{"id":91188,"date":"2020-08-09T13:42:21","date_gmt":"2020-08-09T11:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni"},"modified":"2020-08-09T13:42:21","modified_gmt":"2020-08-09T11:42:21","slug":"kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni","title":{"rendered":"China hat begonnen, HTTPS-Verbindungen, die mit TLS 1.3 und ESNI eingerichtet werden, zu blockieren","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

China eingef\u00fchrt<\/a><\/noindex> die Sperrung<\/a><\/noindex> aller HTTPS-Verbindungen, die das Protokoll TLS 1.3 und die TLS-Erweiterung ESNI (Encrypted Server Name Indication) verwenden, die die Verschl\u00fcsselung der Daten \u00fcber den angeforderten Host sicherstellt. Die Blockierung erfolgt auf Transit-Routern sowohl f\u00fcr Verbindungen, die aus China in die Au\u00dfenwelt als auch aus der Au\u00dfenwelt nach China hergestellt werden.<\/p>\n

Zur Blockierung werden Pakete vom Client zum Server verworfen, anstatt Pakete mit dem FLAG RST einzuf\u00fcgen, was zuvor bei der selektiven Blockierung basierend auf dem SNI-Inhalt durchgef\u00fchrt wurde. Nach der Blockierung eines Pakets mit ESNI werden ebenfalls alle Netzwerkpakete, die mit der Kombination aus IP-Adresse des Absenders, IP-Adresse des Ziels und Zielport \u00fcbereinstimmen, f\u00fcr 120 bis 180 Sekunden blockiert. HTTPS-Verbindungen, die auf \u00e4lteren TLS-Versionen und TLS 1.3 ohne ESNI basieren, werden wie gewohnt durchgelassen. <\/p>\n

Wie bereits erw\u00e4hnt, wurde zur Organisation des Betriebs mehrerer HTTPS-Websites unter einer IP-Adresse die SNI-Erweiterung entwickelt, die den Hostnamen im Klartext in der ClientHello-Nachricht \u00fcbertr\u00e4gt, bevor ein verschl\u00fcsselter Kommunikationskanal eingerichtet wird. Diese Besonderheit erm\u00f6glicht es dem Internetanbieter, den HTTPS-Verkehr selektiv zu filtern und zu analysieren, welche Websites der Benutzer aufruft, was vollst\u00e4ndige Vertraulichkeit bei der Verwendung von HTTPS nicht erm\u00f6glicht.<\/p>\n

Die neue TLS-Erweiterung ECH (ehemals ESNI), die zusammen mit TLS 1.3 verwendet werden kann, beseitigt dieses Problem und schlie\u00dft vollst\u00e4ndig die Offenlegung von Informationen \u00fcber die angeforderte Website bei der Analyse von HTTPS-Verbindungen aus. In Kombination mit dem Zugriff \u00fcber ein Content Delivery Network erm\u00f6glicht die Verwendung von ECH\/ESNI auch, die IP-Adresse der angeforderten Ressource vor dem Anbieter zu verbergen. Traffic-Inspektionssysteme sehen nur Anfragen an das CDN und k\u00f6nnen ohne Umstellung der TLS-Sitzung keine Blockierung anwenden, wobei dem Benutzer im Browser eine entsprechende Benachrichtigung \u00fcber den Austausch des Zertifikats angezeigt wird. Ein m\u00f6glicher Leckkanal bleibt DNS, aber um Anfragen an DNS durch den Client zu verbergen, kann DNS-over-HTTPS oder DNS-over-TLS verwendet werden.<\/p>\n

Forscher haben bereits entdeckten<\/a><\/noindex> einige Umgehungsm\u00f6glichkeiten zur Umgehung der chinesischen Sperre auf der Client- und Server-Seite, aber sie k\u00f6nnten an Relevanz verlieren und sollten nur als vor\u00fcbergehende Ma\u00dfnahmen betrachtet werden. Zum Beispiel werden derzeit nur Pakete mit der Erweiterungs-ID ESNI 0xffce (encrypted_server_name) blockiert, die in der f\u00fcnften Entwurfsversion des Standards<\/a><\/noindex>, aber Pakete mit der g\u00fcltigen ID 0xff02 (encrypted_client_hello), die in dem siebten Entwurf der ECH-Spezifikation<\/a><\/noindex>. <\/p>\n

ausgelassen werden. Eine weitere M\u00f6glichkeit zur Umgehung ist die Verwendung eines nicht standardm\u00e4\u00dfigen Verbindungsaufbauprozesses, beispielsweise wird die Sperre nicht aktiviert, wenn zuvor ein zus\u00e4tzlicher SYN-Paket mit einer falschen Sequenznummer gesendet wird, durch Manipulation der Fragmentierungsflags von Paketen, das Senden eines Pakets mit gleichzeitig gesetzten FIN- und SYN-Flags, das Ersetzen eines RST-Pakets mit einer fehlerhaften Pr\u00fcfziffer oder das Senden eines Pakets mit SYN- und ACK-Flags vor Beginn des Verbindungsaufbaus. Die beschriebenen Methoden wurden bereits in Form eines Plugins f\u00fcr das Toolkit Genf<\/a><\/noindex>, der von<\/a><\/noindex> zur Umgehung von Zensurm\u00f6glichkeiten implementiert.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u0438\u0442\u0430\u0439 \u0432\u043d\u0435\u0434\u0440\u0438\u043b \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0443 \u0432\u0441\u0435\u0445 HTTPS-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b TLS 1.3 \u0438 TLS-\u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 ESNI (Encrypted Server Name Indication), \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u044e\u0449\u0435\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u0445\u043e\u0441\u0442\u0435. \u0411\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0430 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0430 \u0442\u0440\u0430\u043d\u0437\u0438\u0442\u043d\u044b\u0445 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u0430\u0445 \u043a\u0430\u043a \u0434\u043b\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u0438\u0437 \u041a\u0438\u0442\u0430\u044f \u0432\u043e \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u043c\u0438\u0440, \u0442\u0430\u043a \u0438 \u0438\u0437 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u043c\u0438\u0440\u0430 \u0432 \u041a\u0438\u0442\u0430\u0439. \u0414\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u043d\u0438\u0435 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443, \u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-91188","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47China hat begonnen, HTTPS-Verbindungen, die mit TLS 1.3 und ESNI hergestellt werden, zu blockieren | ProHoster","description":"China hat","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0438\u0442\u0430\u0439 \u043d\u0430\u0447\u0430\u043b \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c HTTPS-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0435 \u0441 TLS 1.3 \u0438 ESNI | ProHoster","og:description":"\u041a\u0438\u0442\u0430\u0439 \u0432\u043d\u0435\u0434\u0440\u0438\u043b","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-09T11:42:21+00:00","article:modified_time":"2020-08-09T11:42:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91188","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:32:23","updated":"2022-09-28 04:45:43","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/91188","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=91188"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/91188\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=91188"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=91188"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=91188"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}