RFC 9849. TLS Fakapulipuli'i 'a e Kalaieni Malo

Ko hono Fakaleleiʻi ʻo e ʻInitaneti ʻoku Fakalakalaka

Kuo laui hongofulu'i ta'u 'a e fakafalala 'a e 'initaneti ki ha palanisi ma'ama'a 'i he vaha'a 'o e malu mo e 'asi. Ko e ngaahi polokalama hange ko e Malu 'o e Layer 'o e Fefononga'aki (TLS), 'a e makatuliki 'o e faka'ilonga 'o e padlock 'i ho'o browser, kuo hoko ia ko ha me'angaue 'i hono fakapulipuli'i 'etau fakamatala. Ka neongo ia, kuo kei 'i ai pe ha konga mahu'inga 'o e fakamatala 'i he sio mahino: 'a e Faka'ilonga 'o e Hingoa 'o e Server (SNI). Ko e faka'ilonga fakakomipiuta ko 'eni, 'a ia 'oku ne tala ki ha server 'a e uepisaiti 'oku ke feinga ke a'u ki ai, 'oku 'ave ia 'o 'ikai fakapulipuli lolotonga 'a e 'uluaki TLS handshake. Lolotonga 'oku fie ma'u ki he routing 'o e fefononga'aki 'i ha mamani 'o e hosting vahevahe, 'Oku fakatupu 'e he faka'ali'ali ko 'eni ha ava fakapulipuli mahu'inga. ‘E lava ke sio ‘a e kau ngāue ‘Initanetí, kau pule ‘o e netiueká, mo e fa‘ahinga ‘e lava ke nau fanongo ki he uepisaiti kotoa pē ‘okú ke ‘a‘ahi ki aí, neongo kapau ‘oku fakapulipuli‘i ‘a e kakanó tonu. Ko e feitu'u 'eni 'oku hū ai ha fakalakalaka mahu'inga, 'oku fakatohi 'i he RFC 9849 pea 'oku 'iloa ko e Encrypted Client Hello (ECH), 'o tala'ofa ke tapuni 'a e loophole lahi faka'osi ko 'eni 'i he fakapulipuli 'o e uepi.

Ko e hā ʻa e RFC 9849 mo e Fakapulipuli ʻo e Kalaieni ʻo e Hello (ECH)?

RFC 9849, 'oku fakahingoa fakafo'ituitui "Sevesi 'o e ha'i mo e Parameter Fakaikiiki 'o fakafou 'i he DNS," ko e tohi tu'unga mo'ui 'oku ne fakamatala'i 'a e fa'unga ki he Encrypted Client Hello. Ko e ECH ko ha fakalahi ia ki he polokalama TLS 1.3 'oku ne fakapulipuli'i 'a e fekau kotoa 'o e Client Hello, kau ai 'a e fakamatala SNI 'oku mahu'inga. 'I hono uho, 'oku ne fetongi 'a e plaintext "'Oku ou fie fehokotaki ki he example.com" 'aki ha fekau fakapulipuli 'oku lava pe ke decrypt 'e he server 'o e uepisaiti 'oku fakataumu'a ki ai. 'Oku fakapapau'i 'e he me'a ni mei he 'uluaki sitepu 'o e founga fehokotaki'anga, 'Oku fufuu'i ho'o taumu'a mei he mata prying 'i he netiueka. 'Oku 'ikai ke fufū pe 'e he ECH 'a e SNI; 'oku ne toe fakapo'uli'i 'a e ngaahi faka'ilonga nima kehe 'e lava ke hoko 'i he nima, hange ko e ciphersuites 'oku poupou'i, 'o fakatupu ha a'usia 'o e browsing 'oku teunga tatau mo fakafo'ituitui ange. 'Oku leverages 'e he tekinolosia 'a e ngaahi founga fakapulipuli ke faka'ata 'a e client ke ne fakatupu ha kī fakapule'anga mei he ngaahi lekooti DNS 'o e uepisaiti, 'a ia 'oku ne faka'aonga'i leva ke fakapulipuli'i 'a e fakamatala 'o e nima-homo 'oku mahu'inga.

Ko e Ngaahi Monu'ia Fakakaukau 'o e Mafola 'o e ECH

Ko hono fakahoko ‘o e ECH ‘oku ne faka’ilonga’i ha momeniti mahu’inga ki he fakapulipuli mo e malu fakakomipiuta. Ko hono ngaahi lelei 'oku mahulu hake ia 'i hono fufū pe ho'o hisitōlia 'o e browsing mei ho'o ISP.

• Fakalahi 'a e Fakapulipuli 'a e Tokotaha Ngaue: 'I hono fakapulipuli'i 'o e SNI, 'Oku ta'ofi 'e he ECH 'a e ngaahi paati hono tolu mei hono langa hake ha fakamatala fakaikiiki 'o ho'o ngaahi ngaue 'i he 'initaneti 'o makatu'unga 'i he ngaahi uepisaiti 'oku ke 'a'ahi ki ai. Ko e sitepu tefito ʻeni ki hono fakafoki mai ʻo e ʻikai fakahā hingoa ʻo e tokotaha ngāue ʻi he uepi.
• Ko hono Fakata’e’aonga’i ‘o e Sensor mo e Fakafaikehekehe’i: ‘I he ngaahi vahefonua ‘e ni’ihi, ‘oku sivi’i ‘a e ‘initaneti ‘o makatu’unga ‘i he SNI. 'Oku 'ai 'e he ECH ke faingata'a ange 'aupito ki he ngaahi filita 'i he tu'unga 'o e netiueka ke ta'ofi 'a e hū ki he ngaahi uepisaiti pe ngaahi sevesi pau, 'o poupou'i ha 'initaneti 'oku fakaava ange.
• Fakasi'isi'i 'a e Funga ki he Ngaahi 'Ohofi Faka'Initaneti: 'Oku fa'a ngaue'aki 'e he kau 'ohofi 'a e ngaahi fakamatala SNI 'oku 'ikai fakapulipuli'i ke fakataumu'a ki ha ngaahi sevesi pau pe kau faka'aonga'i. 'I hono fakapo'uli'i 'o e fakamatala ko 'eni, 'Oku fakafaingata'a'ia'i 'e he ECH 'a e 'analaiso 'o e fefononga'aki mo e ngaahi fa'ahinga pau 'o e 'ohofi 'o e tangata-'i he-loto.
• Ngaahi Tu'unga Fakamo'oni 'o e 'Initaneti 'i he Kaha'u: 'Oku fakafofonga'i 'e he ECH 'a e tupulaki fakanatula 'o e TLS, 'o tapuni ha ava fakapulipuli fuoloa pea fakafe'unga'i mo e tefito'i mo'oni 'o e "fakapulipuli'i 'a e me'a kotoa pe." 'Oku ne fokotu'u ha makatu'unga fo'ou ki he me'a 'oku totonu ke 'amanaki ki ai 'a e kau faka'aonga'i mei ha fehokotaki'anga malu.

ECH mo e Kaha'u 'o e Ngaahi Ngaue Pisinisi Malu

Ki he ngaahi pisinisi, ko e liliu ki ha 'initaneti fakafo'ituitui ange 'oku ne uesia hangatonu 'a e founga 'oku nau fakalele mo malu'i ai 'enau ngaahi koloa fakakomipiuta. 'I he fakautuutu 'a e fakafalala 'a e ngaahi kautaha ki he ngaahi tu'unga 'o e 'ao mo e ngaahi sisitemi ngaue modular hange ko e Mewayz ke pule'i 'enau ngaahi ngaue, 'Oku mahu'inga taha 'a e malu 'o e fehokotaki'anga kotoa pe. 'Oku fakapapau'i 'e he ECH 'oku malu'i 'a e fetu'utaki 'i he vaha'a 'o e device 'a e tokotaha ngaue mo e ngaahi polokalama pisinisi-hosted 'i he ngaahi ngaue hange ko e Mewayz-mei he interception mei he 'uluaki packet. ‘Oku mahu‘inga ‘aupito eni ki he ngaahi pisinisi ‘oku nau tokanga‘i ‘a e ngaahi fakamatala mahu‘ingá, he ‘okú ne tānaki atu ha la‘i mahu‘inga ‘o e malu‘i mei he fanongo faka‘ulia fakapotopotó. Ko hono 'ave 'o e ngaahi tekinolosia 'oku nau poupou'i 'a e ECH 'oku ne faka'ilonga'i ha tukupa ki he malu'i 'o e motu'a, 'a ia 'e lava ke hoko ko ha me'a falala'anga mahu'inga ki he kau kasitomaa mo e ngaahi hoa ngaue. Hange ko ia na'e fakatokanga'i 'e ha mataotao 'e taha 'i he malu'i 'i ha talanoa ki he kaha'u 'o e ngaahi polokalama 'i he uepi:

"'Oku 'ikai ko ha me'a pe 'a e ECH; ko ha fakatonutonu 'oku fie ma'u ki he 'uluaki tisaini 'o e TLS. 'Oku ne fakakakato 'a e tala'ofa 'o e fakapulipuli 'o e ngata'anga ki he ngata'anga 'aki hono fakapapau'i 'oku fakataautaha 'a e 'envelope' 'o ho'o fetu'utaki 'o hange ko e tohi 'i loto."

Ko e ngaahi tu'unga 'oku nau fakamu'omu'a 'a e ngaahi fakalakalaka pehe ni, kau ai 'a e Mewayz, 'oku nau tu'unga lelei ange ke 'oatu ha 'atakai malu mo'oni ki he ngaahi ngaue 'oku mahu'inga ki he pisinisi, 'o fakapapau'i 'oku kei fakapulipuli mo mahu'inga 'a e fakamatala 'a e kautaha.

Faka'osi: 'Oku 'i he 'Aho 'o e 'Initaneti Fakataautaha ange

RFC 9849 mo e Encrypted Client Hello 'oku ne fakafofonga'i ha puna fakamanatu ki mu'a 'i he fekumi ki ha 'initaneti fakafo'ituitui mo'oni. Lolotonga e liliu 'e fie ma'u 'a e ngaahi fakafo'ou 'i he ngaahi browsers, servers, mo e ngaahi langa fakalakalaka 'o e DNS, 'Oku langa 'a e ivi. 'Oku 'osi fakahoko 'e he kau fakatau browser lalahi mo e kau foaki 'o e 'ao 'a e poupou. Ki he kau faka'aonga'i faka'osi, 'Oku 'uhinga ia ke reclaiming ha konga 'o 'enau fakapulipuli fakakomipiuta. Ki he ngaahi pisinisi leveraging 'a e ngaahi tu'unga fakaonopooni, 'Oku 'uhinga ia ki he ngaahi fakava'e malu'i malohi ange. ʻI he maʻu ʻe he tuʻunga moʻui ko ʻení ha ohi lahi, ʻoku tau ofi ange ki ha ʻinitaneti ʻa ia ʻoku maluʻi ai ʻa e tafaʻaki kotoa pē ʻo ʻetau fetuʻutakí ʻe he default, ʻo fakatupulaki ʻa e falala lahi ange mo e malu ki he tokotaha kotoa pē ʻi he ʻinitanetí.

Ngaahi Fehuʻi ʻoku Faʻa ʻEke

Ko hono Fakalelei'i 'o e Fonua 'o e 'Initaneti 'oku Fakalakalaka

Kuo laui hongofulu'i ta'u 'a e fakafalala 'a e 'initaneti ki ha palanisi ma'ama'a 'i he vaha'a 'o e malu mo e 'asi. Ko e ngaahi polokalama hange ko e Malu 'o e Layer 'o e Fefononga'aki (TLS), 'a e makatuliki 'o e faka'ilonga 'o e padlock 'i ho'o browser, kuo hoko ia ko ha me'angaue 'i hono fakapulipuli'i 'etau fakamatala. Ka neongo ia, kuo kei 'i ai pe ha konga mahu'inga 'o e fakamatala 'i he sio mahino: 'a e Faka'ilonga 'o e Hingoa 'o e Server (SNI). Ko e faka'ilonga fakakomipiuta ko 'eni, 'a ia 'oku ne tala ki ha server 'a e uepisaiti 'oku ke feinga ke a'u ki ai, 'oku 'ave ia 'o 'ikai fakapulipuli lolotonga 'a e 'uluaki TLS handshake. Lolotonga 'oku fie ma'u ki he routing 'o e fefononga'aki 'i ha mamani 'o e hosting vahevahe, 'Oku fakatupu 'e he faka'ali'ali ko 'eni ha ava fakapulipuli mahu'inga. ‘E lava ke sio ‘a e kau ngāue ‘Initanetí, kau pule ‘o e netiueká, mo e fa‘ahinga ‘e lava ke nau fanongo ki he uepisaiti kotoa pē ‘okú ke ‘a‘ahi ki aí, neongo kapau ‘oku fakapulipuli‘i ‘a e kakanó tonu. Ko e feitu'u 'eni 'oku hū ai ha fakalakalaka mahu'inga, 'oku fakatohi 'i he RFC 9849 pea 'oku 'iloa ko e Encrypted Client Hello (ECH), 'o tala'ofa ke tapuni 'a e loophole lahi faka'osi ko 'eni 'i he fakapulipuli 'o e uepi.

Ko e hā ʻa e RFC 9849 mo e Kalaieni Fakapulipuli ʻo e Hello (ECH)?

RFC 9849, 'oku fakahingoa fakafo'ituitui "Sevesi 'o e ha'i mo e Parameter Fakaikiiki 'o fakafou 'i he DNS," ko e tohi tu'unga mo'ui 'oku ne fakamatala'i 'a e fa'unga ki he Encrypted Client Hello. Ko e ECH ko ha fakalahi ia ki he polokalama TLS 1.3 'oku ne fakapulipuli'i 'a e fekau kotoa 'o e Client Hello, kau ai 'a e fakamatala SNI 'oku mahu'inga. 'I hono uho, 'oku ne fetongi 'a e plaintext "'Oku ou fie fehokotaki ki he example.com" 'aki ha fekau fakapulipuli 'oku lava pe ke decrypt 'e he server 'o e uepisaiti 'oku fakataumu'a ki ai. 'Oku fakapapau'i 'e he me'a ni mei he 'uluaki sitepu 'o e founga fehokotaki'anga, 'Oku fufuu'i ho'o taumu'a mei he mata prying 'i he netiueka. 'Oku 'ikai ke fufū pe 'e he ECH 'a e SNI; 'oku ne toe fakapo'uli'i 'a e ngaahi faka'ilonga nima kehe 'e lava ke hoko 'i he nima, hange ko e ciphersuites 'oku poupou'i, 'o fakatupu ha a'usia 'o e browsing 'oku teunga tatau mo fakafo'ituitui ange. 'Oku leverages 'e he tekinolosia 'a e ngaahi founga fakapulipuli ke faka'ata 'a e client ke ne fakatupu ha kī fakapule'anga mei he ngaahi lekooti DNS 'o e uepisaiti, 'a ia 'oku ne faka'aonga'i leva ke fakapulipuli'i 'a e fakamatala 'o e nima-homo 'oku mahu'inga.

Ko e Ngaahi Monu'ia Fakakaukau 'o e Mafola 'o e ECH

Ko hono fakahoko ‘o e ECH ‘oku ne faka’ilonga’i ha momeniti mahu’inga ki he fakapulipuli mo e malu fakakomipiuta. Ko hono ngaahi lelei 'oku mahulu hake ia 'i hono fufū pe ho'o hisitōlia 'o e browsing mei ho'o ISP.

ECH mo e Kaha'u 'o e Ngaahi Ngaue Pisinisi Malu

Ki he ngaahi pisinisi, ko e liliu ki ha 'initaneti fakafo'ituitui ange 'oku ne uesia hangatonu 'a e founga 'oku nau fakalele mo malu'i ai 'enau ngaahi koloa fakakomipiuta. 'I he fakautuutu 'a e fakafalala 'a e ngaahi kautaha ki he ngaahi tu'unga 'o e 'ao mo e ngaahi sisitemi ngaue modular hange ko e Mewayz ke pule'i 'enau ngaahi ngaue, 'Oku mahu'inga taha 'a e malu 'o e fehokotaki'anga kotoa pe. 'Oku fakapapau'i 'e he ECH 'oku malu'i 'a e fetu'utaki 'i he vaha'a 'o e device 'a e tokotaha ngaue mo e ngaahi polokalama pisinisi-hosted 'i he ngaahi ngaue hange ko e Mewayz-mei he interception mei he 'uluaki packet. ‘Oku mahu‘inga ‘aupito eni ki he ngaahi pisinisi ‘oku nau tokanga‘i ‘a e ngaahi fakamatala mahu‘ingá, he ‘okú ne tānaki atu ha la‘i mahu‘inga ‘o e malu‘i mei he fanongo faka‘ulia fakapotopotó. Ko hono 'ave 'o e ngaahi tekinolosia 'oku nau poupou'i 'a e ECH 'oku ne faka'ilonga'i ha tukupa ki he malu'i 'o e motu'a, 'a ia 'e lava ke hoko ko ha me'a falala'anga mahu'inga ki he kau kasitomaa mo e ngaahi hoa ngaue. Hange ko ia na'e fakatokanga'i 'e ha mataotao 'e taha 'i he malu'i 'i ha talanoa ki he kaha'u 'o e ngaahi polokalama 'i he uepi:

Faka'osi: 'Oku 'i he 'Aho 'o e 'Initaneti Fakataautaha ange

RFC 9849 mo e Encrypted Client Hello 'oku ne fakafofonga'i ha puna fakamanatu ki mu'a 'i he fekumi ki ha 'initaneti fakafo'ituitui mo'oni. Lolotonga e liliu 'e fie ma'u 'a e ngaahi fakafo'ou 'i he ngaahi browsers, servers, mo e ngaahi langa fakalakalaka 'o e DNS, 'Oku langa 'a e ivi. 'Oku 'osi fakahoko 'e he kau fakatau browser lalahi mo e kau foaki 'o e 'ao 'a e poupou. Ki he kau faka'aonga'i faka'osi, 'Oku 'uhinga ia ke reclaiming ha konga 'o 'enau fakapulipuli fakakomipiuta. Ki he ngaahi pisinisi leveraging 'a e ngaahi tu'unga fakaonopooni, 'Oku 'uhinga ia ki he ngaahi fakava'e malu'i malohi ange. ʻI he maʻu ʻe he tuʻunga moʻui ko ʻení ha ohi lahi, ʻoku tau ofi ange ki ha ʻinitaneti ʻa ia ʻoku maluʻi ai ʻa e tafaʻaki kotoa pē ʻo ʻetau fetuʻutakí ʻe he default, ʻo fakatupulaki ʻa e falala lahi ange mo e malu ki he tokotaha kotoa pē ʻi he ʻinitanetí.