Você sabia que sua privacidade online pode ser comprometida assim que você solicita ao servidor a entrada em um determinado site? O problema é que o protocolo de segurança TLS 1.3, que deveria proteger seus dados contra rastreamento, carece de criptografia logo no início da comunicação cliente-servidor. Isso se deve à extensão SNI TLS que ajuda a acessar sites com os mesmos IPs, mas ao mesmo tempo diminui a segurança dos usuários.
Felizmente, existe uma solução para esse problema chamada SNI criptografado (ESNI). Ele fornece uma camada de criptografia adicional para manter seus dados longe de hackers, censores e bisbilhoteiros online. Mas como funciona exatamente o ESNI e é suficiente para garantir o seu anonimato? Continue lendo para descobrir.
Mais leitura:Como desbloquear uma unidade USB criptografada BitLocker sem senha
Em primeiro lugar, vamos abordar o básico e explicar o significado do SNI.
A indicação de nome de servidor (SNI) é uma extensão do protocolo Transport Layer Security (TLS) que especifica um nome de host no handshake TLS.Simplificando, o objetivo principal do SNI é resolver o problema de acesso a sites hospedados no mesmo servidor e com os mesmos IPs.
A incompatibilidade entre o nome comum ou nome de domínio de um site e um certificado SSL resulta em um“Sua conexão não é privada”erro.
O SNI ajuda a evitar esse erro habilitando vários IPs no mesmo certificado TLS. Ele agiliza a comunicação entre o dispositivo de um cliente e um servidor que hospeda vários sites com nomes de domínio diferentes. Mas como funciona exatamente e o que isso tem a ver com a sua privacidade? Vamos esclarecer as coisas.
Como funciona o SNI?
Quando o dispositivo de um usuário envia uma solicitação a um servidor, a comunicação começa com oAperto de mão TLS.Este é o processo de troca de certas mensagens entre as duas partes envolvidas. Neste ponto, eles verificam uns aos outros, organizam os algoritmos criptográficos e ajustam as chaves da sessão. E aí vem a extensão SNI. Ele torna o nome do host conhecido no início do processo TLS, chamadoCliente Olá, não depois. Como resultado, não há incompatibilidade entre a sua solicitação e o nome de domínio do site.
Por exemplo, você deseja inserir https://www.examplewebsite.com, que está hospedado no mesmo endereço IP que https://www.anotherwebsite.com, https://www.examplewebsite.io e alguns outros. Graças à extensão SNI, a conexão será estabelecida instantaneamente, embora o nome do site não corresponda ao nome do certificado SSL.
No entanto, embora o SNI resolva um dos problemas mais significativos de TLS, ele causa outro. A fase inicial do handshake TLS carece de criptografia, portanto esta parte da jornada dos usuários compromete sua privacidade. Felizmente, você pode superar esse desafio com o SNI criptografado.
O que é SNI criptografado (ESNI)?
Agora que você sabe o que é SNI e como funciona, vamos esclarecer o significado de SNI criptografado.
A indicação do nome do servidor criptografado (SNI ou ESNI criptografado) é um recurso adicional da extensão SNI que visa proteger a fase inicial do handshake TLS.
Sem a criptografia SNI, os hackers podem usar várias técnicas, como ataques de phishing ou man-in-the-middle (MITM), para enganar os usuários, roubar informações confidenciais ou redirecioná-los para sites maliciosos. E essa é a principal razão pela qual a ESNI foi criada. Ele foi definido para proteger o SNI como o estágio mais vulnerável do processo TLS, evitando que bisbilhoteiros online e terceiros identifiquem as solicitações dos clientes no Client Hello.
Vejamos como o SNI seguro funciona com mais detalhes.
Como funciona o SNI criptografado?
O principal objetivo do SNI criptografado é proteger a conexão entre o dispositivo de um cliente e um servidor logo no início da comunicação. O problema é que no estágio Client Hello, as chaves de criptografia TLS ainda não foram aprovadas.
Para eliminar esta vulnerabilidade, o SNI criptografado oferece uma solução alternativa –um chave pública anexado ao registro DNS. Essa abordagem ajuda a verificar e proteger a conexão antes que o protocolo TLS criptografe uma consulta do usuário. Um cliente usa uma chave pública que criptografa o registro SNI, que pode então ser descriptografado apenas pelo servidor relevante.
Para ser mais preciso, veja como funciona exatamente a criptografia SNI:
- O dispositivo de um usuário envia uma solicitação a um servidor DNS para descobrir o endereço IP do site.
- A resposta do servidor DNS inclui o endereço IP do site e a chave pública criptografada.
- O dispositivo envia uma solicitação Client Hello para o endereço IP, enquanto o SNI é criptografado com a ajuda da chave privada.
- O servidor entrega o certificado TLS do site.
- Enquanto ocorre o processo de handshake TLS, nenhum terceiro pode monitorar a atividade atual do usuário graças ao SNI criptografado.
Infelizmente, a criptografia SNI atualmente não é suportada pela maioria dos serviços web e navegadores. Algumas raras exceções sãoMozilla Firefoxenuvemflare. Quanto aos usos mais comuns do ESNI, ele não apenas protege contra bisbilhoteiros, mas também é uma das abordagens mais difundidas para resistir à censura online.
Como o SNI criptografado ajuda a evitar a censura
A liberdade online é uma das maiores preocupações atualmente. De acordo com a Freedom House, apenasdezoito paísester acesso gratuito à web global. Os governos de estados totalitários e autoritários esforçam-se por controlar as atividades de navegação para impedir que as pessoas vejam recursos internacionais e comuniquem através de redes sociais ou mensageiros.
Em particular, os censores online utilizam o SNI como a parte mais vulnerável da criptografia TLS 1.3 para determinar as atividades online dos utilizadores e limitar o seu acesso a determinados conteúdos. No estágio Client Hello, os censores, juntamente com outros terceiros, podem detectar facilmente qual servidor uma pessoa está tentando acessar e bloqueá-lo.
E é aí que o SNI criptografado vem em socorro. Ele fornece mais liberdade na Internet, protegendo cada estágio da solicitação do usuário ao servidor e ocultando seu tráfego de provedores de serviços de Internet (ISPs) e outros terceiros. No entanto, para ser totalmente confiável, o ESNI pode ser capacitado com algumas medidas de segurança adicionais.
O que mais você precisa para permanecer privado com SNI criptografado?
Exceto o próprio ESNI, alguns protocolos de segurança adicionais ajudarão você a evitar monitoramento indesejado de forma ainda mais eficaz. Vamos dar uma olhada nos mais importantes.
Protocolo DNS sobre HTTPS (DoH)
Mesmo se você estiver usando ESNI, bisbilhoteiros meticulosos ainda poderão encontrar uma maneira de dar uma olhada no seu tráfego. Portanto, vale a pena obter uma camada de segurança extra, como o protocolo DNS sobre HTTPS (DoH), que executa consultas DNS por meio de uma sessão adicional de criptografia HTTPS.
Protocolo DNS sobre TLS (DoT)
DNS sobre TLS (DoT) é outro protocolo de segurança de rede poderoso que criptografa consultas e respostas DNS por meio do protocolo TLS.
Extensões de segurança do sistema de nomes de domínio (DNSSEC)
Este conjunto de especificações fortalece os protocolos DNS, garantindo a autenticação SNI criptográfica de respostas provenientes de servidores DNS autorizados. Com a ajuda do DNSSEC, você pode aumentar sua proteção contra diversas ameaças cibernéticas, como falsificação e sequestro de DNS.
Outras maneiras de melhorar sua privacidade online
Se você está se esforçando para completar o anonimato ao navegar na web, existem muitas maneiras alternativas de tornar suas atividades online invisíveis e bem protegidas. Além do SNI criptografado com protocolos DoH, DoT e DNSSEC, você pode considerar as seguintes dicas de privacidade na Internet.
1. Escolha o navegador mais privado
Muitos aspectos do seu anonimato online dependem do navegador escolhido. E adivinhe? Os navegadores mais populares, como Google Chrome, Microsoft Edge e Safari, carecem de muitos recursos de segurança importantes. Ao mesmo tempo, algumas opções menos conhecidas podem protegê-lo melhor do monitoramento de terceiros. Para citar alguns, são Ungoogled Chromium, Iridium, LibreWolf, Brave, Mozilla Firefox e The Tor Browser.
2. Use um servidor proxy
Você também pode ocultar suas atividades online falsificando seu endereço IP e redirecionando seu tráfego para um servidor proxy. No entanto, embora sejam bastante eficazes para contornar certas limitações online, os servidores proxy não podem proteger totalmente a sua identidade, uma vez que não encriptam a sua ligação. Como resultado, um proxy não irá mantê-lo longe de vírus e outras ameaças cibernéticas.
3. Proteja-se com uma VPN
Quando se trata de navegação privada e segurança online, uma rede privada virtual (VPN) é provavelmente a solução mais poderosa. Um serviço VPN confiável pode ajudá-lo a permanecer completamente anônimo, pois seus dados trafegam por um túnel criptografado e não podem ser comprometidos por terceiros. Em geral, as ferramentas VPN estão focadas nos seguintes propósitos:
- Ocultar o seu endereço IP para tornar a sua presença online invisível para terceiros
- Fornecer recursos de privacidade e segurança para proteger seus dados pessoais contra diversas ameaças cibernéticas, incluindo ataques MITM, phishing e ataques DDoS
- Garantir o acesso à Internet gratuita e combater a censura online
Quer ficar seguro on-line? Experimente a VeePN! É um serviço VPN confiável que protege seus dados graças ao mais poderoso protocolo de criptografia AES-256. Além disso, a VeePN fornece a funcionalidade NetGuard para mantê-lo protegido contra rastreadores online, anúncios intrusivos e monitorização de terceiros. E, se a sua ligação VPN falhar repentinamente, a VeePN garantirá que nenhum dado sensível será perdido com a ajuda da funcionalidade KillSwitch.
Perguntas frequentes
O que é o SNI?
A indicação de nome de servidor (SNI) é uma extensão do protocolo de segurança TLS que ajuda a evitar incompatibilidade de nome de host no handshake TLS. Ele agiliza a comunicação entre um dispositivo cliente e um servidor, revelando o nome do host no estágio inicial do Client Hello. No entanto, esta fase do TLS carece de criptografia e é vulnerável ao monitoramento de terceiros.
O que é SNI criptografado?
SNI criptografado (ESNI) é um recurso de privacidade extra que protege a fase Client Hello do handshake TLS. Ele criptografa a extensão SNI com a ajuda de uma chave pública DNS. Como resultado, a comunicação entre o dispositivo de um cliente e um servidor torna-se inacessível para hackers e bisbilhoteiros online. Para mais detalhes, leia este artigo.
O TLS 1.3 oferece suporte a SNI?
Embora a extensão SNI não tenha sido originalmente adicionada ao protocolo TLS 1.3, ela se tornou seu componente essencial. Sem TLS SNI, é impossível executar vários certificados SSL no mesmo endereço IP. Se o TLS 1.3 não tiver SNI, sua conexão com um servidor provavelmente será interrompida por um erro “Sua conexão não é privada”.
