Elkezdődött a Szövetségi törvény "Az információról, informatikai technológiákról és az információk védelméről" módosításáról, amelyet a Digitális Fejlődési, Kommunikációs és Tömegtájékoztatási Minisztérium dolgozott ki. A törvényjavaslatban javasolják, hogy tiltsák meg az Oroszországi Föderáció területén az "olyan titkosító protokollok használatát, amelyek lehetővé teszik az Internet-oldal vagy webhely nevének (azonosítójának) elrejtését az interneten, az Oroszországi Föderáció jogszabályaiban meghatározott esetek kivételével."
A titkosító protokollok használatának tilalmának megsértése esetén javasolják az internetes erőforrás működésének felfüggesztését legkésőbb 1 (egy) munkanapon belül a jogsértés észlelését követően a kijelölt szövetségi végrehajtó hatóság által. A blokkolás fő célja a TLS-kiterjesztés (korábban ESNI néven ismert), amely a TLS 1.3-mal együtt használható és már Kínában. Mivel a törvényjavaslat megfogalmazása homályos és hiányzik a részletezés, az ECH/ESNI mellett formálisan gyakorlatilag bármilyen, a kommunikációs csatorna teljes titkosítását biztosító protokoll is blokkolás alá kerülhet, valamint a protokollok (DoH) és (DoT).
Ne feledjük, hogy az HTTPS-webhelyek többes IP-címen történő üzemeltetése érdekében egy ideig az SNI kiterjesztést dolgozták ki, amely a ClientHello üzenetben nyíltan továbbítja a hosztnevet a titkosított kommunikációs csatorna létrehozása előtt. Ez a jellemző lehetőséget ad az internet szolgáltató számára, hogy szelektíven szűrje az HTTPS-forgalmat és elemezze, hogy a felhasználó milyen webhelyeket látogat, ami nem biztosít teljes titkosságot az HTTPS alkalmazása során.
Az ECH/ESNI teljes mértékben megakadályozza a kérdéses weboldal információinak kiszivárgását a HTTPS kapcsolatok elemzésekor. A tartalomelosztó hálózaton (CDN) keresztüli hozzáféréssel kombinálva az ECH/ESNI alkalmazása szintén lehetővé teszi, hogy a szolgáltató elől elrejtsük a kért erőforrás IP-címét is — a forgalomellenőrző rendszerek csak a CDN-hez intézett kéréseket látják, és nem tudják blokkolni a TLS-munka kapcsolat megváltoztatása nélkül, amely esetében a felhasználó böngészőjében egy értesítés jelenik meg a tanúsítvány hamisításáról. Ha ECH/ESNI tilalmát vezetnék be a hasonló lehetőségek ellen, csak a tartalomelosztó hálózatok (CDN) hozzáférésének teljes korlátozása segíthet a blokkolás ellen, amelyek támogatják az ECH/ESNI-t, különben a blokkolás hatástalan lesz, és könnyen megkerülhetővé válik a CDN-en keresztül.
Az ECH/ESNI használatával a hosztnevet a SNI-hez hasonlóan a ClientHello üzenetben továbbítják, de az üzenetben továbbított adatok tartalma titkosítva van. A titkosításhoz egy titok szükséges, amelyet a szerver és az ügyfél kulcsainak alapján számítanak ki. A ECH/ESNI mező értékének dekódolásához ismerni kell az ügyfél vagy a szerver zártkulcsát (plusz a szerver vagy ügyfél nyilvános kulcsait). Az információk a szerver nyilvános kulcsáról a DNS-en keresztül, az ügyfél nyilvános kulcsáról pedig a ClientHello üzenetben kerülnek továbbításra. A dekódolás a TLS kapcsolat létesítése során megállapodott közös titok révén is lehetséges, amely csak az ügyfél és a szerver számára ismert.
Forrás: opennet.ru
