Мне больше не нравится то, что в ответ идет клером сертификат с именем заблокированного домена. Т.о. в конфигурацию DPI достаточно добавить еще одно правило.
Я тут читал, читал RFC 8446 и вынес из него что теперь сертификат уже в зашифрованном виде ходит. Это раньше, в старых версиях TLS сертификат передавался до change cipher spec, и соответственно, шел в открытом виде.
Я так понял, что твой драфт именно к 1.3 относится и к применению с более ранними спецификациями не предлагается. Именно по причине того, что сертификат с настоящим именем в незашифрованном виде лишает смысла всю затею.
Скажем так, существенно ограничивает. Вообще разные DPI смотрят на разные части протокола, и чем больше дырочек, тем больше шансов, что куда-нибудь они забудут заглянуть.
Соответственно, стоило бы разрешить (А то у тебя там MUST NOT) создавать A-запись на фейковое имя. Ведь собственно, DNS-серверу все равно, регулярно менять только TXT-запись, или A-запись тоже.
Правда, это при условии что у тебя A-запись в том же домене.
Но вроде пока они блокируют конкретные хостнеймы, а не домены второго уровня целиком.
По-русски - имя указанное в farke SNI записи может иметь A/AAAA запись с тем же IP адресом, что и основной сервер. Это проблема того, кто конфингурирует этот сервер - обеспечить чтобы эта запись не обрабатывалась серверным ПО иначе как указатель на основное имя сервера.
![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png)
timeasmymeasure
no subject
Date: 2019-02-20 09:25 am (UTC)2. DoH/DoT
no subject
Date: 2019-02-20 11:56 am (UTC)Value specified in the Fake SNI RR MUST NOT match any hostname
available for the IP address it is valid for.
Это в общем-то цензор может проверить. Дорого, конечно, на каждый ClientHello делать DNS-запрос, но в принцие возможно,
А потом пропускать только такие SNI, которые соответствуют существующей A-записи на тот IP, куда посылается этот пакет.
Причем выполнять эту проверку можно только для тех IP, которые у нас есть в блокировочной базе.
no subject
Date: 2019-02-21 01:27 pm (UTC)no subject
Date: 2019-02-21 01:30 pm (UTC)no subject
Date: 2019-02-21 01:48 pm (UTC)no subject
Date: 2019-02-21 01:56 pm (UTC)no subject
Date: 2019-02-21 02:08 pm (UTC)no subject
Date: 2019-02-21 02:10 pm (UTC)no subject
Date: 2019-02-21 02:34 pm (UTC)Правда, это при условии что у тебя A-запись в том же домене.
Но вроде пока они блокируют конкретные хостнеймы, а не домены второго уровня целиком.
no subject
Date: 2019-02-21 02:40 pm (UTC)no subject
Date: 2019-02-21 06:57 pm (UTC)no subject
Date: 2019-02-24 03:13 pm (UTC)