SNI có đại diện cho mối quan tâm riêng tư đối với khách truy cập trang web của tôi không?

Đầu tiên, tôi xin lỗi vì tiếng Anh của tôi không tốt. Tôi vẫn đang học nó. Nó đi từ đây:

Khi tôi lưu trữ một trang web trên mỗi địa chỉ IP, tôi có thể sử dụng SSL "thuần túy" (không có SNI) và trao đổi khóa xảy ra trước khi người dùng thậm chí cho tôi biết tên máy chủ và đường dẫn mà anh ta muốn lấy. Sau khi trao đổi khóa, tất cả dữ liệu có thể được trao đổi một cách an toàn. Điều đó nói rằng, nếu bất kỳ ai tình cờ đánh hơi được mạng, không có thông tin bí mật nào bị rò rỉ * (xem chú thích).

Mặt khác, nếu tôi lưu trữ nhiều trang web trên mỗi địa chỉ IP, tôi có thể sẽ sử dụng SNI và do đó, khách truy cập trang web của tôi cần cho tôi biết tên máy chủ đích trước khi tôi có thể cung cấp cho anh ấy chứng chỉ phù hợp. Trong trường hợp này, ai đó đánh hơi mạng của anh ta có thể theo dõi tất cả các tên miền trang web anh ta đang truy cập.

Có bất kỳ lỗi trong giả định của tôi? Nếu không, điều này không phải là vấn đề riêng tư, giả sử người dùng cũng đang sử dụng DNS được mã hóa?

Lưu ý: Tôi cũng nhận ra rằng một trình thám thính có thể tìm kiếm ngược lại địa chỉ IP và tìm ra trang web nào đã được truy cập, nhưng tên máy chủ lưu trữ trong bản rõ thông qua cáp mạng dường như giúp việc kiểm duyệt tên miền dựa trên từ khóa dễ dàng hơn.

— ngoại đạo
nguồn

Bạn có ý nghĩa gì bởi "chặn tên miền dựa trên từ khóa"? Làm thế nào bạn sẽ phù hợp với một tên miền với một từ khóa?

— David Schwartz

Ví dụ: các trang web từ một khu vực cụ thể (* .com.br); từ một tổ chức (* .google.com); * khiêu dâm *; v.v.

— pagliuca

Câu trả lời:

Phân tích của bạn không chính xác. Bạn an toàn với SNI hơn là không có.

Không có SNI, địa chỉ IP sẽ xác định duy nhất máy chủ lưu trữ. Do đó, bất cứ ai có thể xác định địa chỉ IP đều có thể xác định máy chủ.

Với SNI, địa chỉ IP không xác định duy nhất máy chủ lưu trữ. Ai đó sẽ phải thực sự chặn và xem một số lưu lượng để xác định máy chủ chính xác. Điều này khó hơn là chỉ lấy được địa chỉ IP.

Vì vậy, bạn (hơi) an toàn hơn với SNI hơn là không có nó.

Bất cứ ai sẽ chặn dựa trên phân tích dữ liệu gói xâm nhập cũng sẽ chặn dựa trên địa chỉ IP. Họ sẽ chặn "những người xấu" dựa trên địa chỉ IP có hoặc không có SNI.

Tuy nhiên, câu trả lời cho câu hỏi của bạn là "có". SNI không đại diện cho một mối quan tâm riêng tư. Với SNI, ai đó có thể chặn lưu lượng sẽ nhận được tên máy chủ ngoài địa chỉ IP.

— David Schwartz
nguồn

Cảm ơn câu trả lời. Vì vậy, SNI sẽ an toàn hơn chỉ trong trường hợp kẻ tấn công bắt đầu đánh hơi chỉ sau khi các khóa đã được trao đổi, tôi có đúng không?

— pagliuca

@pagliuca SSL thực sự không được thiết kế để che giấu người bạn đang nói chuyện, nó được thiết kế để che giấu những gì bạn đang nói với họ. Bạn sẽ không đánh bại bộ lọc web bằng cách tránh gửi SNI; họ giữ cơ sở dữ liệu IP-to-domain rộng rãi. Dù sao đi nữa, vì một trình duyệt máy khách hỗ trợ SNI sẽ luôn gửi SNI bất kể máy chủ của bạn có cần nó hay không.

— Shane Madden

@ShaneMadden Thú vị. Biết rằng, bây giờ tôi không có lý do gì để không sử dụng SNI :), vì có thể phần lớn người dùng đã có trình duyệt hiển thị tên máy chủ từ xa trong mọi yêu cầu HTTPS.

— pagliuca

Câu trả lời này là sai. Việc đánh hơi thụ động SNI dễ dàng hơn nhiều (và biết chắc chắn khách truy cập đã yêu cầu trang web nào), hơn là chủ động đi ra địa chỉ IP để đoán xem người dùng đang duyệt gì (với ký tự đại diện có thể có nhiều trang web trên đó, và IP cũng thay đổi theo thời gian, trong khi dữ liệu SNI được thu thập vẫn chính xác về mặt bảo mật vĩnh viễn.).

— cnd

@cnd Bạn hoàn toàn không phải "chủ động đi đến địa chỉ IP". Nếu bạn có thể đánh hơi thụ động SNI, bạn có thể đánh hơi thụ động địa chỉ IP. Có trong danh sách các trang web mà bạn đang xem hoặc không. Và không có SNI, một địa chỉ IP sẽ xác định duy nhất một trang web. Với SNI thì không.

— David Schwartz

Bạn đúng rồi. SNI là mối quan tâm riêng tư lớn đối với khách truy cập của bạn - nó hiển thị các trang web chính xác mà khách truy cập của bạn kết nối với ISP của họ và các bên nghe thụ động khác. Nhưng sau đó, DNS ... cũng ... được sử dụng để: google đang sửa lỗi này: -

https://thehackernews.com/2017/10/android-dns-over-tls.html

Biết một địa chỉ IP KHÔNG cho ISP biết trang web nào trên địa chỉ IP đó, trừ khi họ chủ động ra ngoài và tự nhìn, đó là một điều rất khác so với việc họ đánh hơi thụ động các gói khách hàng.

— cnd
nguồn