È iniziato del progetto di legge che modifica la Legge Federale "Sulle informazioni, sulle tecnologie dell'informazione e sulla protezione delle informazioni", sviluppato dal Ministero dello sviluppo digitale, delle comunicazioni e dei mass media. La legge propone di introdurre un divieto sull'uso, sul territorio della Federazione Russa, di "protocolli di crittografia che consentono di nascondere il nome (identificatore) della pagina Internet o del sito nella rete Internet, salvo nei casi previsti dalla legislazione della Federazione Russa."
Per la violazione del divieto sull'uso di protocolli di crittografia che consentono di nascondere il nome del sito, si propone di sospendere il funzionamento delle risorse Internet entro un giorno lavorativo dalla scoperta di tale violazione da parte dell'apposito organo federale esecutivo. L'obiettivo principale del blocco è l'estensione TLS (precedentemente nota come ESNI), che può essere utilizzata insieme a TLS 1.3 e già in Cina. Poiché le formulazioni nel disegno di legge sono vaghe e mancanti di specificità, oltre a ECH/ESNI, formalmente possono essere soggetti a blocco praticamente qualsiasi protocolli che forniscono una crittografia completa del canale di comunicazione, così come i protocolli (DoH) e (DoT).
Ricordiamo che per organizzare il funzionamento di più siti HTTPS su un unico indirizzo IP, in passato è stato sviluppato l'estensione SNI, che consente la trasmissione del nome host in chiaro nel messaggio ClientHello, inviato prima dell'instaurazione del canale di comunicazione crittografato. Questa caratteristica consente al provider di Internet di filtrare selettivamente il traffico HTTPS e analizzare quali siti visita l'utente, il che non permette di raggiungere la completa riservatezza quando si utilizza HTTPS.
ECH/ESNI elimina completamente la fuoriuscita di informazioni sul sito richiesto durante l'analisi delle connessioni HTTPS. In combinazione con la chiamata attraverso una rete di distribuzione dei contenuti, l'uso di ECH/ESNI consente anche di nascondere dall'operatore e l'indirizzo IP della risorsa richiesta: i sistemi di ispezione del traffico vedono solo le chiamate al CDN e non possono applicare il blocco senza sostituire la sessione TLS, nel caso in cui nel browser dell'utente venga mostrato il relativo avviso sulla sostituzione del certificato. In caso di introduzione del divieto su ECH/ESNI, solo un completo divieto di accesso alle reti di distribuzione dei contenuti (CDN) che supportano ECH/ESNI può aiutare a contrastare tale possibilità, altrimenti il blocco sarà inefficace e potrà essere facilmente aggirato tramite CDN.
Nell'uso di ECH/ESNI, il nome host, come in SNI, viene trasmesso nel messaggio ClientHello, ma il contenuto dei dati trasmessi in questo messaggio è crittografato. Per la crittografia viene utilizzato un segreto, calcolato sulla base delle chiavi del server e del cliente. Per decifrare il valore catturato o ricevuto del campo ECH/ESNI è necessario conoscere la chiave privata del cliente o del server (oltre alle chiavi pubbliche del server o del cliente). Le informazioni sulle chiavi pubbliche vengono trasmesse per la chiave del server nel DNS, mentre per la chiave del cliente nel messaggio ClientHello. La decifratura è possibile anche tramite un segreto condiviso concordato durante l'instaurazione della connessione TLS, noto solo al cliente e al server.
Fonte: opennet.ru
