Es hat begonnen. des Gesetzentwurfs zur Änderung des Bundesgesetzes über „Informationen, Informationstechnologien und den Schutz von Informationen“, entwickelt vom Ministerium für digitale Entwicklung, Kommunikation und Massenkommunikation. Im Gesetz wird vorgeschlagen, ein Verbot für die Verwendung von „Verschlüsselungsprotokollen, die es ermöglichen, den Namen (Identifikator) einer Internetseite oder -site im Internet zu verbergen, mit Ausnahme der Fälle, die gesetzlich festgelegt sind“ einzuführen.
Für die Verletzung des Verbots zur Nutzung von Verschlüsselungsprotokollen, die es ermöglichen, den Namen der Website zu verbergen, wird vorgeschlagen, die Funktion der Internetressource spätestens innerhalb von 1 (einem) Arbeitstag ab dem Tag der Entdeckung dieser Verletzung durch die zuständige Bundesbehörde auszusetzen. Das Hauptziel der Blockierung ist die TLS-Erweiterung (früher bekannt als ESNI), die zusammen mit TLS 1.3 verwendet werden kann und bereits in China. Da die Formulierungen im Gesetzesentwurf unklar sind und konkrete Details fehlen, könnten neben ECH/ESNI praktisch alle Protokolle, die eine vollständige Verschlüsselung des Kommunikationskanals gewährleisten, formal unter das Verbot fallen, sowie Protokolle (DoH) und (DoT).
Wir erinnern daran, dass zur Ermöglichung des Betriebs mehrerer HTTPS-Websites unter einer einzigen IP-Adresse damals eine SNI-Erweiterung entwickelt wurde, die den Hostnamen im Klartext in der ClientHello-Nachricht überträgt, die vor der Einrichtung des verschlüsselten Kommunikationskanals gesendet wird. Diese Besonderheit ermöglicht es dem Internetanbieter, den HTTPS-Traffic selektiv zu filtern und zu analysieren, welche Websites der Benutzer öffnet, was vollständige Vertraulichkeit bei der Verwendung von HTTPS nicht gewährleistet.
ECH/ESNI verhindert vollständig das Ablecken von Informationen über die angeforderte Website bei der Analyse von HTTPS-Verbindungen. In Kombination mit der Nutzung eines Content Delivery Networks (CDN) ermöglicht die Anwendung von ECH/ESNI zudem, die IP-Adresse der angeforderten Ressource vor dem Anbieter zu verbergen — Systeme zur Datenverkehrsüberwachung sehen nur die Anfragen an das CDN und können keine Blockierung durchführen, ohne die TLS-Sitzung zu manipulieren. Im Falle einer solchen Manipulation wird dem Benutzer im Browser eine entsprechende Mitteilung angezeigt. Sollte ECH/ESNI verboten werden, könnte nur ein vollständiger Zugriffsbeschränkung auf Content Delivery Networks (CDN), die ECH/ESNI unterstützen, wirksam entgegenwirken; andernfalls wäre die Blockierung ineffektiv und könnte leicht durch Verwendung eines CDN umgangen werden.
Bei der Verwendung von ECH/ESNI wird der Hostname, ähnlich wie im SNI, in der ClientHello-Nachricht übermittelt, jedoch sind die in dieser Nachricht übertragenen Daten verschlüsselt. Für die Verschlüsselung wird ein Geheimnis verwendet, das auf Basis der Schlüssel des Servers und des Clients berechnet wird. Um den abgefangenen oder erhaltenen Wert des Feldes ECH/ESNI zu entschlüsseln, ist der private Schlüssel des Clients oder Servers erforderlich (neben den öffentlichen Schlüsseln des Servers oder Clients). Informationen über die öffentlichen Schlüssel werden für den Server-Schlüssel im DNS übermittelt, während der Client-Schlüssel in der ClientHello-Nachricht enthalten ist. Die Entschlüsselung ist ebenfalls mithilfe eines während der Aushandlung der TLS-Verbindung vereinbarten gemeinsamen Geheimnisses möglich, das nur dem Client und dem Server bekannt ist.
Quelle: opennet.ru
