Федеральные сайты США раскрывают посетителей сетевым наблюдателям

Сенатор США Рон Уайден от штата Орегон призвал федеральные ведомства включить функцию защиты приватности, которую основные браузеры поддерживают уже три года. По его словам, около 350 государственных веб-адресов по-прежнему позволяют наблюдателям на сетевом маршруте узнать, на какой именно сайт заходит пользователь.

В письме исполняющему обязанности директора Агентства по кибербезопасности и защите инфраструктуры (CISA) Нику Андерсену и заместителю федерального директора по информационным технологиям Томасу Флэггу Уайден попросил обязать федеральные сайты использовать Encrypted Client Hello (ECH), а поддержку этой технологии сделать условием для облачных и сетевых подрядчиков, работающих с правительством. К письму приложен список из 350 адресов исполнительной власти, размещённых в сетях доставки контента (CDN), но не использующих ECH. Сенатор запросил ответ без грифа секретности и план действий до 20 ноября 2026 года.

Большинство федеральных сайтов уже шифруют страницы и отправляемые через формы данные. Однако обычное HTTPS не скрывает имя сайта. Перед установлением защищённого соединения браузер передаёт его в открытом виде в поле Server Name Indication (SNI, указание имени сервера). Поэтому интернет-провайдер, владелец небезопасной Wi-Fi-сети или скомпрометированный оператор связи может увидеть, что человек открыл, например, tips.fbi.gov, хотя содержимое сообщения прочитать не сможет.

ECH шифрует эту часть начального обмена данными. Технология особенно эффективна, когда сайт работает через крупную CDN: множество ресурсов используют общую точку входа, и наблюдателю виден общий адрес провайдера, но не конкретный сайт. Например, Cloudflare показывает защищённые ECH сайты сети под одним общим именем.

Уайден выделил два сервиса. Онлайн-служба предотвращения самоубийств для ветеранов Veterans Crisis Line размещена на Amazon Web Services (AWS); согласно письму, CDN Amazon пока не поддерживает ECH. Портал FBI для сообщений о правонарушениях, tips.fbi.gov, работает через Cloudflare, где технология доступна, но бюро её не включило. По словам сенатора, для федеральных доменов у провайдера с поддержкой ECH, например Cloudflare, достаточно изменить настройки.

Из 350 адресов 191 — дипломатические ресурсы: 174 сайта посольств, три сайта консульств и 14 представительств, преимущественно при международных организациях, включая НАТО и ООН. Ещё 53 адреса — поддомены bie.edu, по всей видимости, сайты отдельных школ Бюро по делам образования индейцев. Двенадцать адресов относятся к тестовым, учебным или предварительным средам; среди них — поддомены для приёмочного тестирования сервисов Министерства образования, связанных с долгами.

Остаются 94 адреса, не входящие в эти группы. Среди наиболее чувствительных — горячая линия генерального инспектора Министерства внутренней безопасности, портал Минюста для сообщений о нарушениях гражданских прав, сайт вакансий разведывательного сообщества, форма для сообщений в Службу гражданства и иммиграции США (USCIS), программа Госдепартамента Rewards for Justice, навигатор Национального института здравоохранения по лечению алкогольной зависимости, сайт CDC о профилактике ВИЧ-инфекции препаратом doxy-PEP, несколько федеральных ресурсов о ВИЧ и сервис ICE для поиска задержанных.

В документации Cloudflare сказано, что в бесплатных зонах ECH включена по умолчанию, а клиентам других тарифов нужно активировать её самостоятельно. Это согласуется с пояснением представителя компании: государственному заказчику на платном тарифе требуется самому согласиться на включение функции. В случае FBI решение, судя по письму, действительно сводится к настройке.

С VA ситуация сложнее: если CDN Amazon не предлагает ECH, ведомству придётся сменить поставщика или ждать, пока тот добавит поддержку. Поэтому второе требование Уайдена — включить ECH в условия федеральных контрактов — может иметь далеко идущие последствия. Пока другие компании не подтянутся, правило фактически будет выгодно небольшому кругу провайдеров. Возможно, это и есть способ надавить на Amazon и конкурентов, но в краткосрочной перспективе закупочное требование становится не только мерой безопасности, но и рычагом на рынке.

У ECH есть ограничения. В спецификации протокола предупреждают: сайт всё ещё можно вычислить по незашифрованному DNS-запросу или IP-адресу сервера. Когда Google добавила общесистемную поддержку ECH в Android 17 в августе, компания также пояснила, что функция работает вместе с частным DNS, помогая скрывать домены, которые посещает пользователь. Федеральное ведомство может включить ECH на своей стороне, но не может заставить ветерана, подключённого через домашнего провайдера, использовать зашифрованный DNS. Значит, у наблюдателя всё ещё могут остаться другие способы определить назначение соединения.

Отдельная проблема — доступность технологии в других странах. Среди упомянутых адресов есть сайты посольств США в России, Беларуси, Китае и Иране. Их посетители могут выходить в интернет через сети, где наблюдение особенно вероятно.

Россия блокирует ECH Cloudflare с ноября 2024 года. Тогда Роскомнадзор заявил, что использование этой функции нарушает российское законодательство. Российские провайдеры блокируют соединения, в которых одновременно присутствуют расширение ECH и общее внешнее имя Cloudflare. Поэтому клиентам компании в России приходится выбирать: отключить ECH или перейти на отечественную CDN.

Для сайта посольства включение ECH может заменить видимое имя сайта на недоступность самого ресурса именно в стране, где он особенно важен. Это неудобный выбор; пока практическим выходом может быть отказ от ECH.

Уайден поднимает этот вопрос не впервые. В октябре 2018 года он писал главе CISA Крису Кребсу, призывая ведомства внедрить зашифрованный DNS и Encrypted SNI (ESNI) — предшественника ECH. Тогда сенатор также просил DHS вместе с Администрацией общих служб США (GSA) сделать ESNI условием для CDN-подрядчиков федерального правительства.

Уайден называл эту меру «следующим логичным шагом» после директивы DHS 2017 года BOD 18-01 о переходе на HTTPS. В письме 2026 года он ссылается на ту же директиву и снова называет свои предложения «следующими логичными шагами». Результаты прежних обращений неоднозначны, но не нулевые: после письма 2018 года Пентагону о HTTPS Министерство обороны разработало план защиты своих сайтов.

Со стороны пользователей необходимая база уже есть: по письму Уайдена, большинство крупных браузеров поддерживают ECH с октября 2023 года, а Android 17 применяет её на уровне всей системы. Для FBI включение функции выглядит недорогим и давно назревшим решением. Но ECH лишь сокращает объём сведений, доступных пассивному наблюдателю, а не делает посещение сайта невидимым. Успех нового требования может зависеть не столько от CISA и Администрации по делам управления и бюджета (OMB), сколько от того, присоединятся ли Amazon и другие провайдеры к Cloudflare.