فیلترینگ ECH در ایران؛ بستن مسیر اتصال بدون دیدن مقصد

مارک پشم‌فروش، معاون فناوری و توسعه‌دهنده ارشد، روز ۲۱ اکتبر ۲۰۲۶ از فیلترشدن اتصال‌های مبتنی بر ECH به کلودفلر در ایران خبر داد. طبق توضیح او، سامانه فیلترینگ نام cloudflare-ech.com را در بخش قابل‌مشاهده پیام آغاز اتصال مسدود کرده است؛ اقدامی که می‌تواند ارتباط بعضی فیلترشکن‌های متکی به این مسیر را قطع کند. گستردگی اجرای این محدودیت در اپراتورهای مختلف، با منابع در دسترس این گزارش مشخص نیست.

اهمیت این تغییر به شیوه شناسایی اتصال‌ها برمی‌گردد. قابلیت ECH نام واقعی مقصد را پنهان می‌کند، اما در پیاده‌سازی کلودفلر، یک نام مشترک همچنان آشکار می‌ماند. تجهیزات فیلترینگ می‌توانند همین نشانه را هدف بگیرند و بدون فهمیدن نام واقعی مقصد، ارتباط را متوقف کنند.

نام سایت چگونه در ارتباط رمزگذاری‌شده دیده می‌شود؟

رمزگذاری HTTPS از محتوای ارتباط، مانند رمز عبور و متن پیام‌ها، در مسیر انتقال محافظت می‌کند. با این حال، در اتصال‌های معمول TLS، نام دامنه مقصد در پیام آغاز ارتباط آشکار است.

مرورگر یا برنامه برای شروع ارتباط امن، پیامی به نام ClientHello به سرور می‌فرستد. این پیام شامل اطلاعات لازم برای برقراری اتصال است و بخشی به نام «نشانگر نام سرور» یا SNI دارد که دامنه درخواستی را مشخص می‌کند. تجهیزات فیلترینگ می‌توانند این نام را بخوانند و بدون دسترسی به محتوای ارتباط، اتصال را ببندند.

قابلیت «رمزگذاری پیام آغاز اتصال» یا ECH برای محافظت از همین اطلاعات طراحی شده است. نام واقعی مقصد در یک پیام داخلی رمزگذاری می‌شود و یک پیام بیرونی، برقراری ارتباط را ممکن می‌کند. در پیاده‌سازی کلودفلر، این پیام بیرونی نام مشترک cloudflare-ech.com را نشان می‌دهد.

به این ترتیب، ناظر شبکه به‌جای نام واقعی سایت، نام مشترکی را می‌بیند که مقصدهای مختلف از آن استفاده می‌کنند.

نام مشترک به نقطه انسداد تبدیل می‌شود

گزارش مارک پشم‌فروش می‌گوید فیلترینگ ایران همین نام مشترک را هدف گرفته است. چنین انسدادی به رمزگشایی پیام داخلی نیاز ندارد. تجهیزات شبکه کافی است نام موجود در بخش بیرونی پیام را تشخیص دهند و اتصال‌های دارای آن را متوقف کنند. این توضیح، تحلیل سازوکار گزارش‌شده بر اساس طراحی مستند کلودفلر است.

برای مثال، دو اتصال به دو دامنه متفاوت ممکن است در بخش قابل‌مشاهده پیام آغاز ارتباط، هر دو نام cloudflare-ech.com را داشته باشند. مسدودکردن این نام می‌تواند هر دو اتصال را قطع کند، حتی اگر تجهیزات فیلترینگ نتوانند دامنه واقعی هیچ‌کدام را بخوانند.

در این وضعیت، حکومت برای بستن ارتباط لازم نیست مقصد دقیق کاربر را شناسایی کند. مسدودکردن نشانه مشترک، امکان قطع مجموعه‌ای از اتصال‌ها را فراهم می‌کند؛ مجموعه‌ای که می‌تواند هم ابزارهای عبور از فیلترینگ و هم مراجعه عادی به وب‌سایت‌ها را در بر بگیرد.

چرا بعضی فیلترشکن‌ها آسیب می‌بینند؟

بعضی ابزارهای عبور از فیلترینگ، برای اتصال به سرور یا سرویس واسط خود روی کلودفلر از قابلیت ECH استفاده می‌کنند. پنهان‌شدن نام واقعی آن مقصد، امکان شناسایی اتصال صرفاً بر اساس دامنه را کاهش می‌دهد.

اگر نام مشترک بیرونی مسدود شود، عوض‌کردن دامنه داخلی به‌تنهایی مشکل را حل نمی‌کند. اتصال تازه همچنان همان نام قابل‌مشاهده را دارد. به همین دلیل، چند پیکربندی با دامنه‌های متفاوت ممکن است هم‌زمان دچار اختلال شوند.

پیامد احتمالی این شیوه به فیلترشکن‌ها محدود نمی‌شود. مرورگرها نیز برای مراجعه عادی به وب‌سایت‌ها از قابلیت ECH استفاده می‌کنند. مسدودکردن نام مشترک کلودفلر می‌تواند این اتصال‌ها را هم مختل کند. میزان اثر واقعی به تنظیمات مرورگر، واکنش آن به شکست اتصال و نحوه اجرای محدودیت بستگی دارد؛ بنابراین از سازوکار فنی به‌تنهایی نمی‌توان تعداد سایت‌ها یا کاربران آسیب‌دیده را نتیجه گرفت.

نقش DNS امن چیست؟

پنهان‌کردن نام مقصد در پیام آغاز ارتباط، زمانی حفاظت کامل‌تری ایجاد می‌کند که همان نام از مسیر دیگری آشکار نشود. اگر درخواست سامانه نام دامنه یا DNS بدون رمزگذاری فرستاده شود، ناظر شبکه ممکن است نام سایت را در همین مرحله ببیند؛ یعنی زمانی که دستگاه برای پیدا‌کردن نشانی سرور پرس‌وجو می‌کند.

استفاده از DNS رمزگذاری‌شده، مانند «دی‌ان‌اس روی HTTPS» یا DoH، این بخش از ارتباط را محافظت می‌کند. اما بازبودن این مسیر تضمین نمی‌کند اتصال دارای ECH نیز برقرار شود، چون نام بیرونی کلودفلر همچنان می‌تواند هدف فیلترینگ قرار بگیرد. نشانی آی‌پی مقصد نیز در مسیر شبکه قابل‌مشاهده باقی می‌ماند.

قابلیت ECH به‌خودی‌خود به پروتکل UDP وابسته نیست و در ارتباط TLS روی TCP هم کاربرد دارد. وابستگی به UDP به مسیرهایی مانند QUIC مربوط است. به همین دلیل، محدودکردن UDP، مسدودکردن DNS امن و فیلترکردن نام بیرونی اتصال، سازوکارهای متفاوتی هستند و نباید به جای یکدیگر توضیح داده شوند.

پنهان‌ماندن مقصد، مانع قطع اتصال نمی‌شود

سازوکار گزارش‌شده نشان می‌دهد فیلترینگ می‌تواند به‌جای شناسایی تک‌تک مقصدها، نشانه مشترک اتصال‌های آن‌ها را هدف بگیرد. در این حالت، نام واقعی سایت پنهان می‌ماند، اما مسیر رسیدن به آن بسته می‌شود.

برای کاربران، پیامد می‌تواند قطع هم‌زمان چند ابزار یا پیکربندی باشد که دامنه‌های متفاوتی دارند، اما از یک مسیر مشترک استفاده می‌کنند. دامنه این محدودیت نیز بالقوه فراتر از فیلترشکن‌هاست: مسدودکردن نام مشترک کلودفلر می‌تواند استفاده عادی از قابلیتی را مختل کند که برای کاهش افشای اطلاعات مرور کاربران طراحی شده است.