C'è un modo per bypassare le intercettazioni SNI?

3

Recentemente ho sentito che una discussione per cifrare il campo SNI è stata abbandonata a causa di un sovraccarico. Dopo alcuni mesi, il governo porterà un piano per sniffare il campo SNI in modo che possano bloccare le connessioni a siti Web che ritengono inefficaci.

Il campo SNI è solo per i server web che hanno più domini, quindi non è necessario per quelli che hanno solo un singolo dominio. (Ho ragione?)

Come aggirare la censura, sto immaginando un modo per rimuovere arbitrariamente il campo SNI quando il browser inizializza l'handshake. È possibile? In caso contrario, ci sono altri modi per aggirarlo correttamente?

    
posta Riddle Aaron 05.06.2018 - 04:20
fonte

1 risposta

1

Alcuni governi già sniffano SNI. Credo che gli ISP russi lo facciano per rispettare i regolamenti presentati da Roskomnadzor, per esempio. Nei casi in cui non vengono annusati o non sono nemmeno presenti, le connessioni crittografate potrebbero essere completamente bloccate. Inoltre, i siti Web con pagine singole bloccate potrebbero essere completamente bloccati quando viene utilizzato HTTPS. Lo sniffing SNI è solo una parte di esso.

Hai ragione che disabilitare l'SNI potrebbe essere usato in alcune circostanze per aggirare la censura. Gestisco un sito Web bloccato in Russia e ho scoperto che non è bloccato se il campo SNI viene rimosso. Tuttavia, il mio sito web è l'unico ospitato sul suo indirizzo IP, quindi SNI non è necessario in primo luogo. Potrebbe essere possibile creare un'estensione del browser per disabilitare in modo selettivo l'SNI per alcuni siti Web per eludere la censura, ma non sarebbe sempre affidabile. Non so se la nuova API di estensione di Firefox sia sufficientemente potente per modificare un comportamento di basso livello.

È possibile modificare il browser in modo da non includere SNI, ma ciò impedirebbe la connessione a un IP con più certificati per più domini. Un server non ha idea del certificato da presentare quando ci si connette a un indirizzo IP ambiguo che ospita più domini. SNI esiste in modo che il server possa rispondere con il certificato corretto. Crittografare SNI facendo una crittografia opportunistica con il server prima ancora di inviare SNI sarebbe possibile e proteggerebbe contro un avversario passivo, ma potrebbe fondamentalmente non proteggere da un MITM attivo.

    
risposta data 05.06.2018 - 04:48
fonte

Leggi altre domande sui tag