فیلترینگ ECH در ایران؛ بستن مسیر اتصال بدون دیدن مقصد
گزارش تازه از مسدودشدن اتصال‌های ECH کلودفلر در ایران، از هدف‌گرفتن نام مشترکی خبر می‌دهد که بعضی فیلترشکن‌ها و اتصال‌های عادی وب برای پنهان‌کردن دامنه مقصد از آن استفاده می‌کنند.
اتصال‌های مبتنی بر ECH به کلودفلر در ایران هدف محدودیتی قرار گرفته‌اند که به سامانه فیلترینگ امکان می‌دهد بدون شناسایی دامنه واقعی مقصد، ارتباط را قطع کند. بر اساس توضیحات فنی منتشرشده در ۲۱ اکتبر ۲۰۲۶، نام مشترک cloudflare-ech.com در بخش قابل‌مشاهده پیام آغاز اتصال مسدود شده است. این محدودیت می‌تواند چندین پیکربندی فیلترشکن با دامنه‌های متفاوت را هم‌زمان از کار بیندازد.
نقطه هدف، نامی است که در پیاده‌سازی ECH کلودفلر، بیرون از بخش رمزگذاری‌شده باقی می‌ماند. تجهیزات شبکه با تشخیص همین نام می‌توانند اتصال را متوقف کنند، حتی اگر ندانند کاربر قصد مراجعه به کدام سایت یا سرور را دارد. گستردگی اجرای این محدودیت در اپراتورهای مختلف، با منابع در دسترس این گزارش مشخص نیست.
نام مقصد کجا پنهان می‌شود؟
یکی از اطلاعات قابل‌استفاده برای فیلترینگ، نام دامنه در پیام آغاز ارتباط TLS است. مرورگر یا برنامه این نام را در بخش «نشانگر نام سرور» یا SNI می‌فرستد تا سرور بتواند اتصال را برای دامنه درخواستی برقرار کند. در اتصال‌های معمول، تجهیزات میانی شبکه می‌توانند این بخش را بخوانند.
قابلیت ECH اطلاعات حساس پیام آغاز اتصال، از جمله نام واقعی مقصد، را در یک پیام داخلی رمزگذاری می‌کند. یک پیام بیرونی نیز برای برقراری ارتباط باقی می‌ماند. کلودفلر برای بخش SNI این پیام بیرونی، نام مشترک cloudflare-ech.com را انتخاب کرده و سازوکار آن را در مستندات خود توضیح داده است.
در نتیجه، اتصال به چند دامنه متفاوت می‌تواند در بخش قابل‌مشاهده پیام آغاز ارتباط، نام یکسانی داشته باشد. ناظر شبکه نام واقعی مقصد را از این بخش نمی‌خواند، اما نام مشترک سرویس را همچنان می‌بیند.
یک نام مشترک، چندین اتصال مسدود
سازوکار گزارش‌شده از همین ویژگی استفاده می‌کند. به‌جای شناسایی دامنه‌های پنهان‌شده، تجهیزات فیلترینگ می‌توانند اتصال‌هایی را متوقف کنند که نام مشترک کلودفلر را در پیام بیرونی دارند.
برای نمونه، دو پیکربندی ممکن است از دامنه‌های متفاوتی استفاده کنند، اما هر دو در بخش SNI بیرونی نام cloudflare-ech.com را بفرستند. یک قاعده فیلترینگ برای این نام می‌تواند هر دو اتصال را قطع کند. تغییر دامنه داخلی نیز به‌تنهایی کافی نیست، چون نشانه قابل‌مشاهده‌ای که مبنای انسداد قرار گرفته، تغییر نکرده است.
این تحلیل بر طراحی مستند کلودفلر و شیوه انسداد گزارش‌شده استوار است. برای تعیین دامنه اجرای آن، به آزمایش اتصال در شبکه اپراتورهای مختلف نیاز است.
چرا بعضی فیلترشکن‌ها آسیب می‌بینند؟
بعضی ابزارهای عبور از فیلترینگ، ارتباط خود با سرور یا سرویس واسط روی کلودفلر را با استفاده از ECH برقرار می‌کنند. پنهان‌شدن نام واقعی سرور، امکان مسدودکردن آن صرفاً بر اساس دامنه را کاهش می‌دهد.
با هدف‌گرفتن نام بیرونی، همین مسیر مشترک به نقطه آسیب‌پذیر اتصال تبدیل می‌شود. چند تنظیم با نام دامنه و ظاهر متفاوت ممکن است به یک سازوکار وابسته باشند و با اعمال یک محدودیت، هم‌زمان قطع شوند.
برای کاربر، این وضعیت می‌تواند به شکل ازکارافتادن چند پیکربندی ظاهراً مستقل دیده شود. تفاوت دامنه‌ها الزاماً به معنی استقلال مسیر ارتباط نیست؛ آنچه در برابر تجهیزات فیلترینگ اهمیت دارد، اطلاعاتی است که واقعاً در شبکه آشکار می‌شود.
محدودیت می‌تواند به مرور عادی وب برسد
کاربرد قابلیت ECH به فیلترشکن‌ها محدود نیست. مرورگرها هنگام مراجعه عادی به وب‌سایت‌های پشتیبان این قابلیت نیز از آن استفاده می‌کنند. هدف، کاهش افشای نام سایت در برابر واسطه‌های شبکه، از جمله ارائه‌دهندگان اینترنت است؛ کارکردی که کلودفلر در معرفی این فناوری شرح داده است.
بنابراین، مسدودکردن نام مشترک می‌تواند اتصال‌های عادی دارای ECH را نیز درگیر کند، حتی اگر دامنه واقعی مقصد مستقلاً فیلتر نشده باشد. میزان اثر به تنظیمات مرورگر، واکنش آن به شکست اتصال و نحوه اجرای محدودیت بستگی دارد. این سازوکار به‌تنهایی به معنی مسدودشدن همه وب‌سایت‌های پشت کلودفلر نیست.
مسئله برای حریم خصوصی نیز اهمیت دارد. کاربر ممکن است برای دسترسی عادی به یک سایت، از قابلیتی استفاده کند که نام مقصد را پنهان نگه می‌دارد، اما اتصال او به‌دلیل همان نشانه مشترک متوقف شود.
اتصال DNS امن، انسداد نام بیرونی را برطرف نمی‌کند
محافظت از نام مقصد به پیام آغاز TLS محدود نمی‌شود. اگر پرس‌وجوی سامانه نام دامنه یا DNS بدون رمزگذاری انجام شود، ناظر شبکه می‌تواند نام درخواستی را در مرحله پیداکردن نشانی سرور ببیند.
استفاده از DNS رمزگذاری‌شده، مانند «دی‌ان‌اس روی HTTPS» یا DoH، به محافظت از این بخش کمک می‌کند. کلودفلر نقش آن در جلوگیری از افشای نام مقصد را در توضیح معماری ECH بررسی کرده است.
با این حال، دریافت امن اطلاعات اتصال مانع مسدودشدن مرحله بعد نمی‌شود. وقتی نام بیرونی ECH هدف فیلترینگ باشد، ارتباط می‌تواند پس از دریافت پاسخ DNS نیز قطع شود. نشانی آی‌پی مقصد هم در مسیر شبکه قابل‌مشاهده باقی می‌ماند.
وابستگی به پروتکل انتقال نیز باید جداگانه بررسی شود. قابلیت ECH در ارتباط TLS روی TCP کاربرد دارد و ذاتاً به UDP وابسته نیست. استفاده از UDP به مسیرهایی مانند QUIC مربوط است؛ تفاوتی که در توضیحات فنی کلودفلر آمده است. محدودکردن UDP، اختلال در DNS امن و مسدودکردن نام بیرونی، هرکدام بخش متفاوتی از اتصال را هدف می‌گیرند.
کنترل دسترسی با یک نشانه قابل‌مشاهده
در شیوه گزارش‌شده، سامانه فیلترینگ برای قطع ارتباط به دانستن نام واقعی مقصد نیاز ندارد. نام مشترکی که برای برقراری اتصال بیرون از بخش رمزگذاری‌شده باقی می‌ماند، امکان اعمال محدودیت بر مجموعه‌ای از ارتباط‌ها را فراهم می‌کند.
پیامد مشخص، وابستگی چند مسیر دسترسی به یک نقطه مشترک انسداد است. این وابستگی توضیح می‌دهد چرا تعویض دامنه ممکن است اتصال را برنگرداند و چرا اثر محدودیت می‌تواند به مرور عادی وب نیز برسد. نام مقصد همچنان پنهان می‌ماند، اما استفاده از مسیر محافظت‌شده برای رسیدن به آن دشوارتر می‌شود.