Firefox અને Cloudflare HTTPS ટ્રાફિકમાં ડોમેન છુપાવવા માટે ECH સપોર્ટને સક્ષમ કરે છે

Mozilla એ ECH (એન્ક્રિપ્ટેડ ક્લાયંટ હેલો) મિકેનિઝમ માટે ફાયરફોક્સની સ્થિર શાખાના વપરાશકર્તાઓ માટે સમર્થનનો સમાવેશ કરવાની જાહેરાત કરી છે, જે ESNI (એનક્રિપ્ટેડ સર્વર નેમ ઇન્ડિકેશન) ટેક્નોલોજીના વિકાસને ચાલુ રાખે છે અને TLS સત્રોના પરિમાણો વિશેની માહિતીને એન્ક્રિપ્ટ કરવા માટે રચાયેલ છે. , જેમ કે વિનંતી કરેલ ડોમેન નામ. ECH સાથે કામ કરવા માટેનો કોડ મૂળરૂપે Firefox 85 રિલીઝમાં ઉમેરવામાં આવ્યો હતો, પરંતુ ડિફોલ્ટ રૂપે અક્ષમ કરવામાં આવ્યો હતો. ક્રોમે ધીમે ધીમે ક્રોમ 115 ના પ્રકાશન સાથે શરૂ કરીને ECH સપોર્ટનો સમાવેશ કરવાનું શરૂ કર્યું.

કારણ કે સાથે જોડાવા ઉપરાંત સર્વર વિનંતી કરેલ ડોમેન માહિતી DNS દ્વારા લીક થાય છે. સંપૂર્ણ સુરક્ષા માટે, ECH ઉપરાંત, તમારે DNS ટ્રાફિકને એન્ક્રિપ્ટ કરવા માટે HTTPS પર DNS અથવા TLS પર DNS નો ઉપયોગ કરવો આવશ્યક છે. સેટિંગ્સમાં HTTPS પર DNS સક્ષમ કર્યા વિના Firefox ECH નો ઉપયોગ કરશે નહીં. તમે આ પૃષ્ઠ પર તમારા બ્રાઉઝરમાં ECH સપોર્ટ ચકાસી શકો છો.

ફાયરફોક્સમાં ડિફોલ્ટ રૂપે ECH સપોર્ટને સક્ષમ કરનારા પરિબળો પૈકી એક ક્લાઉડફ્લેર દ્વારા થોડા દિવસો પહેલા તેના સામગ્રી વિતરણ નેટવર્કમાં ECH સપોર્ટનો સમાવેશ કરવામાં આવ્યો હતો. વ્યવહારુ બાજુએ, ECH નો ઉપયોગ કરતી વખતે વિનંતી કરેલ હોસ્ટ્સ વિશેનો ડેટા વિશ્લેષણથી છુપાયેલો હોવાથી, Cloudflare CDN નો ઉપયોગ કરીને અનિચ્છનીય સાઇટ્સને ફિલ્ટર કરવા અને અવરોધિત કરવા માટે હવે સમગ્ર Cloudflare નેટવર્કને અવરોધિત કરવું, ECH તરફથી તમામ વિનંતીઓને અવરોધિત કરવી અથવા નકલી રૂટ પ્રમાણપત્રોનો ઉપયોગ કરીને HTTPS ઇન્ટરસેપ્શનનું આયોજન કરવું પડશે. વપરાશકર્તા સિસ્ટમ પર.

શરૂઆતમાં, ઘણી HTTPS સાઇટ્સના એક IP સરનામાં પર કાર્ય ગોઠવવા માટે, TLS એક્સ્ટેંશન SNI નો ઉપયોગ કરવામાં આવ્યો હતો, જેમાં વિનંતી કરેલ હોસ્ટનું નામ એન્ક્રિપ્ટેડ સંચાર ચેનલ સ્થાપિત કરતા પહેલા પ્રસારિત ક્લાયંટહેલો સંદેશમાં સૂચવવામાં આવ્યું હતું. આ સુવિધાએ કનેક્શન પ્રોસેસિંગના પ્રારંભિક તબક્કામાં વર્ચ્યુઅલ હોસ્ટ પર વિનંતીઓનું વિતરણ કરવાનું શક્ય બનાવ્યું, પરંતુ ISP બાજુએ HTTPS ટ્રાફિકને પસંદગીપૂર્વક ફિલ્ટર કરવાનું અને વપરાશકર્તા કઈ સાઇટ્સ ખોલે છે તેનું વિશ્લેષણ કરવાનું પણ શક્ય બનાવ્યું, જેણે ઉપયોગ કરતી વખતે સંપૂર્ણ ગોપનીયતા પ્રાપ્ત કરવાની મંજૂરી આપી ન હતી. HTTPS.

આ સમસ્યાને ઉકેલવા અને વિનંતી કરેલ સાઇટ વિશેની માહિતીના લીકેજને રોકવા માટે, પાછળથી ESNI એક્સ્ટેંશનની દરખાસ્ત કરવામાં આવી હતી જે હોસ્ટના નામ સાથે ડેટા એન્ક્રિપ્શનનો અમલ કરે છે. ESNI ના અમલીકરણ દરમિયાન, તે બહાર આવ્યું હતું કે સૂચિત પદ્ધતિ હોસ્ટ ડેટા લીકેજના તમામ સંભવિત સ્ત્રોતોને આવરી લેતી નથી અને તેનો ઉપયોગ HTTPS સત્રોની સંપૂર્ણ ગુપ્તતા સુનિશ્ચિત કરવા માટે પૂરતો નથી. ખાસ કરીને, અગાઉ સ્થાપિત સત્ર ફરી શરૂ કરતી વખતે, સ્પષ્ટ લખાણમાં ડોમેન નામ PSK (પ્રી-શેર્ડ કી) TLS એક્સ્ટેંશનના પરિમાણો વચ્ચે સ્પષ્ટ કરવાનું ચાલુ રાખ્યું. વધુમાં, ESNI ને લાગુ કરવાના પ્રયાસોએ સુસંગતતા અને સ્કેલિંગ મુદ્દાઓને ઓળખી કાઢ્યા છે જેણે ESNI ને વ્યાપકપણે અપનાવતા અટકાવ્યા છે.

ESNI ની ઓળખાયેલી ખામીઓને ધ્યાનમાં લઈને, એક નવી સાર્વત્રિક ECH મિકેનિઝમ વિકસાવવામાં આવી હતી જે કોઈપણ TLS એક્સ્ટેંશનના પરિમાણોને એન્ક્રિપ્શન કરવાની મંજૂરી આપે છે. તકનીકી રીતે, ECH અને ESNI વચ્ચેનો મુખ્ય તફાવત એ છે કે વ્યક્તિગત ક્ષેત્રોને બદલે, સમગ્ર ClientHello સંદેશ એક જ સમયે એનક્રિપ્ટ થયેલ છે. ECH માં ClientHello ને બે અલગ-અલગ સંદેશાઓમાં વિભાજીત કરવાનો સમાવેશ થાય છે - એનક્રિપ્ટેડ ClientHelloInner સંદેશ (SNI Inner) અને અનએન્ક્રિપ્ટેડ અંતર્ગત ClientHelloOuter સંદેશ (SNI આઉટર). બિન-એન્ક્રિપ્ટેડ SNI આઉટર બિન-ગોપનીયતા ડેટા ધરાવે છે જેમ કે TLS સંસ્કરણ અને ઉપયોગમાં લેવાતા સાઇફર્સની સૂચિ, તેમજ સામાન્ય ડોમેન નામ કે જે વિનંતી કરેલ ડોમેનના વાસ્તવિક નામ સાથે ઓવરલેપ થતું નથી. ઉદાહરણ તરીકે, બધા ક્લાઉડફ્લેર ક્લાયન્ટ્સ માટે, અનએન્ક્રિપ્ટેડ SNI આઉટર સામાન્ય હોસ્ટ "cloudflare-ech.com" નો ઉલ્લેખ કરે છે, પરંતુ વિનંતી કરેલ હોસ્ટનું વાસ્તવિક નામ એનક્રિપ્ટેડ SNI ઇનરમાં પ્રસારિત થાય છે અને તે વિશ્લેષણ માટે ઉપલબ્ધ નથી.

ECH એક અલગ એન્ક્રિપ્શન કી વિતરણ યોજનાનો પણ ઉપયોગ કરે છે: જાહેર કી માહિતી TXT રેકોર્ડ્સને બદલે HTTPSSVC DNS રેકોર્ડ્સમાં પ્રસારિત થાય છે. HPKE (હાઇબ્રિડ પબ્લિક કી એન્ક્રિપ્શન) મિકેનિઝમ પર આધારિત પ્રમાણિત એન્ડ-ટુ-એન્ડ એન્ક્રિપ્શનનો ઉપયોગ કી મેળવવા અને એન્ક્રિપ્ટ કરવા માટે થાય છે. ECH સર્વરમાંથી સુરક્ષિત કી રીટ્રાન્સમિશનને પણ સપોર્ટ કરે છે, જેનો ઉપયોગ કી રોટેશનની સ્થિતિમાં થઈ શકે છે. સર્વર અને DNS કેશમાંથી જૂની કી મેળવવાની સમસ્યાઓ ઉકેલવા માટે.

સોર્સ: opennet.ru