Iniziato del progetto di legge per modifiche alla Legge Federale "Sull'informazione, le tecnologie informative e la protezione delle informazioni", sviluppato dal Ministero dello sviluppo digitale, delle comunicazioni e dei mass media. La legge propone di introdurre un divieto di utilizzo nel territorio della Federazione Russa "di protocolli di crittografia che consentono di nascondere il nome (identificatore) della pagina o del sito web su Internet, ad eccezione dei casi stabiliti dalla legislazione della Federazione Russa."
Per la violazione del divieto di utilizzo dei protocolli di crittografia che consentono di nascondere il nome del sito, si propone di sospendere il funzionamento della risorsa Internet entro e non oltre 1 (uno) giorno lavorativo dalla data di rilevamento della violazione da parte dell'autorità federale competente. L'obiettivo principale del blocco è l'estensione TLS (precedentemente nota come ESNI), che può essere utilizzata insieme al TLS 1.3 e che è già in Cina. Poiché le formulazioni nel progetto di legge sono vaghe e manca di concretezza, oltre a ECH/ESNI, praticamente qualsiasi protocollo che garantisca la crittografia completa del canale di comunicazione, così come i protocolli (DoH) e (DoT).
Ricordiamo che per organizzare il funzionamento di più siti HTTPS su un unico indirizzo IP, in passato è stata sviluppata un'estensione SNI, che consente di trasmettere il nome dell'host in chiaro nel messaggio ClientHello, inviato prima dell'instaurazione del canale di comunicazione crittografato. Tale caratteristica consente all'ISP di filtrare selettivamente il traffico HTTPS e analizzare quali siti visita l'utente, il che non consente di garantire una completa riservatezza nell'uso dell'HTTPS.
ECH/ESNI esclude completamente la fuoriuscita di informazioni sul sito richiesto durante l'analisi delle connessioni HTTPS. Combinato con le richieste tramite una rete di distribuzione dei contenuti, l'uso di ECH/ESNI consente anche di nascondere al provider l'indirizzo IP della risorsa richiesta: i sistemi di ispezione del traffico vedono solo le richieste al CDN e non possono imporre blocchi senza sostituire la sessione TLS, nel qual caso all'utente verrà mostrato un avviso corrispondente sulla sostituzione del certificato. In caso di divieto dell’ECH/ESNI per contrastare tale possibilità, può aiutare solo un divieto completo di accesso alle reti di distribuzione dei contenuti (CDN) che supportano ECH/ESNI; altrimenti, il blocco sarà inefficace e potrà essere facilmente bypassato attraverso il CDN.
Quando si utilizza ECH/ESNI, il nome host viene trasmesso nel messaggio ClientHello proprio come nel SNI, ma il contenuto dei dati trasmessi in questo messaggio è crittografato. Per la crittografia viene utilizzato un segreto calcolato basato sulle chiavi del server e del cliente. Per decrittografare il valore del campo ECH/ESNI intercettato o ricevuto, è necessario conoscere la chiave privata del client o del server (insieme alle chiavi pubbliche del server o del client). Le informazioni sulle chiavi pubbliche vengono trasmesse per la chiave del server in DNS, e per la chiave del client nel messaggio ClientHello. La decrittografia è possibile anche grazie a un segreto condiviso concordato durante l'instaurazione della connessione TLS, noto solo al client e al server.
Fonte: opennet.ru
