هل يحل ECH محل VPN؟ ما يخفيه كل منهما فعلياً

تُفعّل Encrypted Client Hello، وتفتح موقعاً، فيعمل الاتصال. يسأل أحدهم إن كانت VPN ما زالت ضرورية، والجواب الصادق أن الميزتين تخفيان أشياء مختلفة عن أطراف مختلفة. يحمي ECH أجزاءً من مصافحة TLS قد تكشف لولا ذلك اسم الخادم الذي طلبته. أما VPN فيضع حركة مرورك داخل نفق ينتهي عند نقطة نهاية تابعة لمشغّل. والخلط بين الاثنين يؤدي إما إلى دفع مبالغ زائدة مقابل حماية تملكها أصلاً، أو إلى الاعتقاد بأن لديك حماية لم تكن لك قط.

ما تكشفه المصافحة دون ECH

يبدأ اتصال TLS برسالة ClientHello، وفي الصيغة الأقدم يسافر اسم الخادم المقصود واضحاً داخلها. وأي جهة في موضع يسمح لها بمراقبة المصافحة، من مشغّل شبكة إلى مستشعر سلبي على المسار، تستطيع قراءة ذلك الاسم رغم أن بيانات التطبيق بعده مشفّرة. وعنوان الوجهة مرئي أيضاً، لذا فاسم الخادم كثيراً ما يكون معلومة تأكيدية لا الإشارة الوحيدة.

هذا هو التسريب المحدد الذي يستهدفه ECH. إنه تسريب ضيق، وتضييقه أمر يستحق العناء، لكنه ليس مماثلاً لإخفاء الوجهة التي تذهب إليها حركة مرورك.

ما يغيّره ECH فعلياً

مع دعم متوافق من العميل والخادم والتهيئة اللازمة، يشفّر ECH رسالة ClientHello داخلية بمفاتيح ينشرها الخادم، فيرى المراقب مصافحة خارجية لا تحمل اسم الخادم الحقيقي. وتبقى حركة المرور ذاهبة إلى العنوان نفسه، في الأوقات نفسها، وبأحجام متقاربة. ويظل التوقيت والحجم قابلين للملاحظة، ولم يكن عنوان IP للوجهة يوماً جزءاً مما يشفّره ECH.

الدعم ليس شاملاً كذلك. فليس كل عميل أو خدمة أو اتصال فردي يستخدم ECH، ولا يمكنك استنتاج وجوده من أيقونة قفل أو من تغييرك بلد VPN. ويقتضي تشخيصه النظر إلى المصافحة، لا إلى زينة المتصفح.

ما تغيّره VPN بدلاً من ذلك

تنقل VPN حركة المرور المغطاة داخل نفق إلى نقطة نهاية، فيرى المراقب الأقرب إليك اتصالاً بـ VPN لا بالوجهة. وهذا يغيّر من يستطيع ملاحظة ماذا، ويغيّر العنوان الذي تراه الوجهة. لكنه لا يشفّر شيئاً لم يكن التطبيق قد شفّره، ولا يخفي الاتصال عن مشغّل VPN الذي يقع بحكم البنية على المسار.

الاثنان يتكاملان بشكل طبيعي: يمكن للتطبيق أن يستخدم TLS و ECH بينما يحمي النفق المقطع الشبكي المحيط به. ولا يحدد أي منهما ما يستطيع كل طرف رؤيته أو الاحتفاظ به، لأن الأطراف تشغل مواضع مختلفة على المسار.

أين يقع DNS في الصورة

يكشف استعلام DNS غير المحمي الاسم للمُحلّل ولأي شخص يراقب ذلك المسار، وهو تعرّض منفصل عن مصافحة TLS. و ECH لا يشفّر DNS، و VPN لا يغيّر هوية المُحلّل إلا إذا أرسلت استعلاماتك أيضاً عبر النفق أو استخدمت مُحلّلاً مشفّراً. الناس يفعّلون واحداً من الثلاثة ويفترضون أن الاثنين الآخرين تبعهما.

افحص مسار المُحلّل بمعزل عن مسار المصافحة. فهما يفشلان بصورة مستقلة ويُهيّآن في موضعين مختلفين.

كيف تعرف أي طبقة تنظر إليها

اسأل عما ستكشفه الملاحظة. إذا كان السؤال هو أي اسم خادم طُلب، فالمصافحة والمُحلّل هما الطبقتان المعنيتان. وإذا كان السؤال هو إلى أي شبكة ذهبت حركة المرور ومن كان يمكنه رؤيتها أثناء النقل، فالنفق هو الجواب. وإذا كان السؤال هو أي حساب فعل ماذا على الموقع، فلا يفيد أي منهما، لأن الموقع ما زال يتلقى الطلب وأي هوية قدّمتها.

أبقِ التحقق من الشهادة وسياسة DNS سليمين أثناء فحص التوافق. فتعطيل فحص ما لتنجح تجربة يغيّر معنى النتيجة بدلاً من أن يبيّن ما يحميه ECH.

سجّل أي طبقة فعّلتها فعلياً قبل أن تضيف أخرى. ومعظم الالتباس هنا يأتي من افتراض أن ضابطاً واحداً يغطي الطلب واسمه ووجهته وهويته دفعة واحدة.