Stellt SNI ein Datenschutzproblem für meine Website-Besucher dar?

Erstens tut mir mein schlechtes Englisch leid. Ich lerne es immer noch. Hier kommt's:

Wenn ich eine einzelne Website pro IP-Adresse hoste, kann ich "reines" SSL (ohne SNI) verwenden, und der Schlüsselaustausch erfolgt, bevor der Benutzer mir überhaupt den Hostnamen und den Pfad mitteilt, den er abrufen möchte. Nach dem Schlüsselaustausch können alle Daten sicher ausgetauscht werden. Das heißt, wenn jemand das Netzwerk beschnüffelt, werden keine vertraulichen Informationen durchgesickert * (siehe Fußnote).

Wenn ich dagegen mehrere Websites pro IP-Adresse hoste, verwende ich wahrscheinlich SNI. Daher muss mein Website-Besucher mir den Ziel-Hostnamen mitteilen, bevor ich ihm das richtige Zertifikat zur Verfügung stellen kann. In diesem Fall kann jemand, der an seinem Netzwerk schnüffelt, alle Website-Domains verfolgen, auf die er zugreift.

Gibt es Fehler in meinen Annahmen? Wenn nicht, stellt dies kein Datenschutzproblem dar, vorausgesetzt, der Benutzer verwendet auch verschlüsseltes DNS?

Fußnote: Mir ist auch klar, dass ein Sniffer eine umgekehrte Suche nach der IP-Adresse durchführen und herausfinden könnte, welche Websites besucht wurden, aber der Hostname, der im Klartext über die Netzwerkkabel übertragen wird, scheint die Zensur von Schlüsselwörtern auf Schlüsselwortbasis zu vereinfachen.

ssl https privacy sni pagliuca
quelle

Was meinst du mit "Keyword-basiertes Domain-Blocking"? Wie würden Sie eine Domain mit einem Keyword abgleichen?

David Schwartz

Beispiele: Websites aus einer bestimmten Region (* .com.br); von einer Organisation (* .google.com); *Porno*; usw.

Pagliuca

Antworten:

Ihre Analyse ist falsch. Mit SNI sind Sie sicherer als ohne.

Ohne SNI identifiziert die IP-Adresse den Host eindeutig. Somit kann jeder, der die IP-Adresse bestimmen kann, den Host bestimmen.

Bei SNI identifiziert die IP-Adresse den Host nicht eindeutig. Jemand müsste tatsächlich einen Teil des Datenverkehrs abfangen und anzeigen, um den genauen Host zu bestimmen. Dies ist schwieriger als nur die IP-Adresse zu erhalten.

Sie sind also mit SNI (etwas) sicherer als ohne.

Jeder, der aufgrund einer aufdringlichen Analyse von Paketdaten blockieren wird, wird auch basierend auf der IP-Adresse blockieren. Sie blockieren die "schlechten" basierend auf der IP-Adresse mit oder ohne SNI.

Die Antwort auf Ihre Frage lautet jedoch "Ja". SNI ist ein Datenschutzproblem. Mit SNI erhält jemand, der den Datenverkehr abfangen kann, zusätzlich zur IP-Adresse den Hostnamen.

David Schwartz
quelle

Danke für die Antwort. SNI wäre also nur dann sicherer, wenn der Angreifer erst zu schnüffeln beginnt, nachdem die Schlüssel bereits ausgetauscht wurden. Stimmt das?

Pagliuca

@pagliuca SSL ist wirklich nicht dazu gedacht, zu verbergen, mit wem Sie sprechen, sondern um zu verbergen, was Sie ihnen sagen. Sie werden einen Webfilter nicht besiegen, indem Sie das Senden von SNI vermeiden. Sie führen umfangreiche IP-zu-Domain-Datenbanken. Moot Point sowieso, da ein Client-Browser, der SNI unterstützt, immer SNI sendet, unabhängig davon, ob Ihr Server es benötigt.

Shane Madden

@ ShaneMadden Interessant. Da ich das weiß, habe ich jetzt keinen Grund, SNI nicht zu verwenden :), da es wahrscheinlich ist, dass die Mehrheit der Benutzer bereits Browser hat, die den Remote-Hostnamen in jeder HTTPS-Anforderung offenlegen.

Pagliuca

Diese Antwort ist falsch. Es ist weitaus einfacher, die SNI passiv zu schnüffeln (und sicher zu wissen, welche Website der Besucher angefordert hat), als aktiv zu einer IP-Adresse zu gehen, um zu erraten, was ein Benutzer durchsucht hat (auf der mit Platzhaltern möglicherweise viele Websites vorhanden sind). und IPs ändern sich ebenfalls im Laufe der Zeit, während gesammelte SNI-Daten stets datenschutzzerstörend genau bleiben.).

CND

@cnd Sie müssen überhaupt nicht "aktiv an eine IP-Adresse gehen". Wenn Sie SNI passiv abhören können, können Sie die IP-Adresse passiv abhören. Entweder steht es auf Ihrer Liste der Websites, die Sie gerade ansehen, oder nicht. Und ohne SNI identifiziert eine IP-Adresse eine Site eindeutig. Bei SNI ist dies nicht der Fall.

David Schwartz

Du hast recht. SNI ist ein wichtiges Datenschutzproblem für Ihre Besucher - es legt die genauen Websites offen, mit denen Ihre Besucher mit ihrem ISP und anderen passiven Abhörpartnern in Verbindung stehen. Aber DNS auch ... nun ja ... gewohnt: Google behebt Folgendes: -

https://thehackernews.com/2017/10/android-dns-over-tls.html

Wenn Sie eine IP-Adresse kennen, wird dem ISP NICHT mitgeteilt, welche Website sich auf dieser IP-Adresse befindet, es sei denn, er geht aktiv aus und schaut sich selbst um. Dies ist etwas ganz anderes als das passive Schnüffeln von Kundenpaketen.

cnd
quelle