Отпечатки TLS и SNI простыми словами

TLS не может начаться зашифрованным, потому что стороны ещё не договорились о ключе. Поэтому рукопожатие, которое этот ключ устанавливает, передаётся открытым текстом, и оно весьма содержательно: клиент предлагает версии, шифронаборы, эллиптические кривые, алгоритмы подписи и список расширений, а сервер выбирает из предложенного.

Всё, что идёт после рукопожатия, защищено. Всё, что происходит во время него, читаемо для любого на пути. Почти всю опознавательную ценность несут два его элемента.

Один IP-адрес обычно обслуживает тысячи сайтов. Сервер должен знать, какой сертификат предъявить, ещё до завершения рукопожатия, поэтому клиент называет нужное имя хоста в расширении Server Name Indication. Оно передаётся незашифрованным, в самом первом сообщении, любым распространённым клиентом.

Для системы фильтрации это почти идеал. Она получает искомый адрес назначения по имени, в фиксированном и предсказуемом месте, без необходимости следить за соединением дальше или сопоставлять его с DNS. Сверка со списком стоит почти ничего.

• Это надёжнее блокировки по адресу, потому что один адрес может обслуживать и нужные, и нежелательные сайты.
• Это переживает переход на сторонний DNS-резолвер, включая шифрованный: имя заново, открытым текстом, называется в самом соединении.
• Это одинаково годится и для белых списков — куда более жёсткой конфигурации: отбрасывать всё, чьего имени нет в списке одобренных.

Encrypted Client Hello — механизм, придуманный, чтобы закрыть этот пробел. Клиент получает открытый ключ сервера через DNS, шифрует чувствительную часть своего приветствия, включая настоящее имя хоста, и отправляет внешнее приветствие с обобщённым публичным именем. Наблюдатель видит только это публичное имя.

Механизм действительно работает и представляет собой существенное улучшение. Его ограничения скорее практические, чем теоретические: нужна поддержка с обеих сторон, он зависит от DNS-записи, которую враждебный резолвер может не отдать, а в сети, где им почти никто не пользуется, сам факт его использования отличает вас от остальных. Сеть может и просто отвергать рукопожатия, которые его несут.

Второй признак тоньше. Ничто в TLS не требует, чтобы все клиенты предлагали одно и то же в одном и том же порядке, и на практике так не делает никто. Chrome предлагает определённый набор шифронаборов в определённом порядке, с определённым набором расширений, включая намеренные обманки. Firefox отличается. Стандартная библиотека Go отличается резко от обоих. OpenSSL отличается снова, и различается между версиями.

Хеширование этого упорядоченного набора даёт короткий устойчивый идентификатор клиентской программы. JA3 был первой широко применявшейся схемой; JA4 — его преемник, спроектированный устойчивее к перетасовке, которую некоторые клиенты теперь выполняют намеренно. В любом случае результат один: наблюдатель может понять, какого рода программа открыла соединение, ничего не расшифровывая.

Именно последняя строка делает отпечатки важными для туннелирования. Соединение, чей SNI называет обычный сайт, но чей отпечаток принадлежит программе на Go, а не браузеру, противоречит само себе. Ни один из признаков по отдельности не подозрителен; подозрительно противоречие между ними.

Очевидный ответ — заставить туннель выдавать отпечаток браузера. Библиотеки ровно для этого существуют, и они работают. Трудоёмким это делает то, что задача решается не один раз.

• Браузеры регулярно меняют свои рукопожатия по мере вывода из обращения шифронаборов и внедрения постквантового обмена ключами. Отпечаток, совпадавший с Chrome год назад, теперь не совпадает ни с чем, а это хуже, чем не имитировать вовсе.
• Некоторые браузеры намеренно рандомизируют порядок расширений, так что статичная имитация одного снимка сама по себе аномальна.
• Отпечаток должен быть согласован со всем остальным: с согласованной версией, значением ALPN, размерами следующих записей, таймингом первого запроса.
• Редкий отпечаток — уже признак, даже если он не опознан как туннельный. Достаточно быть необычным.

Общий принцип, который стоит отсюда вынести: прятаться — это не про зашифрованность и не про необычность. Это про согласованность: чтобы все слои рассказывали одну и ту же историю, и чтобы история эта была скучной.