SNI Nedir?

Bir sunucuda tek adres üzerinden yüzlerce site barınabilir. İstemci bağlandığında sunucunun hangi sertifikayı sunacağını bilmesi gerekir ve bu karar, şifreli kanal kurulmadan önce verilmek zorundadır.

SNI bu ihtiyaçtan doğdu. İstemci, el sıkışmanın ilk mesajında hedef adı düz metin olarak yazar.

Denetim Açısından Değeri

Bu alan, şifreli trafikte alan adı görmenin en ucuz yoludur. Trafik açılmadan, sertifika incelenmeden, yalnız ilk paket okunarak hedef öğrenilir.

Kurumsal filtrelemenin büyük kısmı buna dayanır:

• Kategori bazlı politikalar hedef adı üzerinden uygulanır.
• SSL denetimi istisnaları buradan ayrılır; bankacılık ya da sağlık siteleri açılmadan geçirilir.
• Loglarda hangi siteye gidildiği, içerik açılmadan kaydedilir.

Bu son madde mahremiyet açısından da tercih edilir. Kurum, içeriği görmeden hedefi kaydedebilir.

Neden Yeterli Değil

SNI istemcinin beyanıdır, doğrulanmış bir bilgi değildir. İstemci oraya farklı bir ad yazıp başka bir yere bağlanabilir. Sertifikadaki adla karşılaştırma yapılmadığı sürece, tek başına güvenilir bir kimlik sayılmaz.

İkinci sınır kapsamdır. Doğrudan adrese giden bağlantılarda SNI hiç bulunmaz ve alan adı tabanlı politika devreye girmez.

Şifrelenmesi

Alanın açık gitmesi, mahremiyet açısından bir sızıntı olarak değerlendirildi. ECH bunu şifrelemek için tanımlandı ve yaygınlaştıkça alan adı tabanlı görünürlüğü doğrudan etkiler.

Kurumların bugün SNI üzerine kurduğu politikaların ne kadarının bu değişimden etkileneceği, o politikaların hangi katmanda tanımlandığına bağlıdır.