Czym jest SNI i dlaczego ma znaczenie dla monitorowania?

Server Name Indication (SNI) to pole w ClientHello TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS., w którym klient podaje nazwę strony, z którą chce się połączyć, na przykład login.example.com, bo wiele stron dzieli jeden adres IP, a serwer musi wiedzieć, który certyfikat przedstawić. Jest wysyłane, zanim zacznie się szyfrowanie, więc może je odczytać każdy na trasie. W monitorowaniu to jedno z najbardziej użytecznych pól ruchu szyfrowanego: nazywa usługę stojącą za adresem IP, co pomaga odróżnić asystenta AI, serwis wymiany plików czy znaną aplikację biznesową od nieznanego serwera, bez czytania treści. Opiera się na nim też większość filtrów WWW i wiele zapór. Jego wartość zmniejszają dwie rzeczy: połączenia nawiązywane wprost z adresem IP nie niosą sensownej nazwy, a Encrypted Client Hello (ECH) ukrywa prawdziwą nazwę za publiczną nazwą zastępczą. Wtedy większe znaczenie mają odpowiedzi DNS i historia każdego celu. NetSenX odczytuje nazwę serwera z handshake'u tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako czujnik SPANSPAN: switch port analyser (port lustrzany). Ustawienie przełącznika, które wysyła kopię ruchu na jeden port, gdzie może go obserwować sensor./TAPTAP: test access point. Małe urządzenie, które kopiuje ruch z kabla sieciowego dla sensora..

← Wszystkie pytania (40): Szyfrowanie i ruch szyfrowanyWszystkie tematy