एन्क्रिप्टेड SNI मानक फ़ायरफ़ॉक्स नाइटली में लागू किया गया

फ़ायरफ़ॉक्स टीएलएस सर्वर नाम इंडिकेशन (एसएनआई) एन्क्रिप्शन को लागू करने वाला पहला ब्राउज़र था। ESNI समर्थन फ़ायरफ़ॉक्स नाइटली के नवीनतम संस्करण में पेश किया गया था, जिस पर मुख्य शाखा में जुड़ने से पहले सभी नवाचारों को रोल किया जाता है।

CloudFare CDN प्रदाता द्वारा एक महीने पहले इस मानक के महत्व पर चर्चा की गई थी। संक्षेप में, ईएसएनआई इस जानकारी को एन्क्रिप्ट करता है कि आप किस डोमेन को अनुरोध भेज रहे हैं। मानक HTTPS में, डोमेन नाम वाले हेडर एन्क्रिप्ट नहीं किए जाते हैं और प्रदाता या किसी अन्य "बीच में व्यक्ति" द्वारा देखने के लिए उपलब्ध होते हैं। अब वह केवल आईपी एड्रेस देखता है। चूंकि सैकड़ों डोमेन आधुनिक इंटरनेट पर एक ही आईपी पते पर स्थित हो सकते हैं, इसलिए ईएसएनआई प्रभावी रूप से यह जानकारी छुपाता है कि उपयोगकर्ता किस डोमेन में प्रवेश करता है।

इस प्रकार, नाम से अवरुद्ध करना काम करना बंद कर देता है, और इंटरनेट सेंसरशिप बहुत जटिल हो जाती है। सेंसर को आईपी पते को ब्लॉक करना होगा, जो एक संदिग्ध अभ्यास है। ऐसा अवरोधन असंबंधित साइटों को प्रभावित कर सकता है, और एक अवरुद्ध सेवा आसानी से (स्वचालित रूप से) दूसरे आईपी पते पर स्विच कर सकती है।

नियमित टीएलएस एसएनआई में होस्टनाम क्यों चमकते हैं? तथ्य यह है कि एन्क्रिप्शन शुरू करने से पहले, सर्वर को यह जानने की जरूरत है कि आवश्यक प्रमाण पत्र प्रस्तुत करने के लिए क्लाइंट किस डोमेन पर पहुंच रहा है। इस कारण से, होस्ट नाम सादे पाठ ( क्लाउडफ़ेयर ब्लॉग से चित्रण के नीचे) में प्रेषित होता है ।



एन्क्रिप्टेड एसएनआई (ईएसएनआई) में, इस समस्या को निम्नानुसार हल किया जाता है: क्लाइंट DNS से ​​सर्वर की सार्वजनिक कुंजी लेता है और टीएलएस सत्र स्थापित होने तक इसके साथ सभी डेटा को एन्क्रिप्ट करता है।


फ़ायरफ़ॉक्स नाइटली के लिए ब्राउज़र समर्थन का मतलब है कि ESNI हर साइट / प्रदाता के साथ काम करेगा जो इसका समर्थन करता है।

मोज़िला डेवलपर्स बताते हैं कि आपके ब्राउज़िंग इतिहास को लीक करने के चार मुख्य तरीके हैं:

1. टीएलएस प्रमाणपत्र संदेश
2. डीएनएस नाम का संकल्प
3. सर्वर आईपी पता
4. TLS सर्वर नाम संकेत।

आज तक, उन्होंने पहले दो रिसाव चैनलों को बंद करने में अच्छी प्रगति की है: नया टीएलएस 1.3 मानक डिफ़ॉल्ट सर्वर प्रमाणपत्र (चैनल 1) को एन्क्रिप्ट करता है, और पिछले कुछ महीनों में, मोज़िला डीएनएस ट्रैफ़िक (चैनल 2) की रक्षा के लिए HTTPS पर DNS के उपयोग का अध्ययन कर रहा है । परीक्षण के परिणाम खराब नहीं हैं, और आने वाले महीनों में सभी फ़ायरफ़ॉक्स उपयोगकर्ताओं के लिए फ़ंक्शन रोल आउट किया जाएगा। IP पता एक समस्या है, लेकिन कई मामलों में कई साइटें समान IP पता साझा करती हैं, इसलिए मुख्य रिसाव चैनल SNI है।

एक समय में, सर्वर नेम इंडिकेशन (एसएनआई) तकनीक का सटीक उपयोग होने लगा क्योंकि कई होस्ट एक ही आईपी पते पर स्थित होते हैं। इस मामले में, SNI फ़ील्ड उस सर्वर को बताता है जिसे आप होस्ट करने के लिए कनेक्ट करने का प्रयास कर रहे हैं, जिससे वह सही प्रमाण पत्र का चयन कर सके। दूसरे शब्दों में, एसएनआई बड़े पैमाने पर टीएलएस होस्टिंग के संचालन को सुनिश्चित करने में मदद करता है। यही है, इस फ़ंक्शन को सुरक्षा के लिए पेश किया गया था, और अब हमें इसे डेटा रिसाव चैनल के रूप में निपटाना होगा।

एसएनआई समस्या लंबे समय से जानी जाती थी, मोज़िला डेवलपर्स लिखते हैं, और यह स्पष्ट था कि इस क्षेत्र को एन्क्रिप्ट करने की आवश्यकता है। लेकिन उनकी कोशिश की गई हर डिज़ाइन में प्रदर्शन में एक समझौता शामिल था। एक और महत्वपूर्ण दोष था: तथ्य यह है कि एक विशेष साइट ईएसएनआई पर स्विच कर रही थी, यह संकेत था कि इसमें "छिपाने के लिए कुछ" था, अर्थात, सेंसर को ईएसएनआई द्वारा यातायात को फ़िल्टर करने का अवसर था। अंत में, ईएसएनआई के बिना टीएलएस 1.3 मानक जारी करने का निर्णय लिया गया।

केवल 2018 की शुरुआत में, डेवलपर्स ने महसूस किया कि एक बहुत अच्छा विकल्प था: बड़े सामग्री वितरण नेटवर्क (सीडीएन) एक ही भौतिक सर्वर पर कई साइटों की मेजबानी करते हैं। यदि वे एक बार में सभी ग्राहकों को ईएसएनआई में स्थानांतरित करने के लिए सहमत होते हैं, तो अचानक ईएसएनआई एक हमलावर के लिए एक उपयोगी संकेत होना बंद कर देता है। इस प्रकार, सर्वर के मौजूदा सेट पर कई साइटों को बड़े पैमाने पर अनुकूलित करके, टीएलएस 1.3 में ईएसएनआई को लागू करना संभव हो गया।

ESNI एक पूरी तरह से नई तकनीक है, और फ़ायरफ़ॉक्स इसे लागू करने वाला पहला ब्राउज़र है। फ़ायरफ़ॉक्स नाइटली में इसे सक्रिय करने के लिए, आपको निम्नलिखित चरणों को पूरा करना होगा:

1. सुनिश्चित करें कि आपने HTTPS (DoH) पर DNS को सक्षम किया है :
   
   • about:config
   • network.trr.mode को 2 पर सेट करें
     
     
   • DoH सर्वर के लिए network.trr.uri सेट करें (उदाहरण के लिए, https://mozilla.cloudflare-dns.com/dns-query )।
     
     
2. • about:config
   • सेट network.security.esni.enabled to true
     
     

यह स्वचालित रूप से किसी भी साइट के लिए ESNI को सक्षम करना चाहिए जो इसका समर्थन करता है। फिलहाल, बड़े हॉस्टरों और सीडीएन के लिए, यह केवल क्लाउडफेयर है, लेकिन फ़ायरफ़ॉक्स डेवलपर्स को उम्मीद है कि अन्य प्रदाता जल्द ही कनेक्ट होंगे। आप इस लिंक से एन्क्रिप्शन की जांच कर सकते हैं।



आने वाले महीनों में, मोज़िला परीक्षण करेगा कि ईएसएनआई विभिन्न प्रकार के फायरवॉल और अन्य नेटवर्क उपकरणों के साथ कैसे बातचीत करता है। यदि आप एन्क्रिप्शन चालू करते हैं और कुछ टूट गया है - कृपया बग ट्रैकर के माध्यम से डेवलपर्स को सूचित करें ।

---