Che cos'è SNI e perché conta per il monitoraggio?

Server Name Indication (SNI) è un campo del ClientHello TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS. in cui il client indica il sito che vuole raggiungere, come login.example.com, perché molti siti condividono un indirizzo IP e il server deve sapere quale certificato presentare. Viene inviato prima che inizi la cifratura, quindi chiunque sul percorso può leggerlo. Per il monitoraggio è uno dei campi più utili del traffico cifrato: dà un nome al servizio dietro un indirizzo IP, il che aiuta a distinguere un assistente di IA, un servizio di condivisione file o un'applicazione aziendale nota da un server sconosciuto, senza leggere alcun contenuto. Anche la maggior parte dei filtri web e molti firewall si basano su di esso. Due fattori ne riducono il valore: le connessioni dirette a un indirizzo IP non portano un nome significativo, e Encrypted Client Hello (ECH) nasconde il nome reale dietro un nome pubblico di facciata. Allora contano di più le risposte DNS e la storia di ogni destinazione. NetSenX legge il nome del server dall'handshake dove il suo agente cattura i pacchetti, su Linux o come sensore SPANSPAN: switch port analyser (porta mirror). Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo./TAPTAP: test access point. Un piccolo dispositivo che copia il traffico di un cavo di rete per un sensore..

← Tutte le 40 domande su Crittografia e traffico cifratoTutti i temi