फ़ायरफ़ॉक्स और क्लाउडफ़ेयर HTTPS ट्रैफ़िक में डोमेन छिपाने के लिए ECH समर्थन सक्षम करते हैं

मोज़िला ने घोषणा की है कि वह फ़ायरफ़ॉक्स स्थिर उपयोगकर्ताओं के लिए ECH (एन्क्रिप्टेड क्लाइंट हैलो) तंत्र के लिए समर्थन सक्षम कर रहा है। यह ESNI (एन्क्रिप्टेड सर्वर नेम इंडिकेशन) तकनीक का एक विस्तार है और इसे TLS सत्र मापदंडों, जैसे कि अनुरोधित डोमेन नाम के बारे में जानकारी एन्क्रिप्ट करने के लिए डिज़ाइन किया गया है। प्रारंभ में, ECH के साथ काम करने के लिए कोड फ़ायरफ़ॉक्स 85 की रिलीज़ में जोड़ा गया था, लेकिन डिफ़ॉल्ट रूप से अक्षम था। क्रोम में, ECH समर्थन को धीरे-धीरे शामिल किया गया है, जो क्रोम 115 की रिलीज़ से शुरू हुआ है।

क्योंकि जुड़ने के अलावा सर्वर अनुरोधित डोमेन की जानकारी DNS के माध्यम से लीक हो जाती है। पूर्ण सुरक्षा के लिए, ECH के अतिरिक्त, आपको DNS ट्रैफ़िक को एन्क्रिप्ट करने के लिए DNS ओवर HTTPS या DNS ओवर TLS का उपयोग करना होगा। सेटिंग्स में DNS ओवर HTTPS को सक्षम किए बिना Firefox ECH का उपयोग नहीं करेगा। आप इस पृष्ठ पर अपने ब्राउज़र में ECH समर्थन की जाँच कर सकते हैं।

फ़ायरफ़ॉक्स द्वारा डिफ़ॉल्ट रूप से ECH समर्थन सक्षम करने के पीछे एक कारण यह था कि क्लाउडफ्लेयर ने कुछ दिन पहले अपने कंटेंट डिलीवरी नेटवर्क में ECH समर्थन सक्षम किया था। व्यावहारिक रूप से, चूंकि ECH का उपयोग करते समय अनुरोधित होस्ट के बारे में डेटा विश्लेषण से छिपा हुआ है, इसलिए क्लाउडफ्लेयर के CDN का उपयोग करके अवांछित साइटों को फ़िल्टर और ब्लॉक करने के लिए अब पूरे क्लाउडफ्लेयर नेटवर्क को ब्लॉक करना होगा, ECH के साथ सभी अनुरोधों को ब्लॉक करना होगा, या उपयोगकर्ता के सिस्टम पर नकली रूट प्रमाणपत्रों का उपयोग करके HTTPS अवरोधन का आयोजन करना होगा।

प्रारंभ में, SNI TLS एक्सटेंशन का उपयोग कई HTTPS साइटों के एक IP पते पर काम को व्यवस्थित करने के लिए किया गया था, जिसमें एन्क्रिप्टेड संचार चैनल स्थापित करने से पहले प्रेषित क्लाइंटहेलो संदेश में अनुरोधित होस्ट का नाम निर्दिष्ट किया गया था। इस सुविधा ने कनेक्शन प्रसंस्करण के शुरुआती चरण में वर्चुअल होस्ट के बीच अनुरोधों को वितरित करना संभव बना दिया, लेकिन इंटरनेट प्रदाता को चुनिंदा HTTPS ट्रैफ़िक को फ़िल्टर करने और उपयोगकर्ता द्वारा खोली गई साइटों का विश्लेषण करने की भी अनुमति दी, जिससे HTTPS का उपयोग करते समय पूर्ण गोपनीयता प्राप्त करना संभव नहीं हो पाया।

इस समस्या को हल करने और अनुरोधित साइट के बारे में जानकारी के रिसाव को रोकने के लिए, बाद में ESNI एक्सटेंशन का प्रस्ताव रखा गया, जो होस्ट नाम के साथ डेटा के एन्क्रिप्शन को लागू करता है। ESNI के कार्यान्वयन के दौरान, यह पाया गया कि प्रस्तावित तंत्र होस्ट डेटा रिसाव के सभी संभावित स्रोतों को कवर नहीं करता है और HTTPS सत्रों की पूर्ण गोपनीयता सुनिश्चित करने के लिए इसका उपयोग अपर्याप्त है। विशेष रूप से, पहले से स्थापित सत्र को फिर से शुरू करते समय, PSK (प्री-शेयर्ड की) TLS एक्सटेंशन के मापदंडों के बीच स्पष्ट पाठ में डोमेन नाम निर्दिष्ट किया जाना जारी रहा। इसके अलावा, ESNI को लागू करने के प्रयासों ने संगतता और स्केलिंग मुद्दों को उजागर किया जिसने ESNI के व्यापक वितरण को रोका।

ESNI की पहचान की गई कमियों को ध्यान में रखते हुए, एक नया सार्वभौमिक तंत्र ECH विकसित किया गया, जो किसी भी TLS एक्सटेंशन के मापदंडों को एन्क्रिप्ट करने की अनुमति देता है। तकनीकी रूप से, ECH और ESNI के बीच मुख्य अंतर यह है कि अलग-अलग फ़ील्ड के बजाय, संपूर्ण क्लाइंटहेलो संदेश एक बार में एन्क्रिप्ट किया जाता है। ECH में क्लाइंटहेलो को दो अलग-अलग संदेशों में विभाजित करना शामिल है - एक एन्क्रिप्टेड क्लाइंटहेलोइनर (SNI इनर) संदेश और एक अनएन्क्रिप्टेड बेस क्लाइंटहेलोआउटर (SNI आउटर) संदेश। अनएन्क्रिप्टेड SNI आउटर गैर-संवेदनशील डेटा, जैसे कि TLS संस्करण और उपयोग किए गए सिफर की सूची, साथ ही एक सामान्य डोमेन नाम प्रसारित करता है जो अनुरोधित डोमेन के वास्तविक नाम के साथ ओवरलैप नहीं होता है। उदाहरण के लिए, सभी Cloudflare क्लाइंट के लिए, अनएन्क्रिप्टेड SNI आउटर सामान्य होस्ट "cloudflare-ech.com" निर्दिष्ट करता है, और अनुरोधित होस्ट का वास्तविक नाम एन्क्रिप्टेड SNI इनर में प्रसारित होता है और विश्लेषण के लिए उपलब्ध नहीं होता है।

ECH एक अलग एन्क्रिप्शन कुंजी वितरण योजना का उपयोग करता है: सार्वजनिक कुंजी की जानकारी TXT रिकॉर्ड के बजाय HTTPSSVC DNS रिकॉर्ड में भेजी जाती है। कुंजी प्राप्त करने और उसे एन्क्रिप्ट करने के लिए HPKE (हाइब्रिड पब्लिक की एन्क्रिप्शन) तंत्र पर आधारित प्रमाणित एंड-टू-एंड एन्क्रिप्शन का उपयोग किया जाता है। ECH सर्वर से सुरक्षित कुंजी पुनःप्रेषण का भी समर्थन करता है, जिसका उपयोग कुंजी रोटेशन की स्थिति में किया जा सकता है। सर्वर और DNS कैश से पुरानी कुंजियों को पुनर्प्राप्त करने में आने वाली समस्याओं को हल करने के लिए।

स्रोत: opennet.ru