ប្រទេសចិនបានចាប់ផ្តើមបិទការភ្ជាប់ HTTPS ដែលបង្កើតឡើងដោយ TLS 1.3 និង ESNI

ចិន បានអនុវត្ត រារាំង ការភ្ជាប់ HTTPS ទាំងអស់ដែលប្រើពិធីការ TLS 1.3 និងផ្នែកបន្ថែម ESNI (Encrypted Server Name Indication) TLS ដែលផ្តល់ការអ៊ិនគ្រីបទិន្នន័យអំពីម៉ាស៊ីនដែលបានស្នើសុំ។ ការទប់ស្កាត់ត្រូវបានអនុវត្តនៅលើរ៉ោតទ័រឆ្លងកាត់ទាំងសម្រាប់ការតភ្ជាប់ដែលបានបង្កើតឡើងពីប្រទេសចិនទៅកាន់ពិភពខាងក្រៅ និងពីពិភពខាងក្រៅទៅកាន់ប្រទេសចិន។

ការទប់ស្កាត់ត្រូវបានធ្វើឡើងដោយទម្លាក់កញ្ចប់ព័ត៌មានពីម៉ាស៊ីនភ្ញៀវទៅម៉ាស៊ីនមេ ជាជាងការជំនួសកញ្ចប់ព័ត៌មាន RST ដែលត្រូវបានអនុវត្តពីមុនដោយការទប់ស្កាត់ការជ្រើសរើសមាតិកា SNI ។ បន្ទាប់ពីការទប់ស្កាត់កញ្ចប់ព័ត៌មានជាមួយ ESNI ត្រូវបានកេះ កញ្ចប់បណ្តាញទាំងអស់ដែលត្រូវគ្នានឹងការរួមបញ្ចូលគ្នានៃ IP ប្រភព IP គោលដៅ និងលេខច្រកគោលដៅក៏ត្រូវបានបិទក្នុងរយៈពេល 120 ទៅ 180 វិនាទីផងដែរ។ ការតភ្ជាប់ HTTPS ផ្អែកលើកំណែចាស់នៃ TLS និង TLS 1.3 ដោយគ្មាន ESNI ត្រូវបានអនុញ្ញាតជាធម្មតា។

ចូរយើងរំលឹកថា ដើម្បីរៀបចំការងារនៅលើអាសយដ្ឋាន IP មួយនៃគេហទំព័រ HTTPS ជាច្រើន ផ្នែកបន្ថែម SNI ត្រូវបានបង្កើតឡើង ដែលបញ្ជូនឈ្មោះម៉ាស៊ីនជាអត្ថបទច្បាស់លាស់នៅក្នុងសារ ClientHello ដែលបានបញ្ជូន មុនពេលបង្កើតបណ្តាញទំនាក់ទំនងដែលបានអ៊ិនគ្រីប។ លក្ខណៈពិសេសនេះធ្វើឱ្យវាអាចធ្វើទៅបាននៅខាងអ្នកផ្តល់សេវាអ៊ីនធឺណិតដើម្បីជ្រើសរើសចរាចរ HTTPS និងវិភាគគេហទំព័រណាដែលអ្នកប្រើប្រាស់បើក ដែលមិនអនុញ្ញាតឱ្យសម្រេចបាននូវការសម្ងាត់ពេញលេញនៅពេលប្រើ HTTPS ។

ផ្នែកបន្ថែម TLS ECH ថ្មី (អតីត ESNI) ដែលអាចត្រូវបានប្រើរួមគ្នាជាមួយ TLS 1.3 លុបបំបាត់ការខ្វះខាតនេះ និងលុបបំបាត់ទាំងស្រុងនូវការលេចធ្លាយព័ត៌មានអំពីគេហទំព័រដែលបានស្នើសុំនៅពេលវិភាគការតភ្ជាប់ HTTPS ។ នៅក្នុងការរួមបញ្ចូលគ្នាជាមួយនឹងការចូលប្រើតាមរយៈបណ្តាញចែកចាយមាតិកា ការប្រើប្រាស់ ECH/ESNI ក៏ធ្វើឱ្យវាអាចលាក់អាសយដ្ឋាន IP នៃធនធានដែលបានស្នើសុំពីអ្នកផ្តល់សេវាផងដែរ។ ប្រព័ន្ធត្រួតពិនិត្យចរាចរណ៍នឹងឃើញតែសំណើទៅ CDN ប៉ុណ្ណោះ ហើយនឹងមិនអាចអនុវត្តការទប់ស្កាត់ដោយគ្មានការក្លែងបន្លំសម័យ TLS ទេ ក្នុងករណីនេះការជូនដំណឹងដែលត្រូវគ្នាអំពីការក្លែងបន្លំវិញ្ញាបនបត្រនឹងត្រូវបានបង្ហាញនៅក្នុងកម្មវិធីរុករកតាមអ៊ីនធឺណិតរបស់អ្នកប្រើប្រាស់។ DNS នៅតែជាបណ្តាញលេចធ្លាយដែលអាចកើតមាន ប៉ុន្តែអតិថិជនអាចប្រើ DNS-over-HTTPS ឬ DNS-over-TLS ដើម្បីលាក់ការចូលប្រើ DNS ដោយម៉ាស៊ីនភ្ញៀវ។

អ្នកស្រាវជ្រាវមានរួចហើយ កំណត់អត្តសញ្ញាណ មានវិធីដោះស្រាយជាច្រើនដើម្បីរំលងប្លុកចិននៅលើផ្នែកម៉ាស៊ីនភ្ញៀវ និងផ្នែកម៉ាស៊ីនមេ ប៉ុន្តែពួកវាអាចក្លាយទៅជាមិនពាក់ព័ន្ធ ហើយគួរតែត្រូវបានចាត់ទុកថាជាវិធានការបណ្តោះអាសន្នប៉ុណ្ណោះ។ ឧទាហរណ៍ បច្ចុប្បន្នមានតែកញ្ចប់ព័ត៌មានដែលមានលេខសម្គាល់ផ្នែកបន្ថែម ESNI 0xffce (encrypted_server_name) ដែលត្រូវបានប្រើក្នុង កំណែទីប្រាំនៃសេចក្តីព្រាងស្តង់ដារប៉ុន្តែសម្រាប់ពេលនេះ កញ្ចប់ព័ត៌មានដែលមានអត្តសញ្ញាណបច្ចុប្បន្ន 0xff02 (encrypted_client_hello) ត្រូវបានស្នើឡើងក្នុង សេចក្តីព្រាងទីប្រាំពីរនៃការបញ្ជាក់ ECH.

ដំណោះស្រាយមួយផ្សេងទៀតគឺត្រូវប្រើដំណើរការចរចាការតភ្ជាប់មិនស្តង់ដារ ឧទាហរណ៍ ការទប់ស្កាត់មិនដំណើរការទេ ប្រសិនបើកញ្ចប់ព័ត៌មាន SYN បន្ថែមដែលមានលេខលំដាប់មិនត្រឹមត្រូវត្រូវបានផ្ញើជាមុន ការរៀបចំជាមួយទង់ការបែងចែកកញ្ចប់ព័ត៌មាន ការផ្ញើកញ្ចប់ព័ត៌មានដែលមានទាំង FIN និង SYN ទង់ដែលបានកំណត់ ការជំនួសកញ្ចប់ព័ត៌មាន RST ជាមួយនឹងបរិមាណត្រួតពិនិត្យមិនត្រឹមត្រូវ ឬផ្ញើមុនពេលការចរចាការតភ្ជាប់កញ្ចប់ព័ត៌មានជាមួយទង់ SYN និង ACK ចាប់ផ្តើម។ វិធីសាស្រ្តដែលបានពិពណ៌នាត្រូវបានអនុវត្តរួចហើយនៅក្នុងទម្រង់នៃកម្មវិធីជំនួយសម្រាប់ប្រអប់ឧបករណ៍ ទីក្រុងហ្សឺណែវ, អភិវឌ្ឍ ដើម្បីរំលងវិធីសាស្រ្តត្រួតពិនិត្យ។

ប្រភព: opennet.ru