DNS, SNI и метаданные: что утекает даже при идеальном HTTPS
Почему VPN-провайдер и любой посредник видит ваши домены и паттерны поведения, хотя содержимое зашифровано. ECH, DoH и другие меры.
«У меня везде HTTPS, что может увидеть VPN?» — правильный вопрос с неочевидным ответом: почти всю структуру вашей сетевой жизни, кроме содержимого.
DNS: каталог ваших интересов
Прежде чем браузер установит TLS-соединение, система разрешает домен в IP-адрес. Классический DNS — открытый текст: каждый узел на пути (включая VPN-туннель) читает запросы. Это карта поведения: bank.example в 9:00, clinic.example в среду, job-search.example трижды за вечер.
Через туннель провайдера DNS-запросы достаются его резолверу по умолчанию. Отсюда две угрозы: логирование и подмена ответов (направление на фишинговые зеркала, рекламные редиректы).
Меры:
- DNS-over-HTTPS (DoH) или DNS-over-TLS (DoT) к резолверу, которому доверяете больше, чем VPN-оператору — сам трафик DoH зашифрован и идёт внутри туннеля;
- проверка, что клиент не «сдаёт» DNS мимо туннеля (утечки DNS).
SNI: домен на входе в TLS
TLS-рукопожатие исторически посылало запрашиваемый домен (Server Name Indication) открытым текстом — так сервер выбирал нужный сертификат до установления канала. Посредник, неспособный расшифровать трафик, спокойно читает SNI: bank.example, clinic.example…
Меры:
- ECH (Encrypted Client Hello) — шифрует SNI ключом, публикуемым доменом в DNS (требует DoH и поддержки сервером; постепенно распространяется);
- обфусцированные прокси-протоколы (VLESS+Reality, Hysteria2) прячут сам факт обращения — домен назначения известен только вашему серверу.
Метаданные: поведение вместо содержимого
Даже без DNS и SNI посредник видит: IP назначения, времена, длительности, объёмы, периодичность. Исследования метаданных показывают: по этим данным классифицируются занятия, состояние и круг общения человека без единого байта содержимого.
«Мне нечего скрывать» здесь не работает: скрывать обычно есть что даже у законопослушного — медицинские поиски, переписку с юристом, сам факт использования средств обхода блокировок в юрисдикции, где это преследуется.
Иерархия защиты
| Слой | Что защищает | Инструмент |
|---|---|---|
| HTTPS | Содержимое | Браузер/приложения (уже есть) |
| DoH/DoT | DNS-запросы | Настройка ОС/браузера |
| ECH | SNI | Поддержка растёт, включайте |
| VPN/прокси | IP-адрес от сайта | Клиент + свой сервер |
| Tor | IP и корреляция | Tor Browser |
Слои складываются: HTTPS внутри туннеля к своему серверу прячет и содержимое, и IP от конечного сервиса. Полную цепочку доверия разбором метаданных не починить — но каждый слой уменьшает поверхность.
Практический минимум
- Включите DNS-over-HTTPS в браузере или системе (резолвер на выбор).
- Используйте VPN-клиент с проверкой DNS-утечек (например, через dnsleaktest).
- Для чувствительных сценариев — свой сервер (Amnezia, Outline, VPS+Xray): см. каталог и серверный софт.
- Помните: VPN защищает от сайта и провайдера, но добавляет доверия оператору туннеля — выбирайте его осознанно.