V Rusku plánují zakázat protokoly, které umožňují skrýt název webové stránky

Začalo veřejné projednávání návrhu právního aktu o změnách v Federálním zákoně „O informacích, informačních technologiích a o ochraně informací“, který vypracovalo Ministerstvo digitálního rozvoje, komunikací a masových médií. V zákoně se navrhuje zavést zákaz používání na území Ruské federace „protokolů šifrování, které umožňují skrýt název (identifikátor) internetové stránky nebo webu v síti Internet, s výjimkou případů stanovených legislativou Ruské federace.“

Za porušení zákazu používání protokolů šifrování, které umožňují skrýt název webu, se navrhuje pozastavit funkci internetového zdroje nejpozději do 1 (jednoho) pracovního dne od dne zjištění tohoto porušení oprávněným federálním správním orgánem. Hlavním cílem blokace je rozšíření TLS ECH (*dříve známé jako ESNI), které může být použito spolu s TLS 1.3 a již bylo zablokováno v Číně. Vzhledem k tomu, že formulace v návrhu zákona jsou vágní a chybí konkrétní údaje, kromě ECH/ESNI mohou formálně pod blokaci spadat prakticky jakékoliv protokoly zajišťující úplné šifrování komunikačního kanálu, stejně jako protokoly DNS přes HTTPS (DoH) a DNS přes TLS (DoT).

Připomeňme, že pro organizaci práce několika HTTPS-webů na jedné IP adrese bylo v minulosti vyvinuto rozšíření SNI, které zajišťuje přenos názvu hostitele v otevřené podobě v hlášení ClientHello, které je přenášeno před nastavením šifrovaného komunikačního kanálu. Tato vlastnost umožňuje poskytovateli internetových služeb selektivně filtrovat HTTPS provoz a analyzovat, jaké stránky uživatel otevírá, což neumožňuje dosažení plné důvěrnosti při používání HTTPS.

ECH/ESNI úplne vylučuje únik informácií o požadovanej stránke pri analyzovaní HTTPS pripojení. V kombinácii so žiadosťami cez sieť pre distribúciu obsahu umožňuje použitie ECH/ESNI aj skryť pred poskytovateľom a IP adresu požadovaného zdroja — systémy na inšpekciu toku vidia iba žiadosti na CDN a nemôžu uplatniť blokovanie bez podvodu TLS relácie, v prípade ktorého sa v prehliadači používateľa zobrazí príslušné oznámenie o podvode certifikátu. V prípade zavedenia zákazu ECH/ESNI na čelenie takejto možnosti môže pomôcť len úplné obmedzenie prístupu k sieťam pre distribúciu obsahu (CDN) podporujúcim ECH/ESNI, inak bude blokovanie neúčinné a ľahko obchádzateľné pomocou CDN.

Pri použití ECH/ESNI sa názov hostiteľa, rovnako ako v SNI, prenáša v správe ClientHello, ale obsah prenášaných údajov v tejto správe je šifrovaný. Na šifrovanie sa používa tajomstvo vypočítané na základe kľúčov servera a klienta. Na dešifrovanie zachytenej alebo prijatej hodnoty poľa ECH/ESNI je potrebné poznať súkromný kľúč klienta alebo servera (plus verejné kľúče servera alebo klienta). Informácie o verejných kľúčoch sa prenášajú pre serverový kľúč v DNS, a pre klientský kľúč v správe ClientHello. Dešifrovanie je tiež možné pomocou dohodnutého v procese nastavenia TLS pripojenia spoločného tajomstva, známeho iba klientovi a serveru.

Zdroj: opennet.ru