Vervang ECH 'n VPN? Wat elkeen werklik verberg

Jy aktiveer Encrypted Client Hello, maak 'n webwerf oop, en die verbinding werk. Iemand vra of die VPN nog nodig is, en die eerlike antwoord is dat die twee funksies verskillende dinge vir verskillende partye verberg. ECH beskerm dele van die TLS-handskud wat andersins die bedienernaam kan verraai waarvoor jy gevra het. 'n VPN plaas jou verkeer binne 'n tonnel wat by 'n operateur se eindpunt eindig. Om die twee te verwar lei daartoe dat jy óf te veel betaal vir beskerming wat jy reeds het, óf glo dat jy beskerming het wat jy nooit gehad het nie.

Wat die handskud sonder ECH blootlê

n TLS-verbinding begin met 'n ClientHello, en in die ouer vorm reis die bedoelde bedienernaam in die oopte daarin. Enigiemand wat die handskud kan waarneem, van 'n netwerkoperateur tot 'n passiewe sensor op 'n pad, kan daardie naam lees, selfs al is die toepassingsdata daarna versleutel. Die bestemmingsadres is ook sigbaar, so die naam is dikwels bevestigende inligting eerder as die enigste sein.

Dit is die spesifieke lek wat ECH teiken. Dit is 'n smal lek, en om dit te vernou is die moeite werd, maar dit is nie dieselfde as om weg te steek waarheen jou verkeer gaan nie.

Wat ECH werklik verander

Met versoenbare kliënt- en bedienerondersteuning en die nodige konfigurasie versleutel ECH 'n innerlike ClientHello onder sleutels wat deur die bediener gepubliseer is, sodat 'n waarnemer 'n buitenste handskud sien wat nie die werklike bedienernaam dra nie. Die verkeer gaan steeds na dieselfde adres, op dieselfde tye, in ongeveer dieselfde volumes. Tydsberekening en grootte bly waarneembaar, en die bestemmings-IP was nooit deel van wat ECH versleutel nie.

Ondersteuning is ook nie universeel nie. Nie elke kliënt, diens of individuele verbinding gebruik ECH nie, en jy kan die teenwoordigheid daarvan nie aflei uit 'n hangslotikoon of uit die feit dat jy jou VPN-land verander het nie. Om dit te diagnoseer vereis 'n blik op die handskud, nie op die blaaier se versiering nie.

Wat die VPN eerder verander

'n VPN dra bedekte verkeer binne 'n tonnel na 'n eindpunt, so die waarnemer naaste aan jou sien 'n verbinding na die VPN eerder as na die bestemming. Dit verander wie wat kan waarneem, en dit verander die adres wat die bestemming sien. Dit versleutel niks wat die toepassing nie reeds versleutel het nie, en dit verberg nie die verbinding vir die VPN-operateur nie, wat per konstruksie in die pad is.

Die twee pas natuurlik saam: 'n toepassing kan TLS en ECH gebruik terwyl die tonnel die netwerksegment daaromheen beskerm. Nie een van hulle bepaal wat elke party kan sien of onthou nie, want die partye beklee verskillende posisies in die pad.

Waar DNS inpas

'n Onbeskermde DNS-navraag onthul die naam aan die resolver en aan enigiemand wat daardie pad waarneem, wat 'n aparte blootstelling van die TLS-handskud is. ECH versleutel nie DNS nie, en 'n VPN verander net die resolver se identiteit as jy ook jou navrae deur die tonnel stuur of 'n versleutelde resolver gebruik. Mense aktiveer een van die drie en neem aan die ander twee het gevolg.

Kontroleer die resolver-pad apart van die handskud-pad. Hulle faal onafhanklik en word op verskillende plekke gekonfigureer.

Hoe om te weet na watter laag jy kyk

Vra wat die waarneming sou onthul. As die vraag is watter bedienernaam versoek is, is die handskud en die resolver die relevante lae. As die vraag is na watter netwerk die verkeer gegaan het en wie dit onderweg kon sien, is dit die tonnel. As die vraag is watter rekening wat op die werf gedoen het, help nie een van hulle nie, want die webwerf ontvang steeds die versoek en enige identiteit wat jy verskaf het.

Hou sertifikaatverifikasie en DNS-beleid ongeskonde terwyl jy versoenbaarheid ondersoek. Om 'n kontrole te deaktiveer om 'n toets te laat slaag, verander wat die resultaat beteken eerder as om te wys wat ECH beskerm.

Skryf neer watter laag jy werklik geaktiveer het voordat jy nog een byvoeg. Die meeste verwarring hier kom daarvan dat 'n mens aanneem 'n enkele beheer dek 'n versoek, sy naam, sy bestemming en sy identiteit gelyktydig.