{"id":91188,"date":"2020-08-09T13:42:21","date_gmt":"2020-08-09T11:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni"},"modified":"2020-08-09T13:42:21","modified_gmt":"2020-08-09T11:42:21","slug":"kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni","title":{"rendered":"China ha comenzado a bloquear conexiones HTTPS establecidas con TLS 1.3 y ESNI","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

China implement\u00f3<\/a><\/noindex> el bloqueo<\/a><\/noindex> de todas las conexiones HTTPS que utilizan el protocolo TLS 1.3 y la extensi\u00f3n TLS ESNI (Encrypted Server Name Indication), que proporciona cifrado de datos sobre el host solicitado. El bloqueo se lleva a cabo en los enrutadores de tr\u00e1nsito tanto para las conexiones establecidas desde China hacia el mundo exterior, como desde el mundo exterior hacia China.<\/p>\n

Para el bloqueo, se realiza el descarte de paquetes desde el cliente hacia el servidor, y no la inserci\u00f3n de paquetes con la bandera RST, como se hac\u00eda anteriormente con el bloqueo selectivo basado en el contenido del SNI. Despu\u00e9s de que se activa el bloqueo de un paquete con ESNI, durante un per\u00edodo de entre 120 y 180 segundos, tambi\u00e9n se bloquean todos los paquetes de red correspondientes a la relaci\u00f3n entre la IP de origen, la IP de destino y el n\u00famero de puerto de destino. Las conexiones HTTPS basadas en versiones anteriores de TLS y TLS 1.3 sin ESNI se permiten normalmente. <\/p>\n

Recordemos que para organizar el funcionamiento de varios sitios HTTPS en una misma direcci\u00f3n IP, se desarroll\u00f3 la extensi\u00f3n SNI, que transmite el nombre del host en texto claro en el mensaje ClientHello, el cual se env\u00eda antes de establecer el canal de comunicaci\u00f3n cifrado. Esta caracter\u00edstica permite al proveedor de internet filtrar selectivamente el tr\u00e1fico HTTPS y analizar qu\u00e9 sitios visita el usuario, lo que impide lograr una completa confidencialidad al usar HTTPS.<\/p>\n

La nueva extensi\u00f3n TLS ECH (anteriormente ESNI), que puede ser utilizada junto con TLS 1.3, elimina esta desventaja y excluye completamente la filtraci\u00f3n de informaci\u00f3n sobre el sitio solicitado durante el an\u00e1lisis de conexiones HTTPS. Junto con el uso de una red de entrega de contenido, la implementaci\u00f3n de ECH\/ESNI tambi\u00e9n permite ocultar al proveedor y la direcci\u00f3n IP del recurso solicitado. Los sistemas de inspecci\u00f3n de tr\u00e1fico solo ver\u00e1n las solicitudes al CDN y no podr\u00e1n imponer bloqueos sin reemplazar la sesi\u00f3n TLS, en cuyo caso el navegador del usuario mostrar\u00e1 una notificaci\u00f3n correspondiente sobre el cambio de certificado. Un posible canal de filtraci\u00f3n sigue siendo DNS, pero para ocultar la solicitud a DNS, el cliente puede utilizar DNS-over-HTTPS o DNS-over-TLS.<\/p>\n

Los investigadores ya detectaron<\/a><\/noindex> hay varias formas de eludir la censura china desde el lado del cliente y del servidor, pero pueden volverse obsoletas y deben considerarse solo como medidas temporales. Por ejemplo, actualmente se bloquean solo los paquetes con el identificador de extensi\u00f3n ESNI 0xffce (encrypted_server_name), que se utiliz\u00f3 en la quinta versi\u00f3n del borrador del est\u00e1ndar<\/a><\/noindex>, pero los paquetes con el identificador actual 0xff02 (encrypted_client_hello), propuesto en el s\u00e9ptimo borrador de la especificaci\u00f3n ECH<\/a><\/noindex>. <\/p>\n

Otra opci\u00f3n de elusi\u00f3n es utilizar un proceso de negociaci\u00f3n de conexi\u00f3n no est\u00e1ndar, por ejemplo, el bloqueo no se activa cuando se env\u00eda previamente un paquete SYN adicional con un n\u00famero de secuencia incorrecto, manipulando las banderas de fragmentaci\u00f3n de paquetes, enviando un paquete con las banderas FIN y SYN establecidas simult\u00e1neamente, inyectando un paquete RST con un checksum incorrecto o enviando antes de la negociaci\u00f3n de la conexi\u00f3n un paquete con las banderas SYN y ACK. Los m\u00e9todos descritos ya se han implementado en forma de un complemento para la herramienta Ginebra<\/a><\/noindex>, desarrollado<\/a><\/noindex> para eludir los m\u00e9todos de censura.<\/p>\n

<\/a><\/noindex><\/p>\n

Fuente: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u0438\u0442\u0430\u0439 \u0432\u043d\u0435\u0434\u0440\u0438\u043b \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0443 \u0432\u0441\u0435\u0445 HTTPS-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b TLS 1.3 \u0438 TLS-\u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 ESNI (Encrypted Server Name Indication), \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u044e\u0449\u0435\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u0435\u043c\u043e\u043c \u0445\u043e\u0441\u0442\u0435. \u0411\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0430 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0430 \u0442\u0440\u0430\u043d\u0437\u0438\u0442\u043d\u044b\u0445 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u0430\u0445 \u043a\u0430\u043a \u0434\u043b\u044f \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u0438\u0437 \u041a\u0438\u0442\u0430\u044f \u0432\u043e \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u043c\u0438\u0440, \u0442\u0430\u043a \u0438 \u0438\u0437 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u043c\u0438\u0440\u0430 \u0432 \u041a\u0438\u0442\u0430\u0439. \u0414\u043b\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043e\u0442\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u043d\u0438\u0435 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443, \u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-91188","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 China ha comenzado a bloquear conexiones HTTPS establecidas con TLS 1.3 y ESNI | ProHoster","description":"China ha implementado","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0438\u0442\u0430\u0439 \u043d\u0430\u0447\u0430\u043b \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c HTTPS-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0435 \u0441 TLS 1.3 \u0438 ESNI | ProHoster","og:description":"\u041a\u0438\u0442\u0430\u0439 \u0432\u043d\u0435\u0434\u0440\u0438\u043b","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/kitaj-nachal-blokirovat-https-soedineniya-ustanavlivaemye-s-tls-1-3-i-esni","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-09T11:42:21+00:00","article:modified_time":"2020-08-09T11:42:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91188","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:32:23","updated":"2022-09-28 04:45:43","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/91188","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=91188"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/91188\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=91188"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=91188"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=91188"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}