QUIC et HTTP/3 rendent-ils les pare-feu aveugles ?

Ils réduisent ce que voient les pare-feu anciens, sans rendre le trafic invisible. QUIC (RFC 9000, 2021) est le transport sous HTTP/3. Il passe par le port UDP 443 et chiffre presque tout, y compris une grande partie de ce que TCP laissait lisible, comme les numéros de paquets et les accusés de réception. Ses premiers paquets portent un ClientHello TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS. 1.3 protégé uniquement par des clés que tout le monde peut dériver : un capteur qui comprend QUIC peut donc encore lire le nom du serveur et les paramètres de négociation. Les pare-feu et proxys conçus pour TCP ne savent souvent pas inspecter QUIC du tout. Dans les entreprises qui s'appuient sur l'inspection TLS ou le filtrage web, la pratique courante consiste à bloquer le port UDP 443, ce qui fait revenir les navigateurs à HTTP/2 sur TCP sans que les utilisateurs le remarquent. Sans une telle règle, QUIC apparaît simplement comme des flux UDP, avec horaires et volumes comme tout autre trafic, et les détections fondées sur les flux, comme le beaconing et les volumes d'envoi inhabituels, s'appliquent toujours. Vérifiez si votre pare-feu rend compte de QUIC avant de le supposer couvert.

← Les 40 questions sur Chiffrement et trafic chiffréTous les thèmes