SNI rappresenta un problema di privacy per i visitatori del mio sito Web?

In primo luogo, mi dispiace per il mio cattivo inglese. Lo sto ancora imparando. Eccolo:

Quando ospito un singolo sito Web per indirizzo IP, posso utilizzare SSL "puro" (senza SNI) e lo scambio di chiavi avviene prima che l'utente mi dica anche il nome host e il percorso che desidera recuperare. Dopo lo scambio di chiavi, tutti i dati possono essere scambiati in modo sicuro. Detto questo, se qualcuno sta annusando la rete, non vengono divulgate informazioni riservate * (vedi nota a piè di pagina).

D'altra parte, se ospito più siti Web per indirizzo IP, probabilmente userò SNI, e quindi il mio visitatore del sito Web deve dirmi il nome host di destinazione prima di potergli fornire il certificato giusto. In questo caso, qualcuno che sta annusando la sua rete può tracciare tutti i domini di siti web a cui sta accedendo.

Ci sono errori nei miei presupposti? In caso contrario, ciò non rappresenta un problema di privacy, supponendo che l'utente stia utilizzando anche un DNS crittografato?

Nota a piè di pagina: mi rendo anche conto che uno sniffer potrebbe fare una ricerca inversa sull'indirizzo IP e scoprire quali siti Web sono stati visitati, ma il nome host che viaggia in chiaro attraverso i cavi di rete sembra rendere più semplice il blocco del dominio basato su parole chiave per le autorità di censura.

— Pagliuca
fonte

Che cosa intendi con "blocco del dominio basato su parole chiave"? Come abbineresti un dominio a una parola chiave?

— David Schwartz,

Esempi: siti Web di una regione specifica (* .com.br); da un'organizzazione (* .google.com); *porno*; ecc.

— pagliuca,

Risposte:

La tua analisi non è corretta. Con SNI sei più sicuro che senza.

Senza SNI, l'indirizzo IP identifica in modo univoco l'host. Pertanto, chiunque sia in grado di determinare l'indirizzo IP può determinare l'host.

Con SNI, l'indirizzo IP non identifica in modo univoco l'host. Qualcuno dovrebbe effettivamente intercettare e visualizzare parte del traffico per determinare l'host esatto. Questo è più difficile che ottenere semplicemente l'indirizzo IP.

Quindi sei (leggermente) più sicuro con SNI che senza di essa.

Chiunque bloccherà sulla base di un'analisi intrusiva dei dati dei pacchetti, bloccherà anche in base all'indirizzo IP. Bloccheranno i "cattivi" in base all'indirizzo IP con o senza SNI.

Tuttavia, la risposta alla tua domanda è "sì". SNI rappresenta un problema di privacy. Con SNI, qualcuno che può intercettare il traffico ottiene il nome host oltre all'indirizzo IP.

— David Schwartz
fonte

Grazie per la risposta. Quindi SNI sarebbe più sicuro solo nei casi in cui l'attaccante inizia ad annusare solo dopo che le chiavi sono già state scambiate, ho ragione?

— pagliuca,

@pagliuca SSL non è davvero progettato per nascondere con chi stai parlando, è progettato per nascondere ciò che stai dicendo a loro. Non sconfiggerai un filtro web evitando di inviare SNI; mantengono estesi database da IP a dominio. Indicare comunque il punto, poiché un browser client che supporta SNI invierà sempre SNI indipendentemente dal fatto che il server ne abbia bisogno.

— Shane Madden,

@ShaneMadden Interessante. Sapendo questo, ora non ho motivo di non utilizzare SNI :), poiché è probabile che la maggior parte degli utenti abbia già browser che espongono il nome host remoto in ogni richiesta HTTPS.

— pagliuca,

Questa risposta è sbagliata È molto più semplice annusare passivamente il SNI (e sapere con certezza quale sito Web il visitatore ha richiesto), piuttosto che uscire attivamente a un indirizzo IP per indovinare ciò che un utente stava navigando (che con i caratteri jolly potrebbe contenere molti siti Web, e anche gli IP cambiano nel tempo, mentre i dati SNI raccolti rimangono perennemente accurati in modo da distruggere la privacy.).

— cnd

@cnd Non devi assolutamente "uscire attivamente a un indirizzo IP". Se è possibile annusare passivamente SNI, è possibile annusare passivamente l'indirizzo IP. O è nel tuo elenco di siti che stai guardando o non lo è. E senza SNI, un indirizzo IP identifica in modo univoco un sito. Con SNI no.

— David Schwartz,

Hai ragione. SNI è una delle maggiori preoccupazioni per la privacy dei tuoi visitatori: espone i siti Web esatti con cui i tuoi visitatori si collegano al loro ISP e ad altre parti di ascolto passivo. Ma poi, anche DNS ... beh ... abituato a: google sta risolvendo questo: -

https://thehackernews.com/2017/10/android-dns-over-tls.html

Conoscere un indirizzo IP NON dice all'ISP quale sito web si trova su quell'indirizzo IP, a meno che non escano attivamente e si guardino, il che è una cosa molto diversa da loro che annusano passivamente i pacchetti dei clienti.

— CND
fonte