러시아 연방은 웹사이트 이름을 숨길 수 있는 프로토콜을 금지할 계획입니다.

시작됨 공개 토론 디지털 개발, 통신 및 매스커뮤니케이션부가 개발한 "정보, 정보 기술 및 정보 보호에 관한" 연방법 개정에 관한 법률 초안입니다. 이 법은 러시아 연방 영토에서 인터넷 페이지 또는 인터넷 사이트의 이름(식별자)을 숨길 수 있는 암호화 프로토콜의 사용을 금지할 것을 제안합니다. 러시아 연방 법률.”

사이트 이름을 숨길 수 있는 암호화 프로토콜 사용 금지를 위반한 경우, 위반 사실을 발견한 날로부터 영업일 기준 1일 이내에 인터넷 리소스의 운영을 중단할 것을 제안합니다. 승인된 연방 집행 기관. 차단의 주요 목적은 TLS 확장입니다. ECH (이전에는 ESNI로 알려짐), TLS 1.3과 함께 사용할 수 있으며 이미 막힌 중국에서. 법안의 문구가 모호하고 구체성이 없기 때문에 ECH/ESNI를 제외하고 공식적으로 통신 채널의 완전한 암호화를 제공하는 거의 모든 프로토콜은 물론 프로토콜도 마찬가지입니다. HTTPS를 통한 DNS (DoH) 및 TLS를 통한 DNS (점).

하나의 IP 주소에서 여러 HTTPS 사이트의 작업을 정리하기 위해 SNI 확장이 한 번에 개발되었는데, 이는 암호화된 통신 채널을 설치하기 전에 전송되는 ClientHello 메시지에 호스트 이름을 일반 텍스트로 전송하는 것입니다. 이 기능을 사용하면 인터넷 공급자 측에서 HTTPS 트래픽을 선택적으로 필터링하고 사용자가 어떤 사이트를 여는 지 분석할 수 있지만 HTTPS 사용 시 완전한 기밀성을 확보할 수는 없습니다.

ECH/ESNI는 HTTPS 연결 분석 시 요청된 사이트에 대한 정보 유출을 완전히 제거합니다. 콘텐츠 전송 네트워크를 통한 액세스와 결합하여 ECH/ESNI를 사용하면 공급자로부터 요청된 리소스의 IP 주소를 숨길 수도 있습니다. 트래픽 검사 시스템은 CDN에 대한 요청만 확인하고 TLS 스푸핑 없이는 차단을 적용할 수 없습니다. 이 경우 사용자 브라우저에 인증서 대체에 대한 해당 알림이 표시됩니다. ECH/ESNI 금지가 도입된 경우 이 가능성에 대처하는 유일한 방법은 ECH/ESNI를 지원하는 CDN(콘텐츠 전송 네트워크)에 대한 액세스를 완전히 제한하는 것입니다. 그렇지 않으면 금지가 효과가 없으며 CDN이 쉽게 우회할 수 있습니다.

ECH/ESNI를 사용하는 경우 SNI와 마찬가지로 호스트 이름이 ClientHello 메시지에 포함되어 전송되지만 이 메시지에서 전송되는 데이터의 내용은 암호화됩니다. 암호화는 서버 및 클라이언트 키에서 계산된 비밀을 사용합니다. 가로채거나 수신한 ECH/ESNI 필드 값을 해독하려면 클라이언트 또는 서버의 개인 키(및 서버 또는 클라이언트의 공개 키)를 알아야 합니다. 공개 키에 대한 정보는 DNS의 서버 키와 ClientHello 메시지의 클라이언트 키에 대해 전송됩니다. 클라이언트와 서버에만 알려진 TLS 연결 설정 중에 합의된 공유 비밀을 사용하여 암호 해독도 가능합니다.

출처 : opennet.ru