TLS 1.3 അടിസ്ഥാനമാക്കിയുള്ള ഡൊമെയ്ൻ ഫ്രണ്ടിംഗ്

ആമുഖം

സിസ്‌കോ, ബ്ലൂകോട്ട്, ഫയർ ഐ പോലുള്ള പ്രശസ്ത നിർമ്മാതാക്കളിൽ നിന്നുള്ള ആധുനിക കോർപ്പറേറ്റ് ഉള്ളടക്ക ഫിൽട്ടറിംഗ് സിസ്റ്റങ്ങൾക്ക് അവരുടെ കൂടുതൽ ശക്തമായ എതിരാളികളുമായി വളരെയധികം സാമ്യമുണ്ട് - ദേശീയ തലത്തിൽ സജീവമായി നടപ്പിലാക്കുന്ന ഡിപിഐ സിസ്റ്റങ്ങൾ. ഇൻകമിംഗ്, ഔട്ട്‌ഗോയിംഗ് ഇൻറർനെറ്റ് ട്രാഫിക് പരിശോധിക്കുകയും ബ്ലാക്ക്/വൈറ്റ് ലിസ്റ്റുകളുടെ അടിസ്ഥാനത്തിൽ ഇൻ്റർനെറ്റ് കണക്ഷൻ നിരോധിക്കാനുള്ള തീരുമാനം എടുക്കുകയും ചെയ്യുക എന്നതാണ് ഇരുവരുടെയും പ്രവർത്തനത്തിൻ്റെ സാരം. രണ്ടുപേരും അവരുടെ ജോലിയുടെ അടിസ്ഥാനകാര്യങ്ങളിൽ സമാനമായ തത്ത്വങ്ങളെ ആശ്രയിക്കുന്നതിനാൽ, അവയെ മറികടക്കുന്നതിനുള്ള രീതികളും പൊതുവായി കാണപ്പെടും.

DPI, കോർപ്പറേറ്റ് സിസ്റ്റങ്ങൾ എന്നിവയെ ഫലപ്രദമായി മറികടക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന സാങ്കേതികവിദ്യകളിലൊന്നാണ് ഡൊമെയ്ൻ-ഫ്രണ്ടിംഗ് സാങ്കേതികവിദ്യ. അതിൻ്റെ സാരാംശം, ഞങ്ങൾ തടഞ്ഞ ഒരു ഉറവിടത്തിലേക്ക് പോകുന്നു, മറ്റൊരു പൊതു ഡൊമെയ്‌നിൻ്റെ പിന്നിൽ മറഞ്ഞിരിക്കുന്നു, ഒരു നല്ല പ്രശസ്തിയുള്ള, അത് വ്യക്തമായും ഒരു സിസ്റ്റവും തടയില്ല, ഉദാഹരണത്തിന് google.com.

ഈ സാങ്കേതികവിദ്യയെക്കുറിച്ച് ഇതിനകം തന്നെ ധാരാളം ലേഖനങ്ങൾ എഴുതിയിട്ടുണ്ട്, കൂടാതെ നിരവധി ഉദാഹരണങ്ങൾ നൽകിയിട്ടുണ്ട്. എന്നിരുന്നാലും, ജനപ്രിയവും അടുത്തിടെ ചർച്ച ചെയ്തതുമായ DNS-ഓവർ-എച്ച്ടിടിപിഎസ്, എൻക്രിപ്റ്റഡ്-എസ്എൻഐ സാങ്കേതികവിദ്യകൾ, അതുപോലെ തന്നെ TLS 1.3 പ്രോട്ടോക്കോളിൻ്റെ പുതിയ പതിപ്പ്, ഡൊമെയ്ൻ ഫ്രണ്ടിംഗിനായുള്ള മറ്റൊരു ഓപ്ഷൻ പരിഗണിക്കുന്നത് സാധ്യമാക്കുന്നു.

സാങ്കേതികവിദ്യ മനസ്സിലാക്കുന്നു

ആദ്യം, നമുക്ക് കുറച്ച് അടിസ്ഥാന ആശയങ്ങൾ നിർവചിക്കാം, അതുവഴി ആരാണ് ആരാണ്, എന്തുകൊണ്ട് ഇതെല്ലാം ആവശ്യമാണെന്ന് എല്ലാവർക്കും ധാരണയുണ്ട്. eSNI മെക്കാനിസത്തെക്കുറിച്ച് ഞങ്ങൾ പരാമർശിച്ചു, അതിൻ്റെ പ്രവർത്തനം കൂടുതൽ ചർച്ചചെയ്യും. eSNI (എൻക്രിപ്റ്റഡ് സെർവർ നെയിം ഇൻഡിക്കേഷൻ) മെക്കാനിസം എസ്എൻഐയുടെ ഒരു സുരക്ഷിത പതിപ്പാണ്, ഇത് TLS 1.3 പ്രോട്ടോക്കോളിന് മാത്രം ലഭ്യമാണ്. അഭ്യർത്ഥന ഏത് ഡൊമെയ്‌നിലേക്കാണ് അയച്ചിരിക്കുന്നത് എന്നതിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ എൻക്രിപ്റ്റ് ചെയ്യുക എന്നതാണ് പ്രധാന ആശയം.

ഇപ്പോൾ eSNI മെക്കാനിസം പ്രായോഗികമായി എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് നോക്കാം.

നമുക്ക് ഒരു ആധുനിക ഡിപിഐ സൊല്യൂഷൻ വഴി തടഞ്ഞ ഒരു ഇൻ്റർനെറ്റ് റിസോഴ്സ് ഉണ്ടെന്ന് പറയാം (ഉദാഹരണത്തിന്, പ്രശസ്ത ടോറൻ്റ് ട്രാക്കർ rutracker.nl എടുക്കാം). ഞങ്ങൾ ഒരു ടോറൻ്റ് ട്രാക്കറിൻ്റെ വെബ്‌സൈറ്റ് ആക്‌സസ് ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ, റിസോഴ്‌സ് ബ്ലോക്ക് ചെയ്‌തതായി സൂചിപ്പിക്കുന്ന ദാതാവിൻ്റെ സ്റ്റാൻഡേർഡ് സ്റ്റബ് ഞങ്ങൾ കാണുന്നു:

RKN വെബ്സൈറ്റിൽ ഈ ഡൊമെയ്ൻ യഥാർത്ഥത്തിൽ സ്റ്റോപ്പ് ലിസ്റ്റുകളിൽ ലിസ്റ്റ് ചെയ്തിരിക്കുന്നു:

നിങ്ങൾ whois എന്ന് അന്വേഷിക്കുമ്പോൾ, ക്ലൗഡ് ദാതാവായ Cloudflare-ന് പിന്നിൽ ഡൊമെയ്ൻ തന്നെ "മറഞ്ഞിരിക്കുന്നു" എന്ന് നിങ്ങൾക്ക് കാണാൻ കഴിയും.

എന്നാൽ RKN-ൽ നിന്നുള്ള "സ്പെഷ്യലിസ്റ്റുകളിൽ" നിന്ന് വ്യത്യസ്തമായി, Beeline ൽ നിന്നുള്ള കൂടുതൽ സാങ്കേതിക വിദഗ്ദ്ധരായ ജീവനക്കാർ (അല്ലെങ്കിൽ ഞങ്ങളുടെ പ്രശസ്ത റെഗുലേറ്ററിൻ്റെ കയ്പേറിയ അനുഭവം പഠിപ്പിച്ചത്) ഐപി വിലാസം ഉപയോഗിച്ച് സൈറ്റിനെ മണ്ടത്തരമായി നിരോധിക്കുകയല്ല, മറിച്ച് സ്റ്റോപ്പ് ലിസ്റ്റിലേക്ക് ഡൊമെയ്ൻ നാമം ചേർത്തു. ഒരേ ഐപി വിലാസത്തിന് പിന്നിൽ മറഞ്ഞിരിക്കുന്ന മറ്റ് ഡൊമെയ്‌നുകൾ ഏതൊക്കെയാണെന്ന് നിങ്ങൾ നോക്കുകയാണെങ്കിൽ, അവയിലൊന്ന് സന്ദർശിച്ച് ആക്‌സസ് തടഞ്ഞിട്ടില്ലെന്ന് കാണുകയാണെങ്കിൽ നിങ്ങൾക്ക് ഇത് എളുപ്പത്തിൽ പരിശോധിക്കാനാകും:

ഇത് എങ്ങനെ സംഭവിക്കുന്നു? എല്ലാ ആശയവിനിമയങ്ങളും https പ്രോട്ടോക്കോൾ വഴിയാണ് സംഭവിക്കുന്നത് എന്നതിനാൽ, ബീലൈനിൽ നിന്നുള്ള https സർട്ടിഫിക്കറ്റുകൾ മാറ്റിസ്ഥാപിക്കുന്നത് ഞങ്ങൾ ഇതുവരെ ശ്രദ്ധിച്ചിട്ടില്ലാത്തതിനാൽ, എൻ്റെ ബ്രൗസർ ഏത് ഡൊമെയ്‌നിലാണ് ഉള്ളതെന്ന് ദാതാവിൻ്റെ DPI എങ്ങനെ അറിയും? അവൻ വ്യക്തതയുള്ളവനാണോ അതോ എന്നെ പിന്തുടരുകയാണോ?

വയർഷാർക്കിലൂടെയുള്ള ട്രാഫിക് നോക്കി ഈ ചോദ്യത്തിന് ഉത്തരം നൽകാൻ ശ്രമിക്കാം

ആദ്യം ബ്രൗസർ ഡിഎൻഎസ് വഴി സെർവറിൻ്റെ ഐപി വിലാസം നേടുന്നു, തുടർന്ന് ഡെസ്റ്റിനേഷൻ സെർവറിനൊപ്പം ഒരു സാധാരണ ടിസിപി ഹാൻഡ്‌ഷേക്ക് സംഭവിക്കുന്നു, തുടർന്ന് സെർവറുമായി ഒരു എസ്എസ്എൽ കണക്ഷൻ സ്ഥാപിക്കാൻ ബ്രൗസർ ശ്രമിക്കുന്നതായി സ്ക്രീൻഷോട്ട് കാണിക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, ഇത് ഒരു SSL ക്ലയൻ്റ് ഹലോ പാക്കറ്റ് അയയ്ക്കുന്നു, അതിൽ ഉറവിട ഡൊമെയ്‌നിൻ്റെ പേര് വ്യക്തമായ വാചകത്തിൽ അടങ്ങിയിരിക്കുന്നു. കണക്ഷൻ ശരിയായി റൂട്ട് ചെയ്യുന്നതിന് ക്ലൗഡ്ഫ്ലെയർ ഫ്രണ്ട്എൻഡ് സെർവറിന് ഈ ഫീൽഡ് ആവശ്യമാണ്. ഇവിടെയാണ് ദാതാവ് DPI ഞങ്ങളെ പിടികൂടുന്നത്, ഞങ്ങളുടെ കണക്ഷൻ തകർക്കുന്നു. അതേ സമയം, ദാതാവിൽ നിന്ന് ഞങ്ങൾക്ക് അപൂർണ്ണതയൊന്നും ലഭിക്കുന്നില്ല, കൂടാതെ സൈറ്റ് പ്രവർത്തനരഹിതമാക്കുകയോ പ്രവർത്തിക്കാതിരിക്കുകയോ ചെയ്യുന്നത് പോലെയുള്ള സാധാരണ ബ്രൗസർ പിശക് ഞങ്ങൾ കാണുന്നു:

ഇപ്പോൾ ബ്രൗസറിൽ eSNI മെക്കാനിസം പ്രവർത്തനക്ഷമമാക്കാം, നിർദ്ദേശങ്ങളിൽ എഴുതിയിരിക്കുന്നത് പോലെ ഫയർഫോക്സ് :
ഇത് ചെയ്യുന്നതിന്, ഞങ്ങൾ ഫയർഫോക്സ് കോൺഫിഗറേഷൻ പേജ് തുറക്കുന്നു about: config കൂടാതെ ഇനിപ്പറയുന്ന ക്രമീകരണങ്ങൾ സജീവമാക്കുക:

network.trr.mode = 2;
network.trr.uri = https://mozilla.cloudflare-dns.com/dns-query
network.security.esni.enabled = true

ഇതിനുശേഷം, ക്ലൗഡ്ഫ്ലെയർ വെബ്സൈറ്റിൽ ക്രമീകരണങ്ങൾ ശരിയായി പ്രവർത്തിക്കുന്നുണ്ടോയെന്ന് ഞങ്ങൾ പരിശോധിക്കും. ലിങ്ക് ഞങ്ങളുടെ ടോറൻ്റ് ട്രാക്കർ ഉപയോഗിച്ച് നമുക്ക് വീണ്ടും ട്രിക്ക് പരീക്ഷിക്കാം.

വോയില. ഞങ്ങളുടെ പ്രിയപ്പെട്ട ട്രാക്കർ VPN അല്ലെങ്കിൽ പ്രോക്സി സെർവറുകൾ ഇല്ലാതെ തുറന്നു. എന്താണ് സംഭവിച്ചതെന്ന് കാണാൻ ഇപ്പോൾ വയർഷാർക്കിലെ ട്രാഫിക്ക് ഡമ്പിലേക്ക് നോക്കാം.

ഇത്തവണ, ssl ക്ലയൻ്റ് ഹലോ പാക്കേജിൽ ഡെസ്റ്റിനേഷൻ ഡൊമെയ്ൻ വ്യക്തമായി അടങ്ങിയിട്ടില്ല, പകരം, പാക്കേജിൽ ഒരു പുതിയ ഫീൽഡ് പ്രത്യക്ഷപ്പെട്ടു - encrypted_server_name - ഇവിടെയാണ് rutracker.nl ൻ്റെ മൂല്യം അടങ്ങിയിരിക്കുന്നത്, കൂടാതെ ക്ലൗഡ്ഫ്ലെയർ ഫ്രണ്ട്എൻഡ് സെർവറിന് മാത്രമേ ഇത് ഡീക്രിപ്റ്റ് ചെയ്യാൻ കഴിയൂ. വയൽ. അങ്ങനെയാണെങ്കിൽ, ദാതാവായ ഡിപിഐക്ക് കൈ കഴുകുക, അത്തരം ട്രാഫിക് അനുവദിക്കുകയല്ലാതെ മറ്റ് മാർഗമില്ല. എൻക്രിപ്ഷനുള്ള മറ്റ് ഓപ്ഷനുകളൊന്നുമില്ല.

അതിനാൽ, ബ്രൗസറിൽ സാങ്കേതികവിദ്യ എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് ഞങ്ങൾ നോക്കി. ഇപ്പോൾ കൂടുതൽ വ്യക്തവും രസകരവുമായ കാര്യങ്ങളിൽ ഇത് പ്രയോഗിക്കാൻ ശ്രമിക്കാം. ആദ്യം, TLS 1.3-നൊപ്പം പ്രവർത്തിക്കാൻ eSNI ഉപയോഗിക്കുന്നതിന് ഞങ്ങൾ അതേ ചുരുളൻ പഠിപ്പിക്കും, അതേ സമയം eSNI അടിസ്ഥാനമാക്കിയുള്ള ഡൊമെയ്ൻ ഫ്രണ്ടിംഗ് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് ഞങ്ങൾ കാണും.

eSNI ഉള്ള ഡൊമെയ്ൻ ഫ്രണ്ടിംഗ്

https പ്രോട്ടോക്കോൾ വഴി ബന്ധിപ്പിക്കുന്നതിന് curl സ്റ്റാൻഡേർഡ് openssl ലൈബ്രറി ഉപയോഗിക്കുന്നു എന്ന വസ്തുത കാരണം, ആദ്യം നമ്മൾ അവിടെ eSNI പിന്തുണ നൽകേണ്ടതുണ്ട്. openssl മാസ്റ്റർ ബ്രാഞ്ചുകളിൽ ഇതുവരെ eSNI പിന്തുണ ഇല്ല, അതിനാൽ നമുക്ക് ഒരു പ്രത്യേക openssl ബ്രാഞ്ച് ഡൗൺലോഡ് ചെയ്ത് കംപൈൽ ചെയ്ത് ഇൻസ്റ്റാൾ ചെയ്യണം.

ഞങ്ങൾ GitHub-ൽ നിന്ന് റിപ്പോസിറ്ററി ക്ലോൺ ചെയ്യുകയും സാധാരണ പോലെ കംപൈൽ ചെയ്യുകയും ചെയ്യുന്നു:

$ git clone https://github.com/sftcd/openssl
$ cd openssl
$ ./config

$ make
$ cd esnistuff
$ make

അടുത്തതായി, ഞങ്ങൾ ശേഖരം curl ഉപയോഗിച്ച് ക്ലോൺ ചെയ്യുകയും ഞങ്ങളുടെ കംപൈൽ ചെയ്ത openssl ലൈബ്രറി ഉപയോഗിച്ച് അതിൻ്റെ സമാഹാരം ക്രമീകരിക്കുകയും ചെയ്യുന്നു:

$ cd $HOME/code
$ git clone https://github.com/niallor/curl.git curl-esni
$ cd curl-esni

$ export LD_LIBRARY_PATH=/opt/openssl
$ ./buildconf
$ LDFLAGS="-L/opt/openssl" ./configure --with-ssl=/opt/openssl --enable-esni --enable-debug

ഇവിടെ openssl സ്ഥിതി ചെയ്യുന്ന എല്ലാ ഡയറക്ടറികളും ശരിയായി വ്യക്തമാക്കേണ്ടത് പ്രധാനമാണ് (ഞങ്ങളുടെ കാര്യത്തിൽ, ഇത് /opt/openssl/) കൂടാതെ കോൺഫിഗറേഷൻ പ്രക്രിയ പിശകുകളില്ലാതെ കടന്നുപോകുന്നുണ്ടെന്ന് ഉറപ്പാക്കുക.

കോൺഫിഗറേഷൻ വിജയകരമാണെങ്കിൽ, നമ്മൾ ലൈൻ കാണും:

മുന്നറിയിപ്പ്: esni ESNI പ്രവർത്തനക്ഷമമാക്കിയെങ്കിലും പരീക്ഷണാത്മകമെന്ന് അടയാളപ്പെടുത്തി. ജാഗ്രതയോടെ ഉപയോഗിക്കുക!

$ make

പാക്കേജ് വിജയകരമായി നിർമ്മിച്ചതിന് ശേഷം, curl കോൺഫിഗർ ചെയ്യുന്നതിനും പ്രവർത്തിപ്പിക്കുന്നതിനും openssl-ൽ നിന്നുള്ള ഒരു പ്രത്യേക ബാഷ് ഫയൽ ഞങ്ങൾ ഉപയോഗിക്കും. സൗകര്യാർത്ഥം നമുക്ക് അതിനെ ചുരുളൻ ഉപയോഗിച്ച് ഡയറക്ടറിയിലേക്ക് പകർത്താം:

cp /opt/openssl/esnistuff/curl-esni 

ഒപ്പം വയർഷാർക്കിൽ DNS, TLS പാക്കറ്റുകൾ ഒരേസമയം റെക്കോർഡ് ചെയ്യുമ്പോൾ ക്ലൗഡ്ഫ്ലെയർ സെർവറിലേക്ക് ഒരു ടെസ്റ്റ് https അഭ്യർത്ഥന നടത്തുക.

$ ESNI_COVER="www.hello-rkn.ru" ./curl-esni https://cloudflare.com/

സെർവർ പ്രതികരണത്തിൽ, openssl, curl എന്നിവയിൽ നിന്നുള്ള ധാരാളം ഡീബഗ്ഗിംഗ് വിവരങ്ങൾക്ക് പുറമേ, ക്ലൗഡ്ഫ്ലെയറിൽ നിന്ന് 301 കോഡ് ഉള്ള ഒരു HTTP പ്രതികരണം ഞങ്ങൾക്ക് ലഭിക്കും.

HTTP/1.1 301 Moved Permanently
< Date: Sun, 03 Nov 2019 13:12:55 GMT
< Transfer-Encoding: chunked
< Connection: keep-alive
< Cache-Control: max-age=3600
< Expires: Sun, 03 Nov 2019 14:12:55 GMT
< Location: https://www.cloudflare.com/

ഞങ്ങളുടെ അഭ്യർത്ഥന ഡെസ്റ്റിനേഷൻ സെർവറിലേക്ക് വിജയകരമായി ഡെലിവർ ചെയ്തു, കേൾക്കുകയും പ്രോസസ്സ് ചെയ്യുകയും ചെയ്തുവെന്ന് ഇത് സൂചിപ്പിക്കുന്നു.

ഇനി നമുക്ക് വയർഷാർക്കിലെ ട്രാഫിക് ഡമ്പ് നോക്കാം, അതായത്. ഈ കേസിൽ ദാതാവ് DPI എന്താണ് കണ്ടത്.

ക്ലൗഡ്ഫ്ലെയർ സെർവറിനായുള്ള ഒരു പൊതു eSNI കീയ്ക്കായി curl ആദ്യം DNS സെർവറിലേക്ക് തിരിഞ്ഞതായി കാണാൻ കഴിയും - _esni.cloudflare.com-ലേക്കുള്ള TXT DNS അഭ്യർത്ഥന (പാക്കേജ് നമ്പർ 13). തുടർന്ന്, openssl ലൈബ്രറി ഉപയോഗിച്ച്, Curl ഒരു TLS 1.3 അഭ്യർത്ഥന ക്ലൗഡ്ഫ്ലെയർ സെർവറിലേക്ക് അയച്ചു, അതിൽ മുൻ ഘട്ടത്തിൽ ലഭിച്ച പൊതു കീ ഉപയോഗിച്ച് SNI ഫീൽഡ് എൻക്രിപ്റ്റ് ചെയ്തു (പാക്കറ്റ് #22). എന്നാൽ, eSNI ഫീൽഡിന് പുറമേ, SSL-ഹലോ പാക്കറ്റിൽ സാധാരണ - ഓപ്പൺ SNI ഉള്ള ഒരു ഫീൽഡും ഉൾപ്പെടുത്തിയിട്ടുണ്ട്, അത് നമുക്ക് ഏത് ക്രമത്തിലും വ്യക്തമാക്കാം (ഈ സാഹചര്യത്തിൽ - www.hello-rkn.ru).

ക്ലൗഡ്ഫ്ലെയർ സെർവറുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ ഈ ഓപ്പൺ എസ്എൻഐ ഫീൽഡ് ഒരു തരത്തിലും കണക്കിലെടുക്കില്ല, മാത്രമല്ല ദാതാവായ ഡിപിഐയുടെ മാസ്കായി മാത്രം പ്രവർത്തിക്കുകയും ചെയ്തു. ക്ലൗഡ്ഫ്ലെയർ സെർവറിന് ഞങ്ങളുടെ ssl-ഹലോ പാക്കറ്റ് ലഭിച്ചു, eSNI ഡീക്രിപ്റ്റ് ചെയ്തു, അവിടെ നിന്ന് യഥാർത്ഥ SNI എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്‌ത് ഒന്നും സംഭവിക്കാത്തത് പോലെ അത് പ്രോസസ്സ് ചെയ്തു (ഇഎസ്എൻഐ വികസിപ്പിക്കുമ്പോൾ അത് പ്ലാൻ ചെയ്തതുപോലെ എല്ലാം ചെയ്തു).

ഒരു ഡിപിഐ വീക്ഷണകോണിൽ നിന്ന് ഈ കേസിൽ പിടിക്കാൻ കഴിയുന്ന ഒരേയൊരു കാര്യം _esni.cloudflare.com-ലേക്കുള്ള പ്രാഥമിക DNS അഭ്യർത്ഥനയാണ്. എന്നാൽ ഈ സംവിധാനം ഉള്ളിൽ നിന്ന് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് കാണിക്കാൻ മാത്രമാണ് ഞങ്ങൾ DNS അഭ്യർത്ഥന തുറന്നത്.

ഒടുവിൽ ഡിപിഐയിൽ നിന്ന് റഗ് പുറത്തെടുക്കാൻ, ഞങ്ങൾ ഇതിനകം സൂചിപ്പിച്ച DNS-over-HTTPS മെക്കാനിസം ഉപയോഗിക്കുന്നു. ഒരു ചെറിയ വിശദീകരണം - HTTPS മുഖേന ഒരു DNS അഭ്യർത്ഥന അയച്ചുകൊണ്ട് ഒരു മനുഷ്യൻ-ഇൻ-ദി-മിഡിൽ ആക്രമണത്തിൽ നിന്ന് പരിരക്ഷിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു പ്രോട്ടോക്കോൾ ആണ് DOH.

നമുക്ക് വീണ്ടും അഭ്യർത്ഥന നടപ്പിലാക്കാം, എന്നാൽ ഇത്തവണ നമുക്ക് https പ്രോട്ടോക്കോൾ വഴി പൊതു eSNI കീകൾ ലഭിക്കും, DNS അല്ല:

ESNI_COVER="www.hello-rkn.ru" DOH_URL=https://mozilla.cloudflare-dns.com/dns-query ./curl-esni https://cloudflare.com/

അഭ്യർത്ഥന ട്രാഫിക് ഡംപ് ചുവടെയുള്ള സ്ക്രീൻഷോട്ടിൽ കാണിച്ചിരിക്കുന്നു:

SNI എൻക്രിപ്ഷനുള്ള പബ്ലിക് കീകളുടെ മൂല്യങ്ങൾ അവരിൽ നിന്ന് നേടുന്നതിനായി Curl ആദ്യം Mozilla.cloudflare-dns.com സെർവറിലേക്ക് DoH പ്രോട്ടോക്കോൾ (https കണക്ഷൻ 104.16.249.249) വഴി ആക്സസ് ചെയ്യുന്നതായി കാണാൻ കഴിയും, തുടർന്ന് ലക്ഷ്യസ്ഥാനത്തേക്ക് സെർവർ, ഡൊമെയ്‌നിന് പിന്നിൽ മറഞ്ഞിരിക്കുന്നു www.hello-rkn.ru.

മുകളിൽ പറഞ്ഞിരിക്കുന്ന DoH റിസോൾവർ mozilla.cloudflare-dns.com കൂടാതെ, നമുക്ക് മറ്റ് ജനപ്രിയ DoH സേവനങ്ങൾ ഉപയോഗിക്കാം, ഉദാഹരണത്തിന്, പ്രശസ്ത ദുഷ്ട കോർപ്പറേഷനിൽ നിന്ന്.
നമുക്ക് ഇനിപ്പറയുന്ന ചോദ്യം പ്രവർത്തിപ്പിക്കാം:

ESNI_COVER="www.kremlin.ru" DOH_URL=https://dns.google/dns-query ./curl-esni https://rutracker.nl/

നമുക്ക് ഉത്തരം ലഭിക്കും:

< HTTP/1.1 301 Moved Permanently
< Date: Sun, 03 Nov 2019 14:10:22 GMT
< Content-Type: text/html
< Transfer-Encoding: chunked
< Connection: keep-alive
< Set-Cookie: __cfduid=da0144d982437e77b0b37af7d00438b1a1572790222; expires=Mon, 02-Nov-20 14:10:22 GMT; path=/; domain=.rutracker.nl; HttpOnly; Secure
< Location: https://rutracker.nl/forum/index.php
< CF-Cache-Status: DYNAMIC
< Expect-CT: max-age=604800, report-uri="https://report-uri.cloudflare.com/cdn-cgi/beacon/expect-ct"
< Server: cloudflare
< CF-RAY: 52feee696f42d891-CPH

ഈ സാഹചര്യത്തിൽ, DoH റിസോൾവർ dns.google (ഇവിടെ അക്ഷരത്തെറ്റ് ഒന്നുമില്ല, ഇപ്പോൾ പ്രശസ്ത കോർപ്പറേഷന് അതിൻ്റേതായ ഫസ്റ്റ് ലെവൽ ഡൊമെയ്ൻ ഉണ്ട്) ഉപയോഗിച്ച് ഞങ്ങൾ ബ്ലോക്ക് ചെയ്‌ത rutracker.nl സെർവറിലേക്ക് തിരിയുകയും അത് കർശനമായ മറ്റൊരു ഡൊമെയ്ൻ ഉപയോഗിച്ച് സ്വയം മറയ്ക്കുകയും ചെയ്തു. മരണത്തിൻ്റെ വേദനയിൽ തടയുന്നത് എല്ലാ ഡിപിഐകൾക്കും നിരോധിച്ചിരിക്കുന്നു. ലഭിച്ച പ്രതികരണത്തെ അടിസ്ഥാനമാക്കി, ഞങ്ങളുടെ അഭ്യർത്ഥന വിജയകരമായി പ്രോസസ്സ് ചെയ്തതായി നിങ്ങൾക്ക് മനസ്സിലാക്കാനാകും.

ഞങ്ങൾ ഒരു കവറായി സംപ്രേഷണം ചെയ്യുന്ന ഓപ്പൺ എസ്എൻഐയോട് ദാതാവിൻ്റെ ഡിപിഐ പ്രതികരിക്കുന്നു എന്നതിൻ്റെ ഒരു അധിക പരിശോധന എന്ന നിലയിൽ, മറ്റ് ചില നിരോധിത ഉറവിടങ്ങളുടെ മറവിൽ ഞങ്ങൾക്ക് rutracker.nl-ലേക്ക് ഒരു അഭ്യർത്ഥന നടത്താം, ഉദാഹരണത്തിന്, മറ്റൊരു "നല്ല" ടോറൻ്റ് ട്രാക്കർ:

$ ESNI_COVER="rutor.info" DOH_URL=https://dns.google/dns-query ./curl-esni https://rutracker.nl/

സെർവറിൽ നിന്ന് ഞങ്ങൾക്ക് പ്രതികരണം ലഭിക്കില്ല, കാരണം... ഞങ്ങളുടെ അഭ്യർത്ഥന DPI സിസ്റ്റം തടയും.

ആദ്യ ഭാഗത്തിന് ഒരു ചെറിയ ഉപസംഹാരം

അതിനാൽ, openssl, curl എന്നിവ ഉപയോഗിച്ച് eSNI-യുടെ പ്രവർത്തനക്ഷമത പ്രകടിപ്പിക്കാനും eSNI അടിസ്ഥാനമാക്കിയുള്ള ഡൊമെയ്ൻ ഫ്രണ്ടിംഗിൻ്റെ പ്രവർത്തനം പരിശോധിക്കാനും ഞങ്ങൾക്ക് കഴിഞ്ഞു. അതുപോലെ, മറ്റ് ഡൊമെയ്‌നുകളുടെ മറവിൽ പ്രവർത്തിക്കാൻ openssl ലൈബ്രറി ഉപയോഗിക്കുന്ന ഞങ്ങളുടെ പ്രിയപ്പെട്ട ടൂളുകൾ നമുക്ക് പൊരുത്തപ്പെടുത്താനാകും. ഇതിനെക്കുറിച്ചുള്ള കൂടുതൽ വിശദാംശങ്ങൾ ഞങ്ങളുടെ അടുത്ത ലേഖനങ്ങളിൽ.

അവലംബം: www.habr.com