Firefox आणि Cloudflare HTTPS ट्रॅफिकमध्ये डोमेन लपवण्यासाठी ECH समर्थन सक्षम करतात

Mozilla ने फायरफॉक्सच्या स्थिर शाखेच्या वापरकर्त्यांसाठी ECH (एनक्रिप्टेड क्लायंट हॅलो) यंत्रणेसाठी समर्थन समाविष्ट करण्याची घोषणा केली आहे, जी ESNI (एनक्रिप्टेड सर्व्हर नेम इंडिकेशन) तंत्रज्ञानाचा विकास सुरू ठेवते आणि TLS सत्रांच्या पॅरामीटर्सची माहिती एन्क्रिप्ट करण्यासाठी डिझाइन केलेली आहे. , जसे की विनंती केलेले डोमेन नाव. ECH सह कार्य करण्यासाठी कोड मूलतः फायरफॉक्स 85 रिलीझमध्ये जोडला गेला होता, परंतु डीफॉल्टनुसार अक्षम केला गेला होता. क्रोम 115 च्या रिलीझपासून क्रोमने हळूहळू ECH समर्थन समाविष्ट करण्यास सुरुवात केली.

कनेक्ट होण्याव्यतिरिक्त सर्व्हर विनंती केलेली डोमेन माहिती DNS द्वारे लीक होते. पूर्ण संरक्षणासाठी, ECH व्यतिरिक्त, DNS ट्रॅफिक एन्क्रिप्ट करण्यासाठी तुम्हाला HTTPS वर DNS किंवा TLS वर DNS वापरणे आवश्यक आहे. सेटिंग्जमध्ये HTTPS वर DNS सक्षम केल्याशिवाय Firefox ECH वापरणार नाही. तुम्ही या पेजवर तुमच्या ब्राउझरमध्ये ECH सपोर्ट तपासू शकता.

फायरफॉक्समध्ये डीफॉल्टनुसार ECH समर्थन सक्षम करणारे घटक म्हणजे क्लाउडफ्लेअरने काही दिवसांपूर्वी त्याच्या सामग्री वितरण नेटवर्कमध्ये ECH समर्थनाचा समावेश केला. व्यावहारिक बाजूने, ECH वापरताना विनंती केलेल्या होस्टबद्दलचा डेटा विश्लेषणापासून लपविला जात असल्याने, Cloudflare CDN वापरून अवांछित साइट फिल्टर करणे आणि ब्लॉक करणे यासाठी आता संपूर्ण Cloudflare नेटवर्क ब्लॉक करणे, ECH कडील सर्व विनंत्या ब्लॉक करणे किंवा बनावट रूट प्रमाणपत्रे वापरून HTTPS इंटरसेप्शन आयोजित करणे आवश्यक आहे. वापरकर्ता प्रणालीवर.

सुरुवातीला, अनेक HTTPS साइट्सच्या एका IP पत्त्यावर काम आयोजित करण्यासाठी, TLS विस्तार SNI वापरला गेला, ज्यामध्ये एनक्रिप्टेड संप्रेषण चॅनेल स्थापित करण्यापूर्वी प्रसारित केलेल्या ClientHello संदेशामध्ये विनंती केलेल्या होस्टचे नाव सूचित केले गेले. या वैशिष्ट्यामुळे कनेक्शन प्रक्रियेच्या सुरुवातीच्या टप्प्यावर व्हर्च्युअल होस्टवर विनंत्या वितरित करणे शक्य झाले, परंतु ISP बाजूने निवडकपणे HTTPS ट्रॅफिक फिल्टर करणे आणि वापरकर्त्याने कोणत्या साइट उघडल्या याचे विश्लेषण करणे देखील शक्य केले, ज्याने वापरताना पूर्ण गोपनीयता प्राप्त करण्यास अनुमती दिली नाही. HTTPS.

या समस्येचे निराकरण करण्यासाठी आणि विनंती केलेल्या साइटबद्दल माहितीची गळती रोखण्यासाठी, नंतर एक ESNI विस्तार प्रस्तावित करण्यात आला जो होस्ट नावासह डेटा एन्क्रिप्शन लागू करतो. ESNI च्या अंमलबजावणीदरम्यान, हे उघड झाले की प्रस्तावित यंत्रणा होस्ट डेटा लीकेजच्या सर्व संभाव्य स्त्रोतांना कव्हर करत नाही आणि HTTPS सत्रांची संपूर्ण गोपनीयता सुनिश्चित करण्यासाठी त्याचा वापर पुरेसा नाही. विशेषतः, पूर्वी स्थापित केलेले सत्र पुन्हा सुरू करताना, स्पष्ट मजकूरातील डोमेन नाव PSK (प्री-शेअर की) TLS विस्ताराच्या पॅरामीटर्समध्ये निर्दिष्ट करणे सुरू ठेवले. याव्यतिरिक्त, ESNI लागू करण्याच्या प्रयत्नांनी सुसंगतता आणि स्केलिंग समस्या ओळखल्या आहेत ज्यामुळे ESNI चा व्यापक अवलंब होण्यापासून रोखले गेले आहे.

ESNI च्या ओळखल्या गेलेल्या कमतरता लक्षात घेऊन, एक नवीन सार्वत्रिक ECH यंत्रणा विकसित केली गेली जी कोणत्याही TLS विस्तारांच्या पॅरामीटर्सच्या एन्क्रिप्शनला अनुमती देते. तांत्रिकदृष्ट्या, ECH आणि ESNI मधील मुख्य फरक हा आहे की वैयक्तिक फील्डऐवजी, संपूर्ण ClientHello संदेश एकाच वेळी एनक्रिप्ट केला जातो. ECH मध्ये ClientHello ला दोन स्वतंत्र संदेशांमध्ये विभाजित करणे समाविष्ट आहे - एनक्रिप्टेड ClientHelloInner संदेश (SNI Inner) आणि अनएनक्रिप्टेड अंतर्निहित ClientHelloOuter संदेश (SNI Outer). एनक्रिप्ट न केलेले SNI Outer मध्ये गैर-गोपनीयता डेटा असतो जसे की TLS आवृत्ती आणि वापरलेल्या सिफरची सूची, तसेच सामान्य डोमेन नाव जे विनंती केलेल्या डोमेनच्या वास्तविक नावाशी ओव्हरलॅप होत नाही. उदाहरणार्थ, सर्व क्लाउडफ्लेअर क्लायंटसाठी, एनक्रिप्ट न केलेले SNI Outer सामान्य होस्ट "cloudflare-ech.com" निर्दिष्ट करते, परंतु विनंती केलेल्या होस्टचे वास्तविक नाव एनक्रिप्टेड SNI इनरमध्ये प्रसारित केले जाते आणि ते विश्लेषणासाठी उपलब्ध नाही.

ECH वेगळ्या एन्क्रिप्शन की वितरण योजनेचा देखील वापर करते: सार्वजनिक की माहिती TXT रेकॉर्डऐवजी HTTPSSVC DNS रेकॉर्डमध्ये प्रसारित केली जाते. HPKE (हायब्रिड पब्लिक की एन्क्रिप्शन) यंत्रणेवर आधारित प्रमाणित एंड-टू-एंड एन्क्रिप्शनचा वापर की मिळविण्यासाठी आणि एन्क्रिप्ट करण्यासाठी केला जातो. ECH सर्व्हरवरून सुरक्षित की रीट्रान्समिशनला देखील समर्थन देते, जे की रोटेशनच्या बाबतीत वापरले जाऊ शकते. सर्व्हर आणि DNS कॅशेमधून कालबाह्य की पुनर्प्राप्त करण्याच्या समस्या सोडवण्यासाठी.

स्त्रोत: opennet.ru