6 min read
SNI (Server Name Indication) qorunan bağlantının ilk paketindəki sahədir: brauzer burada hansı domenə müraciət etdiyini açıq mətnlə bildirir. Şifrələmə bundan sonra başlayır, ona görə də saytın adı qoruma yaranmazdan əvvəl yol üzərindəki istənilən avadanlığa görünür. ECH (Encrypted Client Hello) bu sahəni gizlədən mexanizmdir. Aşağıda SNI üzrə bloklamanın necə işlədiyini, ECH-in məhz nəyi dəyişdiyini və onu yandırmağın niyə bəzən vəziyyəti pisləşdirdiyini izah edirik.
Çünki SNI göndərilən anda şifrələmək üçün hələ heç nə yoxdur. TLS əl sıxışması (handshake) ClientHello mesajı ilə başlayır: müştəri burada dəstəklədiyi alqoritmləri sadalayır və domeni göstərir. Server bu ada görə lazımi sertifikatı seçir — bir IP ünvanında minlərlə sayt yerləşir və SNI olmasa, server kimin sertifikatını verəcəyini bilməzdi. Ortaq açar yalnız növbəti addımda yaranır.
Buradan praktik nəticə çıxır: səhifənin ünvanı, parollar və sorğunun məzmunu həqiqətən gizlidir, domen adı isə yox. «DoH-u yandırın və görünməz olun» deyən təlimatlar bunu demir: şəxsi DNS DNS sorğusunu bağlayır, amma SNI ondan sonra yenə açıq mətnlə gedir.
Avadanlıq ClientHello-nu oxuyur, domeni siyahı ilə müqayisə edir və bağlantını qurulmazdan əvvəl qırır. Texniki baxımdan bu, bütün digər üsullardan ucuzdur: nə şifrəni açmaq, nə də davranışı təhlil etmək lazımdır — sətri müqayisə etmək kifayətdir.
| Üsul | Nəyi oxuyur | Nə kömək edir |
|---|---|---|
| IP ünvanına görə | təyinat ünvanı | ünvanın dəyişdirilməsi, CDN |
| DNS-ə görə | ad sorğusu | DoH/DoT |
| SNI-yə görə | ClientHello-dakı domen | ECH, tunel |
| Protokol imzasına görə | paketlərin forması | imzası olmayan protokol |
Əvvəlki sətirlərin mexanikası ayrıca izah olunub: DPI nədir və TSPU nədir.
ECH ClientHello-nu bütövlükdə, SNI daxil olmaqla şifrələyir. Açıq qalan yalnız xarici addır — bir provayderin arxasındakı bütün saytlar üçün ortaq olan ad, çox vaxt CDN-in öz adı. Müşahidəçi «bulud»la bağlantını görür, amma orada yerləşən saytlardan hansının sorğulandığını görmür.
Bu şifrələmə üçün açarı müştəri DNS-dən götürür: domen üçün ech parametri olan HTTPS tipli qeyd dərc olunur. Buradan iki şərt çıxır və onlar olmadan ECH sadəcə işə düşməyəcək:
Açıq buraxılış qeydlərinə görə, dəstək Firefox-da 118-ci versiyadan, Chrome-da isə 117-ci versiyadan başlayaraq var — hər ikisi 2023-cü ilin payızında çıxıb.
Çünki nadir olan şey diqqəti cəlb edir. ECH-dən bağlantıların kiçik bir hissəsi istifadə etdikcə, onun mövcudluğunun özü fərqləndirici əlamətdir və süzgəc sistemi domenə görə işlədiyi kimi bu əlamətə görə də işləyə bilər: içində nə olduğunu araşdırmadan ECH-ə bənzəyən hər şeyi qırmaq.
Bu, artıq sələfi ilə baş verib. Tədqiqat qruplarının məlumatına görə, bu mexanizmin erkən versiyası olan ESNI 2020-ci ildə Çində kəsildi — bütövlükdə, sinif kimi. ECH bağlantılarının bloklanması barədə oxşar məlumatlar sonralar başqa ölkələrə münasibətdə də yayıldı.
Buradan qısa məsləhətlər üçün əlverişsiz olan nəticə çıxır: ECH düzgün mexanizmdir, amma o, bloklanmış saytlara giriş məsələsini deyil, provayderdən məxfilik məsələsini həll edir. Onu kəsən şəbəkədə brauzerdəki işarə əks effekt verir.
Tuneldə SNI məsələsi aradan qalxır: saytla əl sıxışması artıq çıxış serverində baş verir, provayder isə yalnız bir ünvanla bağlantını görür. Amma onda xaricə başqa bir əlamət çıxır — tunel protokolunun özü, və bundan sonra hər şeyi onun tanınan formasının olub-olmaması həll edir.
Burada iki yanaşma ayrılır. Klassik VPN domeni gizlədir, amma özünü paketlərin rəsmi ilə ələ verir. Reality maskalanması ilə VLESS real populyar saytla əl sıxışmasını yerinə yetirir və onun SNI-ni yerləşdirir — yəni adı gizlətmir, inandırıcı ad göstərir. Süzgəc üçün bu, adi sayta adi giriş kimi görünür və domen siyahısı ilə müqayisə normal qaydada keçir. Mexanikanın izahı — Reality və VLESS sadə dillə, bundan sərt regionlarda nə çıxdığı isə — BessyConnect İranda, Rusiyada və Çində.
SNI sadə dillə nədir? Bu, qorunan bağlantının ilk paketindəki sahədir: brauzer burada qoşulduğu domeni açıq mətnlə adlandırır. Server düzgün sertifikatı seçmək üçün ona ehtiyac duyur və o, şifrələmə yaranmazdan əvvəl göndərildiyi üçün yol üzərində hamıya görünür.
HTTPS saytın adını gizlədirmi? Xeyr. HTTPS səhifənin ünvanını, sorğu parametrlərini və məzmunu gizlədir, amma domen adının özü SNI-də açıq mətnlə gedir. Onu ECH və ya tunel gizlədə bilər.
ECH ESNI-dən nə ilə fərqlənir? ESNI yalnız ad sahəsini şifrələyirdi və mexanizmin erkən versiyası idi; ECH ClientHello-nu bütövlükdə şifrələyir və onu əvəz edib. ESNI köhnəlmiş sayılır.
Bloklamanı aradan qaldırmaq üçün ECH-i yandırmaq kifayətdirmi? Xeyr. ECH provayderin gördüklərini azaldır, amma sərt süzgəcli şəbəkələrdə ECH ilə bağlantılar bütövlükdə kəsilə bilər — məhz onlar az olduğu və diqqəti cəlb etdiyi üçün.
VPN yanılı olanda SNI görünürmü? Provayderə — xeyr: saytla əl sıxışması çıxış serverində baş verir. Provayder yalnız server ünvanı ilə bağlantını görür və artıq tunel protokolunun öz əlamətlərinə görə qərar verir.
WhatsApp və Telegram alternativləri: video zənglər üçün top-10 messencer — Zoom, Google Meet, Signal, Discord. Müqayisə və girişi necə bərpa etməli. Ətraflı
Ağ siyahılar, şatdaun və yavaşlatma — üç fərqli məhdudiyyət. VPN nə vaxt kömək edir, tunel nə vaxt qurulmur və onun əvəzinə nə etməli. Ətraflı
Dürüst təhlil: VPN-siz nə etmək olar — parametrlər, Telegram üçün proksi, oflayn rejimlər — və hansı hallarda tunelsiz ümumiyyətlə keçinmək mümkün deyil. Ətraflı
