Venemaal plaanitakse keelata protokollid, mis võimaldavad peita veebisaidi nime

Alustas avalik arutelu õigusakti eelnõust, mis muudab Föderaalse seaduse "Teabe, teabe tehnoloogiate ja teabe kaitse kohta", mille on välja töötanud Digitaarse Arengu, Side ja Massikommunikatsioonide Ministeerium. Seaduses on ettepanek keelata Venemaa Föderatsiooni territooriumil "šifreerimisprotokollide kasutamine, mis võimaldavad varjata Interneti-lehe või saidi nime (tuvastajat), välja arvatud seaduses sätestatud juhtudel Venemaa Föderatsioonis."

Šifreerimisprotokollide kasutamise keelu rikkumise korral on ettepanek peatada Interneti-ressursi toimimine hiljemalt 1 (ühe) tööpäeva jooksul alates selle rikkumise tuvastamisest volitatud föderaalse täitevvõimu organi poolt. Peamine eesmärk on TLS-laienduse blokeerimine ECH (varem tuntud kui ESNI), mida saab kasutada koos TLS 1.3 ja juba blokeeritud Hiinas. Kuna seaduseelnõu sõnastus on ebaselge ja puudub konkreetsus, võivad ECH/ESNI kõrval formaalselt blokeeritud olla praktiliselt kõik protokollid, mis tagavad kanali täiesti krüpteerimise, samuti protokollid DNS HTTPS-i kaudu (DoH) ja DNS TLS-i kaudu (DoT).

Tuletame meelde, et mitme HTTPS-saiaga töötamiseks ühe IP-aadressi peal on kunagi välja töötatud SNI-laiend, mis edastab hostinime avatud kujul ClientHello sõnumis, mis saadetakse enne krüpteeritud sidekanali loomist. Selline omadus võimaldab internetiteenuse pakkujal valikuliselt filtreerida HTTPS-i liiklust ja analüüsida, milliseid saite kasutaja avab, mis ei võimalda saavutada täielikku konfidentsiaalsust HTTPS-i kasutamisel.

ECH/ESNI välistab täielikult teabe leket nõutava saidi kohta HTTPS-ühenduste analüüsimisel. Koos sisuloomevõrkude (CDN) kasutamisega võimaldab ECH/ESNI varjata ka teenusepakkuja juures nõutava ressursi IP-aadressi — liiklust jälgivad süsteemid näevad ainult sisuloomevõrku ja ei saa rakendada blokeerimist ilma TLS-seansi petmiseta, mille korral kuvatakse kasutaja brauseris vastav teade sertifikaadi petmise kohta. ECH/ESNI kehtestatud keelu korral võib sarnase võimaluse vastu aidata vaid täielik juurdepääsu piiramine CDN-idele, mis toetavad ECH/ESNI, vastasel juhul on blokeerimine ebaefektiivne ja seda saab hõlpsasti kõrvale hiilida CDN-i abil.

ECH/ESNI kasutamisel edastatakse hostinimi nagu ka SNI-s ClientHello sõnumis, kuid edastatavate andmete sisu on krüpteeritud. Krüpteerimiseks kasutatakse saladust, mis on arvutatud serveri ja kliendi võtmete põhjal. ECH/ESNI väljaande või saadud väärtuse väljavõtte dekrüpteerimiseks on vajalik teada kliendi või serveri privaatvõtit (pluss serveri või kliendi avalikud võtmed). Avalike võtmete teave edastatakse serveri võtme jaoks DNS-is ja kliendi võtme jaoks ClientHello sõnumis. Dekrüpteerimine on võimalik ka TLS-ühenduse loomise protsessi käigus kokku leppitud ühiselt tuntud saladuse abil, mis on tuntud ainult kliendi ja serveri vahel.

Allikas: opennet.ru