SNI
Содержимое страницы зашифровано, но имя сайта в начале соединения до сих пор читается всеми по дороге.
Когда ты открываешь защищённый сайт, браузер первым делом отправляет серверу приветствие — ClientHello. В нём среди прочего написано имя сайта: SNI. Нужно оно по простой причине: на одном IP-адресе живёт множество сайтов, и серверу надо знать, какой тебе нужен.
Беда в том, что это приветствие до сих пор идёт открытым текстом. Любой, кто стоит на пути трафика, видит имя сайта, хотя страницу прочитать не может. Это и есть зацепка для DPI.
Пример из атласа
По отчёту OONI за 2024 год, основной метод в российских измерениях — тайм-аут или сброс соединения сразу после ClientHello.1 То есть оборудование читает SNI, видит имя из своего списка и обрывает связь. Для сайта и браузера это выглядит как «страница не грузится», а не как отказ.
Тот же приём работает и для QUIC (QUIC): ТСПУ расшифровывают первый пакет и читают имя оттуда.
Как это закрывают
Расширение ECH шифрует SNI. Но в России соединения с ECH к адресам Cloudflare режут отдельно, см. ECH. Подробный разбор цепочки — в статьях Как работает блокировка и ТСПУ.
Все термины: Словарь.
Примечания
- измерение OONI: ограничения YouTube в России зафиксированы в июле 2024. OONI, отчёт о России за 2024 год.