टीएलएस 1.3 पर आधारित फ्रंट-एंड डोमेन

परिचय

सिस्को, ब्लूकैट, फायरएई जैसे प्रख्यात निर्माताओं से आधुनिक कॉर्पोरेट सामग्री फ़िल्टरिंग सिस्टम अपने अधिक शक्तिशाली समकक्षों के साथ काफी आम है - डीपीआई सिस्टम, जिन्हें राष्ट्रीय स्तर पर गहन रूप से लागू किया जा रहा है। दोनों के काम का सार आने वाले और बाहर जाने वाले इंटरनेट ट्रैफ़िक की खोज करना है और काले / सफेद सूचियों के आधार पर, इंटरनेट कनेक्शन पर प्रतिबंध लगाने का निर्णय करना है। और चूंकि दोनों अपने काम के मूल सिद्धांतों में समान सिद्धांतों पर भरोसा करते हैं, इसलिए उन्हें दरकिनार करने के तरीके भी बहुत आम हैं।

डीपीआई और कॉर्पोरेट सिस्टम दोनों को दरकिनार करने की अनुमति देने वाली तकनीकों में से एक डोमेन-फ्रंट-फेसिंग तकनीक है। इसका सार इस तथ्य में निहित है कि हम एक अवरुद्ध संसाधन पर जाते हैं, एक अन्य, सार्वजनिक डोमेन के पीछे, एक अच्छी प्रतिष्ठा के साथ छिपाते हैं, जो स्पष्ट रूप से किसी भी सिस्टम द्वारा अवरुद्ध नहीं किया जाएगा, उदाहरण के लिए google.com।

इस तकनीक के बारे में बहुत सारे लेख पहले ही लिखे जा चुके हैं और कई उदाहरण दिए गए हैं। हालांकि, डीएनएस-एचटीटीपीएस और एन्क्रिप्टेड-एसएनआई प्रौद्योगिकियां, साथ ही हाल ही में चर्चा की गई तकनीकों के साथ-साथ टीएलएस 1.3 प्रोटोकॉल का नया संस्करण, डोमेन-फ्रंट-फेसिंग के एक और संस्करण पर विचार करने का अवसर प्रदान करता है।

हम तकनीक से निपटते हैं

पहले, आइए बुनियादी अवधारणाओं के बारे में थोड़ा तय करें ताकि सभी को यह समझ में आए कि यह कौन है और क्यों चाहिए। हमने eSNI तंत्र का उल्लेख किया है, जिसके काम के बारे में बाद में चर्चा की जाएगी। ESNI (एन्क्रिप्टेड सर्वर नेम इंडिकेशन) तंत्र SNI का एक सुरक्षित संस्करण है, जो केवल TLS 1.3 प्रोटोकॉल के लिए उपलब्ध है। मुख्य बिंदु एन्क्रिप्ट करना है, जिसमें किस डोमेन के लिए अनुरोध भेजा गया है, इसकी जानकारी शामिल है।

अब आइए देखें कि व्यवहार में ईएसएनआई तंत्र कैसे काम करता है।

मान लें कि हमारे पास एक इंटरनेट संसाधन है जो एक आधुनिक डीपीआई समाधान (उदाहरण के लिए, प्रसिद्ध धार ट्रैकर - rutracker.nl) द्वारा अवरुद्ध है। जब हम टोरेंट ट्रैकर की साइट तक पहुंचने का प्रयास करते हैं, तो हम प्रदाता के मानक स्टब को देखते हैं कि संसाधन अवरुद्ध है:



ILV वेबसाइट पर, यह डोमेन वास्तव में स्टॉप सूचियों में सूचीबद्ध है:



जब आप Whois का अनुरोध करते हैं, तो आप देख सकते हैं कि क्लाउड प्रदाता Cloudflare के पीछे डोमेन स्वयं "छिपा हुआ" है।



लेकिन ILV से "विशेषज्ञों" के विपरीत, अधिक तकनीकी रूप से समझ रखने वाले बीलाइन कर्मचारी (या हमारे प्रसिद्ध नियामक के कड़वे अनुभव से सिखाए गए) ने आईपी पते द्वारा साइट पर प्रतिबंध नहीं लगाया, लेकिन स्टॉप सूची में डोमेन नाम दर्ज किया। यह सत्यापित करना आसान है कि क्या आप देखते हैं कि अन्य डोमेन एक ही आईपी पते के पीछे क्या छिपा रहे हैं, उनमें से एक पर जाएं और देखें कि पहुंच अवरुद्ध नहीं है:



लेकिन यह कैसे होता है? प्रदाता डीपीआई को कैसे पता चलता है कि मेरा ब्राउज़र किस डोमेन पर जाता है, क्योंकि सभी संचार https प्रोटोकॉल के माध्यम से होते हैं, और हमें बीलाइन से https प्रमाणपत्रों के प्रतिस्थापन पर ध्यान नहीं दिया गया है? क्या वह क्लैरवॉयंट है या वह मेरे द्वारा पीछा किया जा रहा है?

आइए इस प्रश्न का उत्तर वायरशार्क के माध्यम से यातायात को देखते हुए देने का प्रयास करते हैं



स्क्रीनशॉट से पता चलता है कि पहले ब्राउज़र को DNS के माध्यम से सर्वर का आईपी पता प्राप्त होता है, फिर गंतव्य सर्वर के साथ एक मानक टीसीपी हाथ मिलाना है, और फिर ब्राउज़र सर्वर पर एक ssl कनेक्शन स्थापित करने की कोशिश करता है। ऐसा करने के लिए, यह एसएसएल क्लाइंट हैलो पैकेट भेजता है, जिसमें स्पष्ट पाठ में स्रोत डोमेन नाम होता है। कनेक्शन को ठीक से रूट करने के लिए क्लाउडफ़ेयर फ्रंट-एंड सर्वर द्वारा इस फ़ील्ड की आवश्यकता होती है। यह वह जगह है जहां प्रदाता डीपीआई हमें पकड़ता है, हमारे कनेक्शन को तोड़ता है। उसी समय, हमें प्रदाता से कोई स्टब नहीं मिलता है, और हम एक मानक ब्राउज़र त्रुटि देखते हैं जैसे कि साइट काट दी गई थी या बस काम नहीं करता है:



अब ब्राउज़र में eSNI तंत्र को सक्षम करते हैं, जैसा कि फ़ायरफ़ॉक्स के निर्देशों में वर्णित है:
ऐसा करने के लिए, हम फ़ायरफ़ॉक्स कॉन्फ़िगरेशन पेज खोलते हैं: निम्न सेटिंग्स को कॉन्फ़िगर और सक्रिय करें:

network.trr.mode = 2; network.trr.uri = https://mozilla.cloudflare-dns.com/dns-query network.security.esni.enabled = true 

उसके बाद, हम लिंक का उपयोग करके क्लाउडफेयर वेबसाइट पर सेटिंग्स की शुद्धता की जांच करेंगे और अपने धार ट्रैकर के साथ फिर से ध्यान केंद्रित करने का प्रयास करेंगे।



देखा। हमारा पसंदीदा ट्रैकर बिना किसी वीपीएन या प्रॉक्सी के खुल गया। आइए अब वायरशार्क में ट्रैफिक डंप को देखें, क्या हुआ।



इस समय, ssl क्लाइंट हेल्लो पैकेज में स्पष्ट रूप से गंतव्य डोमेन नहीं होता है, लेकिन इसके बजाय पैकेज में एक नया फ़ील्ड दिखाई देता है - एन्क्रिप्टेड_सर्वर_नाम - यह वह जगह है जहाँ rutracker.nl का मान समाहित है, और केवल फ्रंट-एंड क्लाउडफ़ेयर सर्वर इस फ़ील्ड को डिक्रिप्ट कर सकता है। और यदि ऐसा है, तो प्रदाता डीपीआई के पास अपने हाथ धोने और इस तरह के यातायात की अनुमति देने के अलावा कोई विकल्प नहीं है। लेकिन एन्क्रिप्शन के साथ कोई अन्य विकल्प नहीं हैं।

इसलिए, ब्राउज़र में तकनीक कैसे काम करती है - हमने देखा। अब आइए इसे अधिक विशिष्ट और दिलचस्प चीजों के लिए लागू करने का प्रयास करें। और शुरुआत के लिए, हम TLS 1.3 के साथ काम करने के लिए eSNI का उपयोग करने के लिए एक ही कर्ल सिखाएंगे, और साथ ही हम देखेंगे कि eSNI- आधारित फ्रंट-एंड डोमेन कैसे काम करता है।

डोमेन फ्रंट एंड ईएसएनआई के साथ

इस तथ्य के कारण कि कर्ल https के माध्यम से जुड़ने के लिए मानक ओपस्नल लाइब्रेरी का उपयोग करता है, सबसे पहले, हमें वहां ईएनएसएनएल समर्थन प्रदान करने की आवश्यकता है। ओपनस्स्ल मास्टर शाखाओं में ईएसएनआई के लिए अभी तक कोई समर्थन नहीं है, इसलिए हमें विशेष ओपनसेल शाखा डाउनलोड करने, संकलन करने और इसे स्थापित करने की आवश्यकता है।

हम गितुब से भंडार का क्लोन करते हैं और हमेशा की तरह संकलित करते हैं:

 $ git clone https://github.com/sftcd/openssl $ cd openssl $ ./config $ make $ cd esnistuff $ make 

अगला, हम कर्ल के साथ रिपॉजिटरी को क्लोन करते हैं और हमारे असेंबली ओपनस् लाइब्रेरी का उपयोग करके इसके संकलन को कॉन्फ़िगर करते हैं:

 $ cd $HOME/code $ git clone https://github.com/niallor/curl.git curl-esni $ cd curl-esni $ export LD_LIBRARY_PATH=/opt/openssl $ ./buildconf $ LDFLAGS="-L/opt/openssl" ./configure --with-ssl=/opt/openssl --enable-esni --enable-debug 

यह महत्वपूर्ण है कि सभी निर्देशिकाओं को सही ढंग से इंगित किया जाए जहां ओपनसेल स्थित है (हमारे मामले में, यह / ऑप्ट / ओप्स्ल / है) और सुनिश्चित करें कि कॉन्फ़िगरेशन प्रक्रिया बिना त्रुटियों के जाती है।

सफल कॉन्फ़िगरेशन के मामले में, हम लाइन देखेंगे:

चेतावनी: esni ESNI सक्षम है, लेकिन EXPERIMENTAL चिह्नित है। सावधानी के साथ प्रयोग करें!

 $ make 

पैकेज के सफलतापूर्वक निर्माण के बाद, हम कर्ल को कॉन्फ़िगर और चलाने के लिए एक विशेष ओपनस्लैश बैश फ़ाइल का उपयोग करेंगे। सुविधा के लिए इसे कर्ल के साथ निर्देशिका में कॉपी करें:

 cp /opt/openssl/esnistuff/curl-esni 

और क्लाउडफ़ेयर सर्वर पर परीक्षण https अनुरोध निष्पादित करें, साथ ही साथ Wireshark पर DNS और TLS पैकेट लिखते हैं।

 $ ESNI_COVER="www.hello-rkn.ru" ./curl-esni https://cloudflare.com/ 

सर्वर की प्रतिक्रिया में, ओपनसेल और कर्ल से बहुत सी डिबगिंग जानकारी के अलावा, हमें क्लाउडफ़ेयर से कोड 301 के साथ HTTP प्रतिक्रिया मिलती है।

 HTTP/1.1 301 Moved Permanently < Date: Sun, 03 Nov 2019 13:12:55 GMT < Transfer-Encoding: chunked < Connection: keep-alive < Cache-Control: max-age=3600 < Expires: Sun, 03 Nov 2019 14:12:55 GMT < Location: https://www.cloudflare.com/ 

जो इंगित करता है कि हमारा अनुरोध सफलतापूर्वक गंतव्य सर्वर को सुना, सुना और संसाधित किया गया था।

अब हम वॉशर्सक में ट्रैफिक डंप को देखें, अर्थात इस मामले में प्रदाता डीपीआई ने क्या देखा।



यह देखा जा सकता है कि क्लाउड कर्ल सर्वर के लिए सार्वजनिक eSNI कुंजी के लिए DNS कर्ल के लिए पहले कर्ल बदल गया - TXT DNS से ​​_esni.cloudflare.com (पैकेज नंबर 13) के लिए अनुरोध। फिर, ओपन लाइब्रेरी का उपयोग करते हुए, कर्ल ने क्लाउडफेयर सर्वर को एक टीएलएस 1.3 अनुरोध भेजा जिसमें एसएनआई क्षेत्र को पिछले चरण (पैकेज नंबर 22) में प्राप्त सार्वजनिक कुंजी के साथ एन्क्रिप्ट किया गया था। लेकिन, ईएसएनआई क्षेत्र के अलावा, एसएसएल-हेलो पैकेज के हिस्से के रूप में, सामान्य - खुले एसएनआई के साथ एक फ़ील्ड भी डाला गया था, जिसे हम किसी भी क्रम में निर्दिष्ट कर सकते हैं (इस मामले में - www.hello-rkn.ru )।

क्लाउडफेयर सर्वर द्वारा प्रसंस्करण करते समय खुले एसएनआई के इस क्षेत्र को ध्यान में नहीं रखा गया था और प्रदाता डीपीआई के लिए सिर्फ एक भेस था। Cloudflare सर्वर ने हमारे ssl-hello पैकेज को प्राप्त किया, eSNI को डिक्रिप्ट किया, मूल SNI को वहां से निकाला और इसे संसाधित किया जैसे कि कुछ भी नहीं हुआ था (यह eSNI के विकास के दौरान योजनाबद्ध तरीके से सब कुछ किया था)।

इस मामले में केवल एक चीज, आप डीपीआई के संदर्भ में चिपक सकते हैं - प्राथमिक DNS क्वेरी _esni.cloudflare.com पर। लेकिन हमने DNS क्वेरी को केवल यह दिखाने के लिए बनाया कि यह तंत्र अंदर से कैसे काम करता है।

डीपीआई के तहत मिट्टी को बाहर से खटखटाने के लिए, हम पहले से ही बताए गए डीएनएस-ओवर-एचटीटीपीएस तंत्र का उपयोग करते हैं। एक छोटा स्पष्टीकरण - डीओएच - एक प्रोटोकॉल जो आपको एचटीटीपीएस पर डीएनएस क्वेरी भेजकर बीच के हमले में एक आदमी से खुद को बचाने की अनुमति देता है।

हम फिर से अनुरोध पर अमल करेंगे, लेकिन इस बार हमें https प्रोटोकॉल का उपयोग करते हुए सार्वजनिक eSNI कुंजी मिलेगी, DNS नहीं:

 ESNI_COVER="www.hello-rkn.ru" DOH_URL=https://mozilla.cloudflare-dns.com/dns-query ./curl-esni https://cloudflare.com/ 

अनुरोध ट्रैफ़िक डंप नीचे स्क्रीनशॉट में प्रस्तुत किया गया है:



यह देखा गया है कि पहले कर्ल mozilla.cloudflare-dns.com सर्वर का उपयोग करते हैं, DoH प्रोटोकॉल (सर्वर कनेक्शन 104.16.249.249 के लिए https) का उपयोग करके उनसे SNI एन्क्रिप्शन के लिए सार्वजनिक कुंजी मान प्राप्त करते हैं, और फिर गंतव्य सर्वर पर, डोमेन के नीचे छुपाते हैं। www.hello-rkn.ru

उपरोक्त निर्दिष्ट mozilla.cloudflare-dns.com रिज़ॉल्वर DoH के अलावा, हम अन्य लोकप्रिय DoH सेवाओं का उपयोग कर सकते हैं, उदाहरण के लिए, प्रसिद्ध बुराई निगम से।
हम निम्नलिखित अनुरोध पर अमल करते हैं:

 ESNI_COVER="www.kremlin.ru" DOH_URL=https://dns.google/dns-query ./curl-esni https://rutracker.nl/ 

और हमें जवाब मिलता है:

 < HTTP/1.1 301 Moved Permanently < Date: Sun, 03 Nov 2019 14:10:22 GMT < Content-Type: text/html < Transfer-Encoding: chunked < Connection: keep-alive < Set-Cookie: __cfduid=da0144d982437e77b0b37af7d00438b1a1572790222; expires=Mon, 02-Nov-20 14:10:22 GMT; path=/; domain=.rutracker.nl; HttpOnly; Secure < Location: https://rutracker.nl/forum/index.php < CF-Cache-Status: DYNAMIC < Expect-CT: max-age=604800, report-uri="https://report-uri.cloudflare.com/cdn-cgi/beacon/expect-ct" < Server: cloudflare < CF-RAY: 52feee696f42d891-CPH 

इस स्थिति में, हमने dns.google DoH रिज़ॉल्वर का उपयोग करते हुए अवरुद्ध सर्वर rutracker.nl का रुख किया (कोई टाइपो नहीं है, अब प्रसिद्ध निगम का अपना पहला स्तर का डोमेन है) और खुद को दूसरे डोमेन से कवर किया, जिसे सभी DPI द्वारा ब्लॉक करने की सख्त मनाही है मौत की सजा के डर में। उत्तर के अनुसार आप समझ सकते हैं कि हमारे अनुरोध को सफलतापूर्वक संसाधित किया गया था।

अतिरिक्त जाँच के रूप में कि प्रदाता DPI एक खुले SNI के प्रति प्रतिक्रिया करता है, जिसे हम एक आवरण के रूप में पास करते हैं - हम किसी अन्य निषिद्ध संसाधन के पीछे rutracker.nl के अनुरोध को निष्पादित कर सकते हैं, उदाहरण के लिए, एक और "अच्छा" टोरेंट ट्रैकर।

 $ ESNI_COVER="rutor.info" DOH_URL=https://dns.google/dns-query ./curl-esni https://rutracker.nl/ 

हमें सर्वर से प्रतिक्रिया नहीं मिलेगी हमारा अनुरोध डीपीआई प्रणाली द्वारा अवरुद्ध किया जाएगा।

पहले भाग के लिए एक छोटा सा निष्कर्ष

तो, हम खुलता है और कर्ल का उपयोग करके eSNI के स्वास्थ्य को दिखाने में सक्षम थे और eSNI पर आधारित डोमेन-आधारित फ्रंट-एंड के संचालन का परीक्षण करते हैं। उसी तरह, हम अन्य डोमेन के "अंडर कवर" के रूप में काम करने के लिए खुलने वाली लाइब्रेरी का उपयोग करके अपने पसंदीदा टूल को अनुकूलित कर सकते हैं। इस पर अधिक हमारे अगले लेखों में।