Firma Google rozpoczęła wdrażanie funkcji IP Protection w przeglądarce Chrome, która ma na celu ukrycie adresu IP użytkownika przed właścicielami stron internetowych. Nowa funkcjonalność może być stosowana jako wbudowany anonimizer, mający na celu przede wszystkim zapobieganie śledzeniu ruchów, ale będzie również przydatna do omijania blokad, wprowadzonych zarówno po stronie stron, jak i na poziomie operatorów telekomunikacyjnych.
Technicznie zaproponowana opcja jest realizowana poprzez przesyłanie ruchu nie bezpośrednio, lecz przez serwer proxy, który przekierowuje zapytanie do docelowego serwera. Ten serwer widzi tylko adres proxy jako adres IP zapytania, podobnie jak w przypadku korzystania z VPN. W celu anonimizacji zapytania przewidziano możliwość przesyłania żądania sekwencyjnie przez kilka proxy. W tym przypadku informacja o adresie IP klienta będzie znana tylko pierwszemu proxy, podczas gdy drugie proxy w łańcuchu zobaczy adres pierwszego proxy.
Google planuje przetestować tryb ochrony adresów IP na niewielkim odsetku użytkowników w jednym z przyszłych wydań Chrome (od 119 do 125). W pierwszej fazie testów będzie zaangażowany tylko jeden serwer proxy, należący do Google, a ukrywanie będzie włączone tylko dla domen i sieci reklamowych Google. Ten etap zostanie zaoferowany dla systemów z adresami IP z USA i obejmie nie więcej niż 33% użytkowników eksperymentalnych wydań Chrome.
W drugiej fazie testowania planuje się wprowadzenie konfiguracji z dwoma poziomami proxy: najpierw połączenie będzie kierowane z przeglądarki przez szyfrowany tunel do proxy, należącego do Google, a następnie przekierowywane do drugiego proxy, należącego do firmy niezwiązanej z Google. Tunneling ruchu będzie zorganizowany w taki sposób, że pierwsze proxy, które widzi adres IP użytkownika, nie będzie widziało parametrów żądania i nie będzie mogło zidentyfikować docelowego hosta, do którego skierowane jest zapytanie użytkownika. Drugie proxy będzie mogło określić dane dotyczące docelowego hosta, ale nie zobaczy adresu IP użytkownika. Innymi słowy, proxy będą widziały informacje albo o adresie użytkownika, albo o docelowej stronie, co uniemożliwi połączenie użytkownika z żądaną stroną po stronie proxy.
Ruch będzie kierowany do proxy z wykorzystaniem metod CONNECT i CONNECT-UDP oraz tworzeniem tunelu opartego na protokole TLS, zapewniającym end-to-end szyfrowanie. W celu zapobieżenia nadużyciom dostęp do pierwszego proxy, kontrolowanego przez Google, będzie realizowany za pomocą tokena kryptograficznego, który będzie generowany przez serwer autoryzacji Google w momencie łączenia się Chrome z kontem użytkownika w Google (bez autoryzacji w Chrome dostęp do proxy będzie zablokowany). Do tokena będą też przypisane ograniczenia ruchu, które utrudnią przeprowadzanie ruchu przez serwery proxy w celach szkodliwych.
Domyślny tryb będzie wyłączony i będzie mógł być aktywowany na żądanie użytkownika. Ukrywanie adresów nie będzie stosowane do wszystkich witryn, a jedynie do specjalnie wybranego zestawu domen, które zostały przyłapane na śledzeniu ruchów użytkowników. Powiązanie z listą pozwoli uniknąć niepożądanych zmian, które naruszają działanie witryn, prowadząc do problemów z określeniem lokalizacji, segmentowaniem użytkowników i liczeniem ruchu (na przykład zablokowanie naruszyciela na witrynie może zostać zastosowane do wszystkich użytkowników przekierowywanych przez proxy).
W celu rozwiązania problemów z powiązaniem lokalizacyjnym, które mogą być używane na stronie w celu spełnienia wymogów lokalnych przepisów oraz wyboru opcji lokalizacji, proponuje się wykorzystanie proxy drugiego poziomu w tym samym kraju lub nawet mieście, co użytkownik (w końcu planowane jest rozwinięcie szerokiej sieci proxyserwerów drugiego poziomu, zbudowanej we współpracy z różnymi dostawcami i sieciami dostarczania treści).
Deweloperzy silnika WebKit rozwijają dla przeglądarki Safari podobną funkcjonalność Intelligent Tracking Protection, która na razie ogranicza się do eksperymentów z jednym proxy, ale w przyszłości ma być przeprowadzona na model z dwoma niezależnymi poziomymi serwerami proxy.
Źródło: opennet.ru
