এই বৈশিষ্ট্যটি সংযোগ প্রক্রিয়াকরণের প্রাথমিক পর্যায়ে ভার্চুয়াল হোস্ট জুড়ে অনুরোধগুলি বিতরণ করা সম্ভব করেছে, তবে এটি আইএসপি পক্ষ থেকে বেছে বেছে HTTPS ট্র্যাফিক ফিল্টার করা এবং ব্যবহারকারী কোন সাইটগুলি খোলে তা বিশ্লেষণ করা সম্ভব করেছে, যা ব্যবহারের সময় সম্পূর্ণ গোপনীয়তা অর্জনের অনুমতি দেয়নি। HTTPS

এই সমস্যাটি সমাধান করতে এবং অনুরোধ করা সাইট সম্পর্কে তথ্য ফাঁস প্রতিরোধ করার জন্য, একটি ESNI এক্সটেনশন পরে প্রস্তাব করা হয়েছিল যা হোস্ট নামের সাথে ডেটা এনক্রিপশন প্রয়োগ করে। ESNI বাস্তবায়নের সময়, এটি প্রকাশিত হয়েছিল যে প্রস্তাবিত প্রক্রিয়া হোস্ট ডেটা ফাঁসের সমস্ত সম্ভাব্য উত্সকে কভার করে না এবং HTTPS সেশনগুলির সম্পূর্ণ গোপনীয়তা নিশ্চিত করার জন্য এর ব্যবহার যথেষ্ট নয়। বিশেষ করে, পূর্বে প্রতিষ্ঠিত সেশন পুনরায় শুরু করার সময়, স্পষ্ট পাঠ্যে ডোমেন নামটি PSK (প্রি-শেয়ারড কী) TLS এক্সটেনশনের প্যারামিটারগুলির মধ্যে নির্দিষ্ট করা অব্যাহত থাকে। উপরন্তু, ESNI বাস্তবায়নের প্রচেষ্টাগুলি সামঞ্জস্যতা এবং স্কেলিং সমস্যাগুলি চিহ্নিত করেছে যা ESNI এর ব্যাপক গ্রহণকে বাধা দিয়েছে।

ESNI-এর চিহ্নিত ত্রুটিগুলিকে বিবেচনায় নিয়ে, একটি নতুন সার্বজনীন ECH প্রক্রিয়া তৈরি করা হয়েছে যা যেকোনো TLS এক্সটেনশনের প্যারামিটার এনক্রিপশনের অনুমতি দেয়। প্রযুক্তিগতভাবে, ECH এবং ESNI-এর মধ্যে প্রধান পার্থক্য হল পৃথক ক্ষেত্রের পরিবর্তে, সমগ্র ক্লায়েন্টহেলো বার্তাটি একবারে এনক্রিপ্ট করা হয়। ECH এর মধ্যে ক্লায়েন্টহেলোকে দুটি পৃথক বার্তায় বিভক্ত করা জড়িত - এনক্রিপ্ট করা ক্লায়েন্টহেলোইনার বার্তা (এসএনআই ইনার) এবং এনক্রিপ্ট করা অন্তর্নিহিত ক্লায়েন্টহেলোআউটার বার্তা (এসএনআই আউটার)। একটি এনক্রিপ্ট করা SNI আউটার অ-গোপনীয়তা ডেটা বহন করে যেমন TLS সংস্করণ এবং ব্যবহৃত সাইফারগুলির একটি তালিকা, সেইসাথে একটি সাধারণ ডোমেন নাম যা অনুরোধ করা ডোমেনের প্রকৃত নামের সাথে ওভারল্যাপ করে না। উদাহরণস্বরূপ, সমস্ত ক্লাউডফ্লেয়ার ক্লায়েন্টের জন্য, এনক্রিপ্ট করা SNI আউটার সাধারণ হোস্ট "ক্লাউডফ্লেয়ার-ইচ.কম" নির্দিষ্ট করে, কিন্তু অনুরোধ করা হোস্টের প্রকৃত নাম এনক্রিপ্ট করা SNI ইনারে প্রেরণ করা হয় এবং বিশ্লেষণের জন্য উপলব্ধ নয়।

ECH একটি ভিন্ন এনক্রিপশন কী বিতরণ স্কিমও ব্যবহার করে: পাবলিক কী তথ্য TXT রেকর্ডের পরিবর্তে HTTPSSVC DNS রেকর্ডে প্রেরণ করা হয়। HPKE (হাইব্রিড পাবলিক কী এনক্রিপশন) প্রক্রিয়ার উপর ভিত্তি করে প্রমাণিত এন্ড-টু-এন্ড এনক্রিপশন কীটি প্রাপ্ত এবং এনক্রিপ্ট করার জন্য ব্যবহৃত হয়। ECH সার্ভার থেকে সুরক্ষিত কী পুনঃপ্রেরণকেও সমর্থন করে, যা কী ঘূর্ণনের ক্ষেত্রে ব্যবহার করা যেতে পারে। সার্ভার এবং DNS ক্যাশে থেকে পুরানো কীগুলি পুনরুদ্ধারের সমস্যা সমাধানের জন্য।

উত্স: opennet.ru