क्या SNI मेरी वेबसाइट आगंतुकों के लिए एक गोपनीयता चिंता का प्रतिनिधित्व करता है?


10

सबसे पहले, मुझे अपनी खराब अंग्रेजी के लिए खेद है। मैं अभी भी इसे सीख रहा हूं। ये रहा:

जब मैं प्रति आईपी पते पर एक एकल वेबसाइट होस्ट करता हूं, तो मैं "शुद्ध" एसएसएल (एसएनआई के बिना) का उपयोग कर सकता हूं, और कुंजी एक्सचेंज तब होता है जब उपयोगकर्ता मुझे होस्टनाम और पथ बताता है जिसे वह पुनर्प्राप्त करना चाहता है। प्रमुख एक्सचेंज के बाद, सभी डेटा को सुरक्षित रूप से एक्सचेंज किया जा सकता है। उस ने कहा, यदि कोई नेटवर्क को सूँघता है, तो कोई गोपनीय जानकारी लीक नहीं होती है (देखें फुटनोट)।

दूसरी ओर, यदि मैं प्रति आईपी पते पर कई वेबसाइटों की मेजबानी करता हूं, तो मैं शायद एसएनआई का उपयोग करूंगा, और इसलिए मेरी वेबसाइट आगंतुक को मुझे सही प्रमाणपत्र प्रदान करने से पहले मुझे लक्ष्य होस्टनाम बताने की आवश्यकता है। इस मामले में, कोई व्यक्ति अपने नेटवर्क को सूँघ रहा है, वह सभी वेबसाइट डोमेन को ट्रैक कर सकता है, जिसे वह एक्सेस कर रहा है।

क्या मेरी मान्यताओं में कोई त्रुटि है? यदि नहीं, तो यह गोपनीयता की चिंता का प्रतिनिधित्व नहीं करता है, यह मानते हुए कि उपयोगकर्ता एन्क्रिप्टेड DNS का भी उपयोग कर रहा है?

फुटनोट: मुझे यह भी पता है कि एक स्निफर आईपी पते पर एक रिवर्स लुकअप कर सकता है और यह पता लगा सकता है कि कौन सी वेबसाइटें देखी गई थीं, लेकिन नेटवर्क केबल के माध्यम से प्लेनेट में यात्रा करने वाले होस्टनाम सेंसरशिप अधिकारियों के लिए कीवर्ड आधारित डोमेन ब्लॉकिंग को आसान बनाते हैं।


"कीवर्ड आधारित डोमेन ब्लॉकिंग" से आपका क्या अभिप्राय है? आप किसी कीवर्ड के खिलाफ डोमेन से कैसे मेल खाते हैं?
डेविड श्वार्ट्ज

उदाहरण: एक विशिष्ट क्षेत्र की वेबसाइट (* .com.br); एक संगठन से (* .google.com); *पॉर्न*; आदि
पग्लियुका

जवाबों:


9

आपका विश्लेषण गलत है। आप एसएनआई के बिना अधिक सुरक्षित हैं।

एसएनआई के बिना, आईपी पते विशिष्ट रूप से मेजबान की पहचान करता है। इस प्रकार जो कोई भी आईपी पता निर्धारित कर सकता है वह मेजबान को निर्धारित कर सकता है।

एसएनआई के साथ, आईपी पता विशिष्ट रूप से मेजबान की पहचान नहीं करता है। किसी को वास्तव में अवरोधन करना होगा और सटीक मेजबान को निर्धारित करने के लिए कुछ यातायात को देखना होगा। यह केवल IP पता प्राप्त करने से अधिक कठिन है।

तो आप इसके बिना एसएनआई के साथ (थोड़ा) अधिक सुरक्षित हैं।

जो कोई पैकेट डेटा के गहन विश्लेषण के आधार पर ब्लॉक करने जा रहा है, वह आईपी पते के आधार पर भी ब्लॉक होने वाला है। वे एसएनआई के साथ या बिना आईपी पते के आधार पर "बुरे लोगों" को अवरुद्ध करेंगे।

हालाँकि, आपके प्रश्न का उत्तर "हाँ" है। एसएनआई एक गोपनीयता चिंता का प्रतिनिधित्व करता है। एसएनआई के साथ, जो कोई व्यक्ति यातायात को रोक सकता है, उसे आईपी पते के अलावा होस्ट नाम मिल सकता है।


जवाब के लिए धन्यवाद। तो एसएनआई केवल उन मामलों में सुरक्षित होगा जब हमलावर पहले से ही चाबियों का आदान-प्रदान करना शुरू कर रहे हैं, क्या मैं सही हूं?
पैग्लियुका

2
@ पग्लियुका एसएसएल वास्तव में जिसे आप बात कर रहे हैं, उसे छिपाने के लिए डिज़ाइन नहीं किया गया है, इसे छिपाने के लिए डिज़ाइन किया गया है कि आप उनसे क्या कह रहे हैं। आप SNI भेजने से बचकर एक वेब फ़िल्टर को पराजित नहीं करने जा रहे हैं; वे व्यापक आईपी-से-डोमेन डेटाबेस रखते हैं। Moot बिंदु वैसे भी, एक क्लाइंट ब्राउज़र के रूप में जो SNI का समर्थन करता है, हमेशा SNI को भेजेगा चाहे वह आपके सर्वर को इसकी आवश्यकता हो।
शेन मैडेन

@ShaneMadden दिलचस्प। यह जानते हुए कि, अब मेरे पास एसएनआई :) का उपयोग न करने का कोई कारण नहीं है, क्योंकि यह संभावना है कि अधिकांश उपयोगकर्ताओं के पास पहले से ही ब्राउज़र हैं जो हर HTTPS अनुरोध में दूरस्थ होस्टनाम को उजागर करते हैं।
पग्लियुका

1
यह उत्तर गलत है। एसएनआई को निष्क्रिय करना आसान है (और यह सुनिश्चित करने के लिए पता है कि आगंतुक किस वेबसाइट से अनुरोध करता है), इससे यह जानने के लिए कि उपयोगकर्ता क्या ब्राउज़ कर रहा था, यह अनुमान लगाने के लिए सक्रिय रूप से आईपी पते पर जाना है (जो वाइल्डकार्ड के साथ उस पर कई वेबसाइटें हो सकती हैं, और आईपी समय के साथ-साथ बदलते रहते हैं, जबकि एकत्र किया गया एसएनआई डेटा सदा गोपनीयता-विनाशकारी सटीक रहता है।)।
cnd

@ और आपको "IP पते पर सक्रिय रूप से बाहर जाने" की आवश्यकता नहीं है। यदि आप एसएनआई को निष्क्रिय कर सकते हैं, तो आप आईपी पते को निष्क्रिय कर सकते हैं। या तो यह उन साइटों की सूची में है, जो आपके देखने की है या नहीं। और एसएनआई के बिना, एक आईपी पते विशिष्ट रूप से एक साइट की पहचान करता है। एसएनआई के साथ, यह नहीं करता है।
डेविड श्वार्ट्ज

0

तुम सही हो। एसएनआई आपके आगंतुकों के लिए एक प्रमुख गोपनीयता की चिंता है - यह सटीक वेबसाइटों को उजागर करता है जो आपके आगंतुक अपने आईएसपी और अन्य निष्क्रिय सुनने वाले दलों से जुड़ते हैं। लेकिन फिर, ऐसा DNS ... अच्छी तरह से ... के लिए किया जाता है: Google इसे ठीक कर रहा है: -

https://thehackernews.com/2017/10/android-dns-over-tls.html

एक आईपी पते को जानने से आईएसपी को यह पता नहीं चलता है कि उस आईपी पते पर कौन सी वेब साइट है, जब तक कि वे सक्रिय रूप से बाहर नहीं निकलते हैं और खुद को देखते हैं, जो कि ग्राहक पैकेट को सूँघने की तुलना में बहुत अलग बात है।

हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.