चीन ने टीएलएस 1.3 और ईएसएनआई के साथ स्थापित HTTPS कनेक्शन को ब्लॉक करना शुरू कर दिया है

चीन कार्यान्वित ताला सभी HTTPS कनेक्शन जो TLS 1.3 प्रोटोकॉल और ESNI (एन्क्रिप्टेड सर्वर नेम इंडिकेशन) TLS एक्सटेंशन का उपयोग करते हैं, जो अनुरोधित होस्ट के बारे में डेटा का एन्क्रिप्शन प्रदान करता है। चीन से बाहरी दुनिया और बाहरी दुनिया से चीन तक स्थापित कनेक्शन दोनों के लिए ट्रांजिट राउटर्स पर ब्लॉकिंग की जाती है।

ब्लॉकिंग क्लाइंट से सर्वर पर पैकेट गिराकर की जाती है, न कि आरएसटी पैकेट प्रतिस्थापन जो पहले एसएनआई सामग्री-चयनात्मक ब्लॉकिंग द्वारा किया जाता था। ईएसएनआई के साथ एक पैकेट को ब्लॉक करने के बाद, स्रोत आईपी, गंतव्य आईपी और गंतव्य पोर्ट नंबर के संयोजन के अनुरूप सभी नेटवर्क पैकेट भी 120 से 180 सेकंड के लिए अवरुद्ध हो जाते हैं। ईएसएनआई के बिना टीएलएस और टीएलएस 1.3 के पुराने संस्करणों पर आधारित HTTPS कनेक्शन को हमेशा की तरह अनुमति दी जाती है।

आइए याद रखें कि कई HTTPS साइटों के एक आईपी पते पर काम को व्यवस्थित करने के लिए, एसएनआई एक्सटेंशन विकसित किया गया था, जो एन्क्रिप्टेड संचार चैनल स्थापित करने से पहले प्रेषित क्लाइंटहेलो संदेश में स्पष्ट पाठ में होस्ट नाम प्रसारित करता है। यह सुविधा इंटरनेट प्रदाता की ओर से HTTPS ट्रैफ़िक को चुनिंदा रूप से फ़िल्टर करना और यह विश्लेषण करना संभव बनाती है कि उपयोगकर्ता कौन सी साइटें खोलता है, जो HTTPS का उपयोग करते समय पूर्ण गोपनीयता प्राप्त करने की अनुमति नहीं देता है।

नया टीएलएस एक्सटेंशन ईसीएच (पूर्व में ईएसएनआई), जिसका उपयोग टीएलएस 1.3 के संयोजन में किया जा सकता है, इस कमी को दूर करता है और HTTPS कनेक्शन का विश्लेषण करते समय अनुरोधित साइट के बारे में जानकारी के रिसाव को पूरी तरह से समाप्त करता है। सामग्री वितरण नेटवर्क के माध्यम से पहुंच के संयोजन में, ईसीएच/ईएसएनआई का उपयोग प्रदाता से अनुरोधित संसाधन के आईपी पते को छिपाना भी संभव बनाता है। ट्रैफ़िक निरीक्षण सिस्टम केवल सीडीएन के लिए अनुरोध देखेंगे और टीएलएस सत्र स्पूफिंग के बिना ब्लॉकिंग लागू करने में सक्षम नहीं होंगे, जिस स्थिति में प्रमाणपत्र स्पूफिंग के बारे में एक संबंधित अधिसूचना उपयोगकर्ता के ब्राउज़र में दिखाई जाएगी। डीएनएस एक संभावित लीक चैनल बना हुआ है, लेकिन क्लाइंट द्वारा डीएनएस पहुंच को छिपाने के लिए क्लाइंट डीएनएस-ओवर-एचटीटीपीएस या डीएनएस-ओवर-टीएलएस का उपयोग कर सकता है।

शोधकर्ता पहले ही कर चुके हैं दिखाया गया क्लाइंट और सर्वर साइड पर चीनी ब्लॉक को बायपास करने के लिए कई समाधान हैं, लेकिन वे अप्रासंगिक हो सकते हैं और उन्हें केवल एक अस्थायी उपाय के रूप में माना जाना चाहिए। उदाहरण के लिए, वर्तमान में केवल ESNI एक्सटेंशन आईडी 0xffce (एन्क्रिप्टेड_सर्वर_नाम) वाले पैकेट, जिसका उपयोग किया गया था मसौदा मानक का पाँचवाँ संस्करण, लेकिन अभी के लिए वर्तमान पहचानकर्ता 0xff02 (एन्क्रिप्टेड_क्लाइंट_हैलो) वाले पैकेट प्रस्तावित हैं ईसीएच विनिर्देश का सातवां मसौदा.

एक अन्य समाधान एक गैर-मानक कनेक्शन बातचीत प्रक्रिया का उपयोग करना है, उदाहरण के लिए, यदि गलत अनुक्रम संख्या वाला एक अतिरिक्त SYN पैकेट पहले से भेजा जाता है, तो ब्लॉक करना काम नहीं करता है, पैकेट विखंडन झंडे के साथ हेरफेर, FIN और SYN दोनों के साथ एक पैकेट भेजना फ़्लैग सेट करना, गलत नियंत्रण मात्रा के साथ RST पैकेट का प्रतिस्थापन या SYN और ACK फ़्लैग के साथ पैकेट कनेक्शन वार्ता शुरू होने से पहले भेजना। वर्णित विधियों को टूलकिट के लिए प्लगइन के रूप में पहले ही लागू किया जा चुका है जिनेवा, विकसित सेंसरिंग तरीकों को बायपास करने के लिए।

स्रोत: opennet.ru