Hat begonnen des Gesetzentwurfs zur Änderung des Bundesgesetzes "Über Informationen, Informationstechnologien und den Schutz von Informationen", entwickelt vom Ministerium für digitale Entwicklung, Kommunikation und Massenkommunikation. Im Gesetz wird vorgeschlagen, ein Verbot für die Verwendung von "Verschlüsselungsprotokollen, die den Namen (Identifikator) einer Internetseite oder -seite im Internet verbergen, mit Ausnahme der in der Gesetzgebung der Russischen Föderation festgelegten Fälle" einzuführen.
Für die Verletzung des Verbots zur Verwendung von Verschlüsselungsprotokollen, die den Namen der Webseite verbergen, wird vorgeschlagen, die Funktionsfähigkeit der Internetressource innerhalb von spätestens 1 (einem) Arbeitstag nach Entdeckung dieses Verstoßes durch die dafür zuständige Bundesbehörde für Exekutive zu unterbrechen. Das Hauptziel der Blockierung besteht darin, die TLS-Erweiterung (früher bekannt als ESNI), die zusammen mit TLS 1.3 angewendet werden kann und bereits DNS über HTTPS DNS über TLS Wir erinnern daran, dass für den Betrieb mehrerer HTTPS-Seiten unter einer IP-Adresse einst die SNI-Erweiterung entwickelt wurde, die die Übertragung des Hostnamens im Klartext in der ClientHello-Nachricht ermöglicht, die vor der Einrichtung des verschlüsselten Kommunikationskanals übermittelt wird. Diese Funktionalität ermöglicht es dem Internetanbieter, den HTTPS-Verkehr selektiv zu filtern und zu analysieren, welche Seiten der Benutzer aufruft, was vollständige Vertraulichkeit bei der Verwendung von HTTPS nicht ermöglicht.
Erinnern wir uns daran, dass zur Organisation der Arbeit mehrerer HTTPS-Websites unter einer IP-Adresse zu einem früheren Zeitpunkt die SNI-Erweiterung entwickelt wurde, die den Hostnamen im Klartext in der ClientHello-Nachricht überträgt, die vor der Einrichtung des verschlüsselten Kommunikationskanals gesendet wird. Diese Eigenschaft ermöglicht es Internetanbietern, den HTTPS-Verkehr selektiv zu filtern und zu analysieren, welche Websites der Benutzer aufruft, was es unmöglich macht, vollständige Vertraulichkeit bei der Verwendung von HTTPS zu erreichen.
ECH/ESNI schließt vollständig die Offenlegung von Informationen über die angeforderte Website bei der Analyse von HTTPS-Verbindungen aus. In Kombination mit der Anfrage über ein Content Delivery Network ermöglicht der Einsatz von ECH/ESNI auch, die IP-Adresse der angeforderten Ressource vor dem Anbieter zu verbergen – Systeme zur Verkehrsinspektion sehen nur Anfragen an das CDN und können eine Sperrung nicht anwenden, ohne die TLS-Sitzung zu ersetzen, bei der dem Benutzer im Browser eine entsprechende Mitteilung über das Ersetzen des Zertifikats angezeigt wird. Im Falle einer Einführung eines Verbots von ECH/ESNI zur Bekämpfung dieser Möglichkeit kann nur ein vollständiges Verbot des Zugriffs auf Content Delivery Networks (CDN), die ECH/ESNI unterstützen, hilfreich sein, ansonsten wird die Sperrung ineffektiv sein und leicht mithilfe von CDN umgangen werden können.
Bei der Verwendung von ECH/ESNI wird der Hostname, wie im SNI, in der Nachricht ClientHello übermittelt, jedoch sind die Inhalte der in dieser Nachricht übermittelten Daten verschlüsselt. Zur Verschlüsselung wird ein Geheimnis verwendet, das anhand der Schlüssel von Server und Client berechnet wird. Um den abgefangenen oder empfangenen Wert des Feldes ECH/ESNI zu entschlüsseln, muss der private Schlüssel des Clients oder Servers bekannt sein (plus die öffentlichen Schlüssel des Servers oder Clients). Die Informationen über die öffentlichen Schlüssel werden für den Server-Schlüssel im DNS und für den Client-Schlüssel in der Nachricht ClientHello übermittelt. Die Entschlüsselung ist auch mithilfe des im Prozess der Installation der TLS-Verbindung vereinbarten gemeinsamen Geheimnisses möglich, das nur dem Client und dem Server bekannt ist.
Quelle: opennet.ru
