TLS 1.3, ESNI എന്നിവ ഉപയോഗിച്ച് സ്ഥാപിച്ച HTTPS കണക്ഷനുകൾ ചൈന തടയാൻ തുടങ്ങിയിരിക്കുന്നു

കൊയ്ന നടപ്പിലാക്കി തടയുന്നു TLS 1.3 പ്രോട്ടോക്കോളും ESNI (എൻക്രിപ്റ്റഡ് സെർവർ നെയിം ഇൻഡിക്കേഷൻ) TLS എക്സ്റ്റൻഷനും ഉപയോഗിക്കുന്ന എല്ലാ HTTPS കണക്ഷനുകളും, അഭ്യർത്ഥിച്ച ഹോസ്റ്റിനെക്കുറിച്ചുള്ള ഡാറ്റയുടെ എൻക്രിപ്ഷൻ നൽകുന്നു. ചൈനയിൽ നിന്ന് പുറം ലോകത്തിലേക്കും പുറം ലോകത്തിൽ നിന്ന് ചൈനയിലേക്കും സ്ഥാപിച്ച കണക്ഷനുകൾക്കായി ട്രാൻസിറ്റ് റൂട്ടറുകളിൽ തടയൽ നടത്തുന്നു.

മുമ്പ് എസ്എൻഐ കണ്ടന്റ് സെലക്ടീവ് ബ്ലോക്കിംഗ് നടത്തിയിരുന്ന ആർഎസ്ടി പാക്കറ്റ് സബ്സ്റ്റിറ്റ്യൂഷനേക്കാൾ, ക്ലയന്റിൽ നിന്ന് സെർവറിലേക്ക് പാക്കറ്റുകൾ ഡ്രോപ്പ് ചെയ്യുന്നതിലൂടെയാണ് ബ്ലോക്ക് ചെയ്യുന്നത്. ESNI ഉപയോഗിച്ച് ഒരു പാക്കറ്റ് ബ്ലോക്ക് ചെയ്തതിന് ശേഷം, സോഴ്സ് IP, ഡെസ്റ്റിനേഷൻ IP, ഡെസ്റ്റിനേഷൻ പോർട്ട് നമ്പർ എന്നിവയുടെ സംയോജനവുമായി ബന്ധപ്പെട്ട എല്ലാ നെറ്റ്‌വർക്ക് പാക്കറ്റുകളും 120 മുതൽ 180 സെക്കൻഡ് വരെ ബ്ലോക്ക് ചെയ്യപ്പെടും. ESNI ഇല്ലാതെ TLS, TLS 1.3 എന്നിവയുടെ പഴയ പതിപ്പുകളെ അടിസ്ഥാനമാക്കിയുള്ള HTTPS കണക്ഷനുകൾ സാധാരണ പോലെ അനുവദനീയമാണ്.

നിരവധി HTTPS സൈറ്റുകളുടെ ഒരു IP വിലാസത്തിൽ വർക്ക് ഓർഗനൈസുചെയ്യുന്നതിനായി, SNI വിപുലീകരണം വികസിപ്പിച്ചെടുത്തു, ഇത് ഒരു എൻക്രിപ്റ്റ് ചെയ്ത കമ്മ്യൂണിക്കേഷൻ ചാനൽ ഇൻസ്റ്റാൾ ചെയ്യുന്നതിന് മുമ്പ് കൈമാറിയ ClientHello സന്ദേശത്തിൽ ഹോസ്റ്റ് നാമം വ്യക്തമായ വാചകത്തിൽ കൈമാറുന്നു. HTTPS ട്രാഫിക് തിരഞ്ഞെടുത്ത് ഫിൽട്ടർ ചെയ്യാനും ഉപയോക്താവ് തുറക്കുന്ന സൈറ്റുകൾ വിശകലനം ചെയ്യാനും ഇന്റർനെറ്റ് ദാതാവിന്റെ ഭാഗത്ത് ഈ സവിശേഷത സാധ്യമാക്കുന്നു, ഇത് HTTPS ഉപയോഗിക്കുമ്പോൾ പൂർണ്ണമായ രഹസ്യാത്മകത കൈവരിക്കാൻ അനുവദിക്കുന്നില്ല.

TLS 1.3-നൊപ്പം ഉപയോഗിക്കാവുന്ന പുതിയ TLS എക്സ്റ്റൻഷൻ ECH (മുമ്പ് ESNI), ഈ പോരായ്മ ഒഴിവാക്കുകയും HTTPS കണക്ഷനുകൾ വിശകലനം ചെയ്യുമ്പോൾ അഭ്യർത്ഥിച്ച സൈറ്റിനെക്കുറിച്ചുള്ള വിവരങ്ങളുടെ ചോർച്ച പൂർണ്ണമായും ഇല്ലാതാക്കുകയും ചെയ്യുന്നു. ഒരു ഉള്ളടക്ക ഡെലിവറി നെറ്റ്‌വർക്കിലൂടെയുള്ള ആക്‌സസിനൊപ്പം, ECH/ESNI-ന്റെ ഉപയോഗം, ദാതാവിൽ നിന്ന് അഭ്യർത്ഥിച്ച ഉറവിടത്തിന്റെ IP വിലാസം മറയ്ക്കുന്നത് സാധ്യമാക്കുന്നു. ട്രാഫിക് പരിശോധനാ സംവിധാനങ്ങൾ CDN-ലേക്കുള്ള അഭ്യർത്ഥനകൾ മാത്രമേ കാണൂ, കൂടാതെ TLS സെഷൻ സ്പൂഫിംഗ് ഇല്ലാതെ തടയൽ പ്രയോഗിക്കാൻ കഴിയില്ല, ഈ സാഹചര്യത്തിൽ സർട്ടിഫിക്കറ്റ് കബളിപ്പിക്കുന്നതിനെ കുറിച്ചുള്ള അനുബന്ധ അറിയിപ്പ് ഉപയോക്താവിന്റെ ബ്രൗസറിൽ കാണിക്കും. DNS ഒരു ലീക്ക് ചാനലായി തുടരുന്നു, എന്നാൽ ക്ലയന്റ് DNS ആക്‌സസ് മറയ്ക്കാൻ ക്ലയന്റിന് DNS-over-HTTPS അല്ലെങ്കിൽ DNS-over-TLS ഉപയോഗിക്കാം.

ഗവേഷകർ ഇതിനകം തന്നെ വെളിപ്പെടുത്തി ക്ലയന്റിലും സെർവർ ഭാഗത്തും ചൈനീസ് ബ്ലോക്ക് മറികടക്കാൻ നിരവധി പരിഹാരങ്ങളുണ്ട്, പക്ഷേ അവ അപ്രസക്തമാകാം, താൽക്കാലിക നടപടിയായി മാത്രമേ പരിഗണിക്കാവൂ. ഉദാഹരണത്തിന്, നിലവിൽ ഉപയോഗിച്ച ESNI എക്സ്റ്റൻഷൻ ഐഡി 0xffce (encrypted_server_name) ഉള്ള പാക്കറ്റുകൾ മാത്രം ഡ്രാഫ്റ്റ് സ്റ്റാൻഡേർഡിന്റെ അഞ്ചാമത്തെ പതിപ്പ്, എന്നാൽ ഇപ്പോൾ നിർദ്ദേശിച്ചിരിക്കുന്ന നിലവിലെ ഐഡന്റിഫയർ 0xff02 (encrypted_client_hello) ഉള്ള പാക്കറ്റുകൾ ECH സ്പെസിഫിക്കേഷന്റെ ഏഴാമത്തെ ഡ്രാഫ്റ്റ്.

മറ്റൊരു പ്രതിവിധി, നിലവാരമില്ലാത്ത കണക്ഷൻ നെഗോഷ്യേഷൻ പ്രോസസ്സ് ഉപയോഗിക്കുക എന്നതാണ്, ഉദാഹരണത്തിന്, ഒരു തെറ്റായ സീക്വൻസ് നമ്പറുള്ള ഒരു അധിക SYN പാക്കറ്റ് മുൻകൂട്ടി അയച്ചാൽ തടയുന്നത് പ്രവർത്തിക്കില്ല, പാക്കറ്റ് ഫ്രാഗ്മെന്റേഷൻ ഫ്ലാഗുകൾ ഉപയോഗിച്ചുള്ള കൃത്രിമങ്ങൾ, FIN, SYN എന്നിവ ഉപയോഗിച്ച് ഒരു പാക്കറ്റ് അയയ്ക്കുന്നു. ഫ്ലാഗുകൾ സജ്ജീകരിക്കുക, തെറ്റായ നിയന്ത്രണ തുക ഉപയോഗിച്ച് ഒരു RST പാക്കറ്റ് മാറ്റിസ്ഥാപിക്കുക അല്ലെങ്കിൽ SYN, ACK ഫ്ലാഗുകളുമായുള്ള പാക്കറ്റ് കണക്ഷൻ ചർച്ചകൾ ആരംഭിക്കുന്നതിന് മുമ്പ് അയയ്ക്കുക. ടൂൾകിറ്റിനുള്ള ഒരു പ്ലഗിൻ രൂപത്തിൽ വിവരിച്ച രീതികൾ ഇതിനകം തന്നെ നടപ്പിലാക്കിയിട്ടുണ്ട് ജിനീവ, വികസിപ്പിച്ചെടുത്തു സെൻസറിംഗ് രീതികൾ മറികടക്കാൻ.

അവലംബം: opennet.ru