I Ryssland planerar man att förbjuda protokoll som gör det möjligt att dölja webbplatsnamnet

Har startat offentlig diskussion av det rättsliga förslaget om ändringar i den federala lagen "Om information, informationsteknologier och skydd av information", utarbetad av ministeriet för digital utveckling, kommunikation och masskommunikation. Lagen föreslår att förbjuda användning på Ryska federationens territorium av "kryptografiska protokoll som gör det möjligt att dölja namnet (identifieraren) på en webbsida eller webbplats på internet, med undantag för fall som anges i Ryska federationens lagstiftning".

För överträdelse av förbudet mot användning av kryptografiska protokoll som gör det möjligt att dölja webbplatsnamnet föreslås att Internetresursens funktionalitet ska avbrytas senast 1 (en) arbetsdag efter att den aktuella överträdelsen upptäckts av den behöriga federala statliga myndigheten. Huvudsyftet med blockeringen är TLS-tillägget ECH (tidigare känt som ESNI), vilket kan användas tillsammans med TLS 1.3 och redan är blockerat i Kina. Eftersom formuleringarna i lagförslaget är vaga och det saknas konkretion, kan i princip alla protokoll som tillhandahåller fullständig kryptering av kommunikationskanalen, tillsammans med ECH/ESNI, formellt omfattas av blockering. DNS över HTTPS (DoH) och DNS över TLS (DoT).

Vi påminner om att det en gång togs fram ett tillägg SNI för att organisera drift av flera HTTPS-webbplatser på en och samma IP-adress, vilket möjliggör överföring av värdnamnet i klartext i meddelandet ClientHello som sänds innan en krypterad kommunikationskanal etableras. En sådan funktion gör det möjligt för internetleverantören att selektivt filtrera HTTPS-trafik och analysera vilka webbplatser användaren besöker, vilket inte gör det möjligt att uppnå fullständig konfidentialitet när HTTPS används.

ECH/ESNI eliminerar helt läckage av information om den begärda webbplatsen vid analys av HTTPS-anslutningar. I kombination med användning av ett innehållsnätverk (CDN) gör tillämpningen av ECH/ESNI det också möjligt att dölja både webbadressen och IP-adressen för den begärda resursen - trafikinspektionssystem ser bara förfrågningar till CDN och kan inte utföra blockering utan att manipulera TLS-sessionen, vilket skulle resultera i att användarens webbläsare visar ett meddelande om certifikatmanipulation. Om ECH/ESNI förbjuds för att motverka denna möjlighet kan endast ett fullständigt tillträdesförbud till CDN som stöder ECH/ESNI vara till hjälp, annars blir blockeringen ineffektiv och kan enkelt kringgås via CDN.

Vid användning av ECH/ESNI överförs värdnamnet, precis som i SNI, i ClientHello-meddelandet, men innehållet i de överförda data är krypterat. Krypteringen använder en hemlighet som beräknas baserat på serverns och klientens nycklar. För att dekryptera det fångade eller mottagna värdet av ECH/ESNI-fältet måste man känna till klientens eller serverns privata nyckel (plus serverns eller klientens offentliga nycklar). Informationen om de offentliga nycklarna överförs för servernyckeln i DNS, medan klientnyckeln skickas i ClientHello-meddelandet. Dekryptering är också möjlig genom en gemensam hemlighet som avtalats under installationen av TLS-anslutningen, känd endast för klienten och servern.

Källa: opennet.ru