V RF se plánuje zakázat protokoly, které umožňují skrýt název stránky

Začalo veřejná diskuse návrhu právního aktu o změně Federálního zákona „O informacích, informačních technologiích a ochraně informací“, vyvinutého Ministerstvem digitálního rozvoje, komunikací a masových médií. Zákon navrhuje zavést zákaz používání na území Ruské federace „šifrovacích protokolů, které umožňují skrýt název (identifikátor) internetové stránky nebo webu v síti Internet, s výjimkou případů stanovených legislativou Ruské federace“.

Za porušení zákazu používání šifrovacích protokolů, které umožňují skrýt název webu, se navrhuje pozastavit funkčnost internetového zdroje v termínu nejpozději 1 (jeden) pracovní den od dne zjištění této porušení pověřeným federálním orgánem výkonné moci. Hlavním cílem blokace je rozšíření TLS. ECH (dříve známé jako ESNI), které může být používáno spolu s TLS 1.3 a již je zablokováno v Číně. Protože formulace v návrhu zákona jsou vágní a absentuje konkretizace, kromě ECH/ESNI mohou být formálně pod blokaci zahrnuta prakticky jakákoliv protokoly, které zajišťují kompletní šifrování komunikačního kanálu, stejně jako protokoly DNS přes HTTPS (DoH) a DNS přes TLS (DoT).

Připomínáme, že pro organizaci práce na jedné IP adrese několika HTTPS webů bylo vyvinuto rozšíření SNI, které provádí přenos názvu hostitele v otevřené podobě v zprávě ClientHello, zasílané před zavedením šifrovaného kanálu komunikace. Tato vlastnost umožňuje poskytovatelům internetových služeb selektivně filtrovat HTTPS provoz a analyzovat, jaké weby uživatel navštěvuje, což neumožňuje dosáhnout úplné důvěrnosti při používání HTTPS.

ECH/ESNI zcela vylučuje únik informací o požadované webové stránky při analýze HTTPS spojení. V kombinaci s využitím sítě pro doručování obsahu poskytuje ECH/ESNI také možnost skrýt před poskytovatelem i IP adresu požadovaného zdroje — systémy pro inspekci provozu vidí pouze dotazy na CDN a nemohou aplikovat blokaci bez podvodu s TLS sezením, při kterém se uživateli v prohlížeči zobrazí příslušné upozornění na podvodný certifikát. V případě zavedení zákazu ECH/ESNI pro boj s touto možností může pomoci pouze kompletní omezení přístupu k sítím pro doručování obsahu (CDN), které podporují ECH/ESNI, jinak bude blokace neefektivní a snadno obejitelná pomocí CDN.

Při použití ECH/ESNI se jméno hostitele, stejně jako v SNI, přenáší v zprávě ClientHello, ale obsah přenášených dat v této zprávě je zašifrován. K šifrování se používá tajemství vypočítané na základě klíčů serveru a klienta. K dešifrování zachycené nebo obdržené hodnoty pole ECH/ESNI je třeba znát soukromý klíč klienta nebo serveru (plus veřejné klíče serveru nebo klienta). Informace o veřejných klíčích se přenášejí pro serverový klíč v DNS a pro klientský klíč ve zprávě ClientHello. Dešifrování je také možné pomocí sdíleného tajemství dohodnutého při ustanovení TLS spojení, které je známo pouze klientovi a serveru.

Zdroj: opennet.ru