Руската Федерација има намера да ги забрани протоколите кои дозволуваат да се сокрие името на веб-страницата

Почна јавна дискусија нацрт-правен акт за измени и дополнувања на Федералниот закон „За информации, информациски технологии и заштита на информации“, развиен од Министерството за дигитален развој, комуникации и масовни комуникации. Законот предлага да се воведе забрана за употреба на територијата на Руската Федерација на „протоколи за шифрирање кои овозможуваат да се сокрие името (идентификаторот) на страница или страница на Интернет, освен во случаи утврдени со законодавството на Руската Федерација“.

За прекршување на забраната за употреба на протоколи за шифрирање кои овозможуваат сокривање на името на страницата, се предлага да се прекине работата на Интернет-ресурсот најдоцна во рок од 1 (еден) работен ден од датумот на откривање на оваа повреда од овластениот сојузен извршен орган. Главната цел на блокирањето е екстензијата TLS СЕКОЈ (порано познат како ESNI), кој може да се користи заедно со TLS 1.3 и веќе блокиран во Кина. Бидејќи формулацијата во предлог-законот е нејасна и нема специфичност, освен за ECH/ESNI, формално, речиси сите протоколи кои обезбедуваат целосна шифрирање на каналот за комуникација, како и протоколи DNS преку HTTPS (DoH) и DNS преку TLS (DoT).

Да потсетиме дека за да се организира работата на неколку HTTPS-страници на една IP адреса, истовремено беше развиена екстензијата SNI, која го пренесува името на домаќинот во јасен текст во пораката ClientHello пренесена пред да инсталира шифриран канал за комуникација. Оваа функција овозможува на страната на интернет-провајдерот селективно да се филтрира HTTPS сообраќајот и да се анализираат кои страници ги отвора корисникот, што не дозволува постигнување целосна доверливост при користење на HTTPS.

ECH/ESNI целосно го елиминира истекувањето на информации за бараната локација при анализа на HTTPS конекциите. Во комбинација со пристапот преку мрежа за испорака на содржини, употребата на ECH/ESNI исто така овозможува да се скрие IP адресата на бараниот ресурс од давателот - системите за инспекција на сообраќајот ги гледаат само барањата до CDN и не можат да применат блокирање без да го измамат TLS сесија, во кој случај прелистувачот на корисникот ќе се прикаже соодветно известување за замена на сертификатот. Доколку се воведе забрана за ECH/ESNI, единствениот начин за борба против оваа можност е целосно да се ограничи пристапот до мрежите за испорака на содржина (CDN) кои поддржуваат ECH/ESNI, инаку забраната ќе биде неефикасна и лесно може да биде заобиколена од CDN.

Кога користите ECH/ESNI, името на домаќинот, како и во SNI, се пренесува во пораката ClientHello, но содржината на податоците пренесени во оваа порака е шифрирана. Шифрирањето користи тајна пресметана од клучевите на серверот и клиентот. За да дешифрирате пресретната или примена вредност на полето ECH/ESNI, мора да го знаете приватниот клуч на клиентот или серверот (плус јавните клучеви на серверот или клиентот). Информациите за јавните клучеви се пренесуваат за серверот во DNS, а за клиентскиот клуч во пораката ClientHello. Дешифрирањето е исто така можно со користење на споделена тајна договорена за време на поставувањето на конекцијата TLS, позната само на клиентот и серверот.

Извор: opennet.ru