ഫയർഫോക്സും ക്ലൗഡ്ഫ്ലെയറും HTTPS ട്രാഫിക്കിൽ ഡൊമെയ്ൻ മറയ്ക്കുന്നതിന് ECH പിന്തുണ പ്രാപ്തമാക്കുന്നു

ESNI (എൻക്രിപ്റ്റഡ് സെർവർ നെയിം ഇൻഡിക്കേഷൻ) സാങ്കേതികവിദ്യയുടെ വികസനം തുടരുന്ന, TLS സെഷനുകളുടെ പാരാമീറ്ററുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ രൂപകൽപ്പന ചെയ്തിട്ടുള്ള ECH (എൻക്രിപ്റ്റഡ് ക്ലയന്റ് ഹലോ) മെക്കാനിസത്തിനായുള്ള ഫയർഫോക്സിന്റെ സ്ഥിരതയുള്ള ശാഖയിലെ ഉപയോക്താക്കൾക്കുള്ള പിന്തുണ ഉൾപ്പെടുത്തുന്നതായി മോസില്ല പ്രഖ്യാപിച്ചു. , അഭ്യർത്ഥിച്ച ഡൊമെയ്ൻ നാമം പോലുള്ളവ. ECH-നൊപ്പം പ്രവർത്തിക്കുന്നതിനുള്ള കോഡ് ആദ്യം ഫയർഫോക്സ് 85 പതിപ്പിലേക്ക് ചേർത്തിരുന്നു, പക്ഷേ സ്ഥിരസ്ഥിതിയായി അത് പ്രവർത്തനരഹിതമാക്കി. Chrome 115-ന്റെ റിലീസ് മുതൽ Chrome ക്രമേണ ECH പിന്തുണ ഉൾപ്പെടുത്താൻ തുടങ്ങി.

കണക്റ്റുചെയ്യുന്നതിനു പുറമേ സെർവർ അഭ്യർത്ഥിച്ച ഡൊമെയ്ൻ വിവരങ്ങൾ DNS വഴിയാണ് ചോർത്തുന്നത്. പൂർണ്ണ സംരക്ഷണത്തിനായി, ECH-ന് പുറമേ, DNS ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്യുന്നതിന് നിങ്ങൾ HTTPS വഴിയുള്ള DNS അല്ലെങ്കിൽ TLS വഴിയുള്ള DNS ഉപയോഗിക്കണം. ക്രമീകരണങ്ങളിൽ HTTPS വഴിയുള്ള DNS പ്രവർത്തനക്ഷമമാക്കാതെ ഫയർഫോക്സ് ECH ഉപയോഗിക്കില്ല. ഈ പേജിൽ നിങ്ങളുടെ ബ്രൗസറിൽ ECH പിന്തുണ പരിശോധിക്കാം.

ഫയർഫോക്സിൽ സ്ഥിരസ്ഥിതിയായി ECH പിന്തുണ പ്രവർത്തനക്ഷമമാക്കിയ ഘടകങ്ങളിലൊന്ന്, കുറച്ച് ദിവസങ്ങൾക്ക് മുമ്പ് ക്ലൗഡ്ഫ്ലെയർ അതിന്റെ ഉള്ളടക്ക ഡെലിവറി നെറ്റ്‌വർക്കിൽ ECH പിന്തുണ ഉൾപ്പെടുത്തിയതാണ്. പ്രായോഗിക വശത്ത്, ECH ഉപയോഗിക്കുമ്പോൾ അഭ്യർത്ഥിച്ച ഹോസ്റ്റുകളെക്കുറിച്ചുള്ള ഡാറ്റ വിശകലനത്തിൽ നിന്ന് മറഞ്ഞിരിക്കുന്നതിനാൽ, ക്ലൗഡ്ഫ്ലെയർ CDN ഉപയോഗിച്ച് അനാവശ്യ സൈറ്റുകൾ ഫിൽട്ടർ ചെയ്യുന്നതിനും തടയുന്നതിനും ഇപ്പോൾ ക്ലൗഡ്ഫ്ലെയർ നെറ്റ്‌വർക്കിനെ മുഴുവൻ തടയുകയോ ECH-ൽ നിന്നുള്ള എല്ലാ അഭ്യർത്ഥനകളും തടയുകയോ വ്യാജ റൂട്ട് സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ച് HTTPS തടസ്സപ്പെടുത്തൽ സംഘടിപ്പിക്കുകയോ ചെയ്യേണ്ടതുണ്ട്. ഉപയോക്തൃ സിസ്റ്റത്തിൽ.

തുടക്കത്തിൽ, നിരവധി എച്ച്ടിടിപിഎസ് സൈറ്റുകളുടെ ഒരു ഐപി വിലാസത്തിൽ വർക്ക് ഓർഗനൈസുചെയ്യുന്നതിന്, ടിഎൽഎസ് എക്സ്റ്റൻഷൻ എസ്എൻഐ ഉപയോഗിച്ചു, അതിൽ എൻക്രിപ്റ്റ് ചെയ്ത ആശയവിനിമയ ചാനൽ സ്ഥാപിക്കുന്നതിന് മുമ്പ് അയച്ച ക്ലയന്റ്ഹെല്ലോ സന്ദേശത്തിൽ അഭ്യർത്ഥിച്ച ഹോസ്റ്റിന്റെ പേര് സൂചിപ്പിച്ചിരുന്നു. കണക്ഷൻ പ്രോസസ്സിംഗിന്റെ പ്രാരംഭ ഘട്ടത്തിൽ വെർച്വൽ ഹോസ്റ്റുകളിലുടനീളം അഭ്യർത്ഥനകൾ വിതരണം ചെയ്യുന്നത് ഈ സവിശേഷത സാധ്യമാക്കി, കൂടാതെ HTTPS ട്രാഫിക് തിരഞ്ഞെടുത്ത് ഫിൽട്ടർ ചെയ്യാനും ഉപയോക്താവ് തുറക്കുന്ന സൈറ്റുകൾ വിശകലനം ചെയ്യാനും ISP വശത്ത് സാധ്യമാക്കി, ഇത് ഉപയോഗിക്കുമ്പോൾ പൂർണ്ണമായ രഹസ്യാത്മകത കൈവരിക്കാൻ അനുവദിക്കുന്നില്ല. HTTPS.

ഈ പ്രശ്നം പരിഹരിക്കുന്നതിനും അഭ്യർത്ഥിച്ച സൈറ്റിനെക്കുറിച്ചുള്ള വിവരങ്ങളുടെ ചോർച്ച തടയുന്നതിനും, ഹോസ്റ്റ് നാമം ഉപയോഗിച്ച് ഡാറ്റ എൻക്രിപ്ഷൻ നടപ്പിലാക്കുന്ന ഒരു ESNI വിപുലീകരണം പിന്നീട് നിർദ്ദേശിക്കപ്പെട്ടു. ESNI നടപ്പിലാക്കുന്ന സമയത്ത്, ഹോസ്റ്റ് ഡാറ്റ ചോർച്ചയുടെ സാധ്യമായ എല്ലാ ഉറവിടങ്ങളും നിർദ്ദിഷ്ട സംവിധാനം ഉൾക്കൊള്ളുന്നില്ലെന്നും HTTPS സെഷനുകളുടെ പൂർണ്ണമായ രഹസ്യാത്മകത ഉറപ്പാക്കാൻ അതിന്റെ ഉപയോഗം പര്യാപ്തമല്ലെന്നും വെളിപ്പെടുത്തി. പ്രത്യേകിച്ചും, മുമ്പ് സ്ഥാപിതമായ ഒരു സെഷൻ പുനരാരംഭിക്കുമ്പോൾ, PSK (പ്രീ-ഷെയർഡ് കീ) TLS വിപുലീകരണത്തിന്റെ പാരാമീറ്ററുകൾക്കിടയിൽ വ്യക്തമായ വാചകത്തിലുള്ള ഡൊമെയ്ൻ നാമം വ്യക്തമാക്കുന്നത് തുടർന്നു. കൂടാതെ, ESNI നടപ്പിലാക്കുന്നതിനുള്ള ശ്രമങ്ങൾ ESNI യുടെ വ്യാപകമായ ദത്തെടുക്കൽ തടയുന്ന അനുയോജ്യതയും സ്കെയിലിംഗ് പ്രശ്നങ്ങളും തിരിച്ചറിഞ്ഞു.

ESNI-യുടെ തിരിച്ചറിഞ്ഞ പോരായ്മകൾ കണക്കിലെടുത്ത്, ഏതെങ്കിലും TLS എക്സ്റ്റൻഷനുകളുടെ പാരാമീറ്ററുകൾ എൻക്രിപ്റ്റ് ചെയ്യാൻ അനുവദിക്കുന്ന ഒരു പുതിയ സാർവത്രിക ECH സംവിധാനം വികസിപ്പിച്ചെടുത്തു. സാങ്കേതികമായി, ECH ഉം ESNI ഉം തമ്മിലുള്ള പ്രധാന വ്യത്യാസം, വ്യക്തിഗത ഫീൽഡുകൾക്ക് പകരം, മുഴുവൻ ClientHello സന്ദേശവും ഒരേസമയം എൻക്രിപ്റ്റ് ചെയ്യപ്പെടുന്നു എന്നതാണ്. ClientHello-യെ രണ്ട് വ്യത്യസ്ത സന്ദേശങ്ങളായി വിഭജിക്കുന്നത് ECH-ൽ ഉൾപ്പെടുന്നു - എൻക്രിപ്റ്റ് ചെയ്ത ClientHelloInner സന്ദേശവും (SNI ഇന്നർ) എൻക്രിപ്റ്റ് ചെയ്യാത്ത അന്തർലീനമായ ClientHelloOuter സന്ദേശവും (SNI ഔട്ടർ). എൻക്രിപ്റ്റ് ചെയ്യാത്ത ഒരു SNI ഔട്ടർ TLS പതിപ്പും ഉപയോഗിച്ച സൈഫറുകളുടെ ഒരു ലിസ്റ്റ് പോലെയുള്ള സ്വകാര്യത ഇതര ഡാറ്റയും അഭ്യർത്ഥിച്ച ഡൊമെയ്‌നിന്റെ യഥാർത്ഥ നാമവുമായി ഓവർലാപ്പ് ചെയ്യാത്ത ഒരു പൊതു ഡൊമെയ്‌ൻ നാമവും വഹിക്കുന്നു. ഉദാഹരണത്തിന്, എല്ലാ Cloudflare ക്ലയന്റുകൾക്കും, എൻക്രിപ്റ്റ് ചെയ്യാത്ത SNI ഔട്ടർ പൊതുവായ ഹോസ്റ്റ് "cloudflare-ech.com" വ്യക്തമാക്കുന്നു, എന്നാൽ അഭ്യർത്ഥിച്ച ഹോസ്റ്റിന്റെ യഥാർത്ഥ പേര് എൻക്രിപ്റ്റ് ചെയ്ത SNI ഇന്നറിലാണ് ട്രാൻസ്മിറ്റ് ചെയ്യുന്നത്, അത് വിശകലനത്തിന് ലഭ്യമല്ല.

ECH വ്യത്യസ്തമായ ഒരു എൻക്രിപ്ഷൻ കീ വിതരണ പദ്ധതിയും ഉപയോഗിക്കുന്നു: TXT റെക്കോർഡുകളേക്കാൾ HTTPSSVC DNS റെക്കോർഡുകളിലാണ് പബ്ലിക് കീ വിവരങ്ങൾ കൈമാറുന്നത്. കീ നേടുന്നതിനും എൻക്രിപ്റ്റ് ചെയ്യുന്നതിനും HPKE (ഹൈബ്രിഡ് പബ്ലിക് കീ എൻക്രിപ്ഷൻ) മെക്കാനിസത്തെ അടിസ്ഥാനമാക്കിയുള്ള ആധികാരികമാക്കിയ എൻഡ്-ടു-എൻഡ് എൻക്രിപ്ഷൻ ഉപയോഗിക്കുന്നു. സെർവറിൽ നിന്നുള്ള സുരക്ഷിത കീ റീട്രാൻസ്മിഷനും ECH പിന്തുണയ്ക്കുന്നു, കീ റൊട്ടേഷൻ സംഭവിക്കുമ്പോൾ ഇത് ഉപയോഗിക്കാൻ കഴിയും. സെർവർ കൂടാതെ DNS കാഷെയിൽ നിന്ന് കാലഹരണപ്പെട്ട കീകൾ വീണ്ടെടുക്കുന്നതിലെ പ്രശ്നങ്ങൾ പരിഹരിക്കുന്നതിനും.

അവലംബം: opennet.ru