SNI निरीक्षण: HTTPS के बाद भी सेंसर्स आपके गंतव्य को कैसे देखते हैं

आप एक सार्वजनिक नेटवर्क पर बैठे हैं और एक संवेदनशील वेबसाइट खोलते हैं। आपका ब्राउज़र सुरक्षित HTTPS कनेक्शन बनाता है—आपकी जानकारी एनक्रिप्ट होती है। सेंसर तो यह नहीं देख सकता कि आप क्या पढ़ रहे हैं, लेकिन वह जानता है कि आप किस साइट पर गए हैं। यह खामी SNI (Server Name Indication) नामक एक तकनीकी विशेषता के कारण बनी है। यह आर्टिकल समझाएगा कि यह कैसे काम करता है, क्यों यह समस्या मौजूद है, और कैसे इंजीनियर्स इसे ठीक करने की कोशिश कर रहे हैं।

HTTPS आपकी गोपनीयता को आंशिक सुरक्षा देता है

जब आप किसी वेबसाइट को HTTPS के जरिए खोलते हैं, तो आपका ब्राउज़र और वेबसर्वर के बीच एक एनक्रिप्ट की गई सुरंग बनती है। इस सुरंग के अंदर की सभी चीज़ें—आपकी पासवर्ड, खोज क्वेरीज़, यहां तक कि आप कौन से पेज पढ़ते हैं—यह सब छिपी रहती है। इंटरनेट सेवा प्रदाता (ISP), नेटवर्क व्यवस्थापक, और सरकारी सेंसरशिप सिस्टम आपकी एनक्रिप्ट की गई बातचीत की विषयवस्तु नहीं देख सकते। लेकिन HTTPS के पास एक बड़ी कमजोरी है। इंटरनेट में आपके द्वारा भेजा गया डेटा सेंसर के पास से गुजरता है, और सेंसर देख सकता है कि आप किस डोमेन (website address) से जुड़ रहे हैं। यह जानकारी SNI नाम की एक विशेषता में प्लेनटेक्स्ट (बिना एनक्रिप्शन के) भेजी जाती है।

SNI क्या है और यह क्यों प्लेनटेक्स्ट में है

समझने के लिए एक मेल के साथ सादृश्य लगाएँ। जब आप किसी को पत्र भेजते हैं, तो लिफाफे के बाहर पता लिखा होता है, भले ही पत्र के अंदर की बातें निजी हों। SNI उसी तरह काम करता है। TLS हैंडशेक (यह वह प्रक्रिया है जहां आपका ब्राउज़र और वेबसर्वर एनक्रिप्शन स्थापित करते हैं) के दौरान, आपका ब्राउज़र सर्वर को बताता है कि वह किस डोमेन से जुड़ना चाहता है। यह जानकारी प्लेनटेक्स्ट में भेजी जाती है क्योंकि सर्वर को यह जानना ज़रूरी है—अभी तक एनक्रिप्शन स्थापित ही नहीं हुआ है। लेकिन यह जानकारी एनक्रिप्शन से पहले क्यों भेजना पड़ता है? इसका कारण है वर्चुअल होस्टिंग। आजकल, एक ही IP address पर हजारों वेबसाइटें चल सकती हैं। सर्वर को यह पता चलना चाहिए कि आप कौन सी वेबसाइट चाहते हैं ताकि वह सही SSL सर्टिफिकेट भेज सके। इसलिए SNI को एनक्रिप्शन से पहले भेजा जाता है।

सेंसर्स SNI को कैसे ब्लॉक करते हैं

जब कोई सेंसरशिप सिस्टम SNI को देखता है, तो वह बस आपके कनेक्शन को ब्लॉक कर सकता है। आपके देश के नियम से प्रतिबंधित वेबसाइट को खोलने की कोशिश करते हैं? सेंसर TLS हैंडशेक में आपका डोमेन नाम देखता है, और तुरंत कनेक्शन को रोक देता है। यह VPN काम नहीं करता क्योंकि SNI ब्लॉकिंग तब भी होती है जब आपका ट्रैफिक एनक्रिप्ट होता है। कुछ देश जैसे रूस, चीन, ईरान, और तुर्की SNI-आधारित ब्लॉकिंग का इस्तेमाल करते हैं। भारत में भी, कुछ ISP और सरकारी नियंत्रण सिस्टम SNI निरीक्षण करते हैं। अमेरिका और कई यूरोपीय देशों में यह तकनीक कम आम है, लेकिन यह बदल सकता है।

ECH और ESNI: SNI को एनक्रिप्ट करने की कोशिश

इंजीनियर्स इस समस्या को समझते हैं, और वे इसे ठीक करने के लिए काम कर रहे हैं। Encrypted Client Hello (ECH) एक नई तकनीक है जो SNI को एनक्रिप्ट करती है। इसका पुराना नाम ESNI (Encrypted Server Name Indication) था। ECH के साथ, आपका ब्राउज़र डोमेन नाम को सर्वर की public key से एनक्रिप्ट करता है, इससे पहले कि वह इंटरनेट पर भेजा जाए। यह मेल के साथ सादृश्य को और आगे ले जाता है: अब आप पता को एक lockbox में डाल सकते हैं, जिसे केवल सर्वर खोल सकता है। लेकिन ECH अभी भी नई है। ब्राउज़र्स ने इसे जोड़ना शुरू किया है, लेकिन बहुत सी वेबसाइटें अभी इसे समर्थन नहीं करती हैं। इसके अलावा, ECH को भी अपनी कमजोरियां हैं। सेंसर्स अभी भी Server Name Indication के आकार (size) को देख सकते हैं, या यह पता लगा सकते हैं कि ECH का इस्तेमाल हो रहा है और इसके आधार पर ब्लॉक कर सकते हैं।

खामियां और सीमाएं

कोई भी तकनीक पूर्ण नहीं है। यहां तक कि यदि SNI को एनक्रिप्ट किया जाता है, तो सेंसर्स अभी भी अन्य तरीकों से ब्लॉकिंग कर सकते हैं—जैसे DNS ब्लॉकिंग (डोमेन नेम को IP address से जोड़ने वाली सेवा को ब्लॉक करना), या IP address को सीधे ब्लॉक करना। यदि आप किसी VPN का इस्तेमाल करते हैं, तो SNI समस्या हल हो सकती है, लेकिन सेंसर्स VPN कनेक्शन को ही ब्लॉक कर सकते हैं। गोपनीयता की सुरक्षा एक चल रहा संघर्ष है जहां सेंसर्स और इंजीनियर्स एक दूसरे के साथ आगे-पीछे करते हैं।

SNI निरीक्षण दिखाता है कि एनक्रिप्शन अकेला पर्याप्त नहीं है

यह समझना महत्वपूर्ण है कि HTTPS आपकी गोपनीयता की पूरी सुरक्षा नहीं करता। आपकी बातचीत की विषयवस्तु एनक्रिप्ट होती है, लेकिन आप किन साइट्स को विज़िट करते हैं, यह metadata है जो SNI में दिखता है। मेटाडेटा अक्सर content जितना ही संवेदनशील हो सकता है। यदि आप किसी सेंसरशिप वाले देश में हैं, तो जानिए कि HTTPS अकेला आपकी रक्षा नहीं कर सकता। ECH जैसी नई तकनीकें एक कदम आगे हैं, लेकिन वे भी पूर्ण समाधान नहीं हैं। गोपनीयता की सुरक्षा के लिए आपको कई परतों का इस्तेमाल करना पड़ता है—DNS एनक्रिप्शन, VPN, Tor, या अन्य उपकरण। आगे की पढ़ाई के लिए, DNS ब्लॉकिंग कैसे काम करती है, और Tor नेटवर्क कैसे अलग तरीका अपनाता है, इन विषयों का अध्ययन करें।