ਫਾਇਰਫਾਕਸ ਅਤੇ ਕਲਾਉਡਫਲੇਅਰ HTTPS ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਡੋਮੇਨ ਨੂੰ ਲੁਕਾਉਣ ਲਈ ECH ਸਹਾਇਤਾ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦੇ ਹਨ

ਮੋਜ਼ੀਲਾ ਨੇ ECH (ਏਨਕ੍ਰਿਪਟਡ ਕਲਾਇੰਟ ਹੈਲੋ) ਵਿਧੀ ਲਈ ਫਾਇਰਫਾਕਸ ਦੀ ਸਥਿਰ ਸ਼ਾਖਾ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਸਮਰਥਨ ਸ਼ਾਮਲ ਕਰਨ ਦਾ ਐਲਾਨ ਕੀਤਾ ਹੈ, ਜੋ ESNI (ਏਨਕ੍ਰਿਪਟਡ ਸਰਵਰ ਨੇਮ ਇੰਡੀਕੇਸ਼ਨ) ਤਕਨਾਲੋਜੀ ਦੇ ਵਿਕਾਸ ਨੂੰ ਜਾਰੀ ਰੱਖਦਾ ਹੈ ਅਤੇ TLS ਸੈਸ਼ਨਾਂ ਦੇ ਪੈਰਾਮੀਟਰਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। , ਜਿਵੇਂ ਕਿ ਬੇਨਤੀ ਕੀਤਾ ਡੋਮੇਨ ਨਾਮ। ECH ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਕੋਡ ਅਸਲ ਵਿੱਚ ਫਾਇਰਫਾਕਸ 85 ਰੀਲੀਜ਼ ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਸੀ, ਪਰ ਮੂਲ ਰੂਪ ਵਿੱਚ ਅਯੋਗ ਕੀਤਾ ਗਿਆ ਸੀ। ਕਰੋਮ ਨੇ ਹੌਲੀ-ਹੌਲੀ ਕਰੋਮ 115 ਦੇ ਰੀਲੀਜ਼ ਤੋਂ ਸ਼ੁਰੂ ਕਰਦੇ ਹੋਏ ECH ਸਹਾਇਤਾ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤਾ।

ਕਿਉਂਕਿ ਨਾਲ ਜੁੜਨ ਤੋਂ ਇਲਾਵਾ ਸਰਵਰ ਬੇਨਤੀ ਕੀਤੀ ਡੋਮੇਨ ਜਾਣਕਾਰੀ DNS ਰਾਹੀਂ ਲੀਕ ਹੁੰਦੀ ਹੈ। ਪੂਰੀ ਸੁਰੱਖਿਆ ਲਈ, ECH ਤੋਂ ਇਲਾਵਾ, ਤੁਹਾਨੂੰ DNS ਟ੍ਰੈਫਿਕ ਨੂੰ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ HTTPS ਉੱਤੇ DNS ਜਾਂ TLS ਉੱਤੇ DNS ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਫਾਇਰਫਾਕਸ ਸੈਟਿੰਗਾਂ ਵਿੱਚ HTTPS ਉੱਤੇ DNS ਨੂੰ ਸਮਰੱਥ ਕੀਤੇ ਬਿਨਾਂ ECH ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰੇਗਾ। ਤੁਸੀਂ ਇਸ ਪੰਨੇ 'ਤੇ ਆਪਣੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ECH ਸਹਾਇਤਾ ਦੀ ਜਾਂਚ ਕਰ ਸਕਦੇ ਹੋ।

ਫਾਇਰਫਾਕਸ ਵਿੱਚ ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ ECH ਸਹਾਇਤਾ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਵਾਲੇ ਕਾਰਕਾਂ ਵਿੱਚੋਂ ਇੱਕ ਸੀ ਕਲਾਉਡਫਲੇਅਰ ਦੁਆਰਾ ਕੁਝ ਦਿਨ ਪਹਿਲਾਂ ਇਸਦੇ ਸਮੱਗਰੀ ਡਿਲੀਵਰੀ ਨੈਟਵਰਕ ਵਿੱਚ ECH ਸਹਾਇਤਾ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨਾ। ਵਿਹਾਰਕ ਪੱਖ ਤੋਂ, ਕਿਉਂਕਿ ECH ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਬੇਨਤੀ ਕੀਤੇ ਮੇਜ਼ਬਾਨਾਂ ਬਾਰੇ ਡੇਟਾ ਵਿਸ਼ਲੇਸ਼ਣ ਤੋਂ ਲੁਕਿਆ ਹੋਇਆ ਹੈ, Cloudflare CDN ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਅਣਚਾਹੇ ਸਾਈਟਾਂ ਨੂੰ ਫਿਲਟਰ ਕਰਨ ਅਤੇ ਬਲੌਕ ਕਰਨ ਲਈ ਹੁਣ ਪੂਰੇ Cloudflare ਨੈੱਟਵਰਕ ਨੂੰ ਬਲੌਕ ਕਰਨ, ECH ਤੋਂ ਸਾਰੀਆਂ ਬੇਨਤੀਆਂ ਨੂੰ ਬਲੌਕ ਕਰਨ, ਜਾਂ ਜਾਅਲੀ ਰੂਟ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ HTTPS ਇੰਟਰਸੈਪਸ਼ਨ ਦਾ ਆਯੋਜਨ ਕਰਨ ਦੀ ਲੋੜ ਹੋਵੇਗੀ। ਉਪਭੋਗਤਾ ਸਿਸਟਮ 'ਤੇ.

ਸ਼ੁਰੂ ਵਿੱਚ, ਕਈ HTTPS ਸਾਈਟਾਂ ਦੇ ਇੱਕ IP ਪਤੇ 'ਤੇ ਕੰਮ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ, TLS ਐਕਸਟੈਂਸ਼ਨ SNI ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਗਈ ਸੀ, ਜਿਸ ਵਿੱਚ ਇੱਕ ਐਨਕ੍ਰਿਪਟਡ ਸੰਚਾਰ ਚੈਨਲ ਸਥਾਪਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰਸਾਰਿਤ ਕੀਤੇ ਗਏ ClientHello ਸੁਨੇਹੇ ਵਿੱਚ ਬੇਨਤੀ ਕੀਤੇ ਹੋਸਟ ਦਾ ਨਾਮ ਦਰਸਾਇਆ ਗਿਆ ਸੀ। ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਨੇ ਕੁਨੈਕਸ਼ਨ ਪ੍ਰੋਸੈਸਿੰਗ ਦੇ ਸ਼ੁਰੂਆਤੀ ਪੜਾਅ 'ਤੇ ਵਰਚੁਅਲ ਮੇਜ਼ਬਾਨਾਂ ਵਿੱਚ ਬੇਨਤੀਆਂ ਨੂੰ ਵੰਡਣਾ ਸੰਭਵ ਬਣਾਇਆ, ਪਰ ਨਾਲ ਹੀ ISP ਵਾਲੇ ਪਾਸੇ HTTPS ਟ੍ਰੈਫਿਕ ਨੂੰ ਚੋਣਵੇਂ ਤੌਰ 'ਤੇ ਫਿਲਟਰ ਕਰਨਾ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਸੰਭਵ ਬਣਾਇਆ ਕਿ ਉਪਭੋਗਤਾ ਕਿਹੜੀਆਂ ਸਾਈਟਾਂ ਖੋਲ੍ਹਦਾ ਹੈ, ਜਿਸ ਨੇ ਵਰਤਣ ਵੇਲੇ ਪੂਰੀ ਗੁਪਤਤਾ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੱਤੀ। HTTPS।

ਇਸ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਅਤੇ ਬੇਨਤੀ ਕੀਤੀ ਸਾਈਟ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇ ਲੀਕ ਹੋਣ ਨੂੰ ਰੋਕਣ ਲਈ, ਇੱਕ ESNI ਐਕਸਟੈਂਸ਼ਨ ਨੂੰ ਬਾਅਦ ਵਿੱਚ ਪ੍ਰਸਤਾਵਿਤ ਕੀਤਾ ਗਿਆ ਸੀ ਜੋ ਹੋਸਟ ਨਾਮ ਦੇ ਨਾਲ ਡੇਟਾ ਇਨਕ੍ਰਿਪਸ਼ਨ ਨੂੰ ਲਾਗੂ ਕਰਦਾ ਹੈ। ESNI ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੇ ਦੌਰਾਨ, ਇਹ ਖੁਲਾਸਾ ਹੋਇਆ ਸੀ ਕਿ ਪ੍ਰਸਤਾਵਿਤ ਵਿਧੀ ਹੋਸਟ ਡੇਟਾ ਲੀਕੇਜ ਦੇ ਸਾਰੇ ਸੰਭਾਵੀ ਸਰੋਤਾਂ ਨੂੰ ਕਵਰ ਨਹੀਂ ਕਰਦੀ ਹੈ ਅਤੇ ਇਸਦੀ ਵਰਤੋਂ HTTPS ਸੈਸ਼ਨਾਂ ਦੀ ਪੂਰੀ ਗੁਪਤਤਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਕਾਫ਼ੀ ਨਹੀਂ ਹੈ। ਖਾਸ ਤੌਰ 'ਤੇ, ਜਦੋਂ ਪਹਿਲਾਂ ਸਥਾਪਤ ਸੈਸ਼ਨ ਨੂੰ ਮੁੜ ਸ਼ੁਰੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਸਪੱਸ਼ਟ ਟੈਕਸਟ ਵਿੱਚ ਡੋਮੇਨ ਨਾਮ PSK (ਪ੍ਰੀ-ਸ਼ੇਅਰਡ ਕੁੰਜੀ) TLS ਐਕਸਟੈਂਸ਼ਨ ਦੇ ਮਾਪਦੰਡਾਂ ਵਿੱਚ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾਣਾ ਜਾਰੀ ਰੱਖਿਆ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ESNI ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੇ ਯਤਨਾਂ ਨੇ ਅਨੁਕੂਲਤਾ ਅਤੇ ਸਕੇਲਿੰਗ ਮੁੱਦਿਆਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਹੈ ਜਿਨ੍ਹਾਂ ਨੇ ESNI ਨੂੰ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਅਪਣਾਉਣ ਤੋਂ ਰੋਕਿਆ ਹੈ।

ESNI ਦੀਆਂ ਪਛਾਣੀਆਂ ਗਈਆਂ ਕਮੀਆਂ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ, ਇੱਕ ਨਵਾਂ ਯੂਨੀਵਰਸਲ ECH ਵਿਧੀ ਵਿਕਸਤ ਕੀਤੀ ਗਈ ਸੀ ਜੋ ਕਿਸੇ ਵੀ TLS ਐਕਸਟੈਂਸ਼ਨਾਂ ਦੇ ਮਾਪਦੰਡਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। ਤਕਨੀਕੀ ਤੌਰ 'ਤੇ, ECH ਅਤੇ ESNI ਵਿਚਕਾਰ ਮੁੱਖ ਅੰਤਰ ਇਹ ਹੈ ਕਿ ਵਿਅਕਤੀਗਤ ਖੇਤਰਾਂ ਦੀ ਬਜਾਏ, ਪੂਰਾ ClientHello ਸੁਨੇਹਾ ਇੱਕ ਵਾਰ ਵਿੱਚ ਐਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ। ECH ਵਿੱਚ ClientHello ਨੂੰ ਦੋ ਵੱਖ-ਵੱਖ ਸੁਨੇਹਿਆਂ ਵਿੱਚ ਵੰਡਣਾ ਸ਼ਾਮਲ ਹੈ - ਏਨਕ੍ਰਿਪਟਡ ClientHelloInner ਸੁਨੇਹਾ (SNI Inner) ਅਤੇ ਅਣ-ਇਨਕ੍ਰਿਪਟਡ ਅੰਡਰਲਾਈੰਗ ClientHelloOuter ਸੁਨੇਹਾ (SNI Outer)। ਇੱਕ ਗੈਰ-ਇਨਕ੍ਰਿਪਟਡ SNI ਆਊਟਰ ਵਿੱਚ ਗੈਰ-ਗੋਪਨੀਯਤਾ ਡੇਟਾ ਹੁੰਦਾ ਹੈ ਜਿਵੇਂ ਕਿ TLS ਸੰਸਕਰਣ ਅਤੇ ਵਰਤੇ ਗਏ ਸਿਫਰਾਂ ਦੀ ਇੱਕ ਸੂਚੀ, ਅਤੇ ਨਾਲ ਹੀ ਇੱਕ ਆਮ ਡੋਮੇਨ ਨਾਮ ਜੋ ਬੇਨਤੀ ਕੀਤੇ ਡੋਮੇਨ ਦੇ ਅਸਲ ਨਾਮ ਨਾਲ ਓਵਰਲੈਪ ਨਹੀਂ ਹੁੰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਸਾਰੇ Cloudflare ਕਲਾਇੰਟਸ ਲਈ, ਅਣਏਨਕ੍ਰਿਪਟਡ SNI Outer ਆਮ ਹੋਸਟ "cloudflare-ech.com" ਨੂੰ ਨਿਸ਼ਚਿਤ ਕਰਦਾ ਹੈ, ਪਰ ਬੇਨਤੀ ਕੀਤੇ ਹੋਸਟ ਦਾ ਅਸਲ ਨਾਮ ਐਨਕ੍ਰਿਪਟਡ SNI ਇਨਰ ਵਿੱਚ ਪ੍ਰਸਾਰਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਉਪਲਬਧ ਨਹੀਂ ਹੈ।

ECH ਇੱਕ ਵੱਖਰੀ ਇਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀ ਵੰਡ ਸਕੀਮ ਦੀ ਵੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ: ਜਨਤਕ ਕੁੰਜੀ ਜਾਣਕਾਰੀ TXT ਰਿਕਾਰਡਾਂ ਦੀ ਬਜਾਏ HTTPSSVC DNS ਰਿਕਾਰਡਾਂ ਵਿੱਚ ਪ੍ਰਸਾਰਿਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। HPKE (ਹਾਈਬ੍ਰਿਡ ਪਬਲਿਕ ਕੀ ਐਨਕ੍ਰਿਪਸ਼ਨ) ਵਿਧੀ 'ਤੇ ਅਧਾਰਤ ਪ੍ਰਮਾਣਿਤ ਐਂਡ-ਟੂ-ਐਂਡ ਇਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀ ਪ੍ਰਾਪਤ ਕਰਨ ਅਤੇ ਏਨਕ੍ਰਿਪਟ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ। ECH ਸਰਵਰ ਤੋਂ ਸੁਰੱਖਿਅਤ ਕੁੰਜੀ ਰੀਟ੍ਰਾਂਸਮਿਸ਼ਨ ਦਾ ਵੀ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਜਿਸਦੀ ਵਰਤੋਂ ਕੁੰਜੀ ਰੋਟੇਸ਼ਨ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਸਰਵਰ ਅਤੇ DNS ਕੈਸ਼ ਤੋਂ ਪੁਰਾਣੀਆਂ ਕੁੰਜੀਆਂ ਪ੍ਰਾਪਤ ਕਰਨ ਨਾਲ ਸਬੰਧਤ ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ।

ਸਰੋਤ: opennet.ru