ECH VPN-i əvəz edirmi? Hər biri əslində nəyi gizlədir

Encrypted Client Hello-nu aktivləşdirirsiniz, sayt açırsınız və bağlantı işləyir. Kimsə VPN-in hələ də lazım olub-olmadığını soruşur və dürüst cavab budur ki, bu iki funksiya müxtəlif tərəflərdən müxtəlif şeyləri gizlədir. ECH, TLS əl sıxmasının əks halda soruşduğunuz server adını aşkar edə bilən hissələrini qoruyur. VPN isə trafikinizi operatorun son nöqtəsində bitən tunelin içinə salır. İkisini qarışdırmaq ya artıq malik olduğunuz qorunma üçün artıq ödəməyə, ya da heç vaxt malik olmadığınız qorunmaya sahib olduğunuza inanmağa gətirib çıxarır.

Əl sıxması ECH olmadan nəyi aşkara qoyur

TLS bağlantısı ClientHello ilə başlayır və köhnə formada nəzərdə tutulan server adı onun içində açıq şəkildə gedir. Əl sıxmasını müşahidə edə biləcək vəziyyətdə olan hər kəs, şəbəkə operatorundan yoldakı passiv sensora qədər, sonradan tətbiq datası şifrələnsə də, o adı oxuya bilər. Təyinat ünvanı da görünür, ona görə də ad çox vaxt yeganə siqnal deyil, təsdiqləyici məlumat olur.

Bu, ECH-in hədəflədiyi konkret sızıntıdır. Ensiz bir sızıntıdır və onu daraltmaq dəyərlidir, lakin bu, trafikinizin hara getdiyini gizlətməklə eyni şey deyil.

ECH əslində nəyi dəyişir

Uyğun müştəri və server dəstəyi və lazımi konfiqurasiya ilə ECH daxili ClientHello-nu serverin dərc etdiyi açarlarla şifrələyir, beləliklə müşahidəçi real server adını daşımayan xarici əl sıxması görür. Trafik yenə eyni ünvana, eyni vaxtlarda, təxminən eyni həcmlərdə gedir. Vaxt və ölçü müşahidə oluna bilən qalır və təyinat IP heç vaxt ECH-in şifrələdiyinin bir hissəsi olmayıb.

Dəstək də universal deyil. Hər müştəri, xidmət və ya fərdi bağlantı ECH istifadə etmir və onun mövcudluğunu kilid ikonasından və ya VPN ölkənizi dəyişdiyinizdən çıxara bilməzsiniz. Onu diaqnoz etmək üçün əl sıxmasına baxmaq lazımdır, brauzerin bəzəyinə deyil.

VPN əvəzində nəyi dəyişir

VPN örtülü trafiki tunelin içində son nöqtəyə daşıyır, buna görə sizə ən yaxın müşahidəçi təyinat ünvanına deyil, VPN-ə bağlantı görür. Bu, kimin nəyi müşahidə edə biləcəyini dəyişir və təyinatın gördüyü ünvanı dəyişir. Tətbiqin artıq şifrələmədiyi heç nəyi şifrələmir və bağlantını konstruksiyaya görə yolda olan VPN operatorundan gizlətmir.

İkisi təbii şəkildə birləşir: tətbiq TLS və ECH istifadə edə bilər, tunel isə onun ətrafındakı şəbəkə seqmentini qoruyur. Heç biri hər tərəfin nəyi görə və ya saxlaya biləcəyini müəyyən etmir, çünki tərəflər yolda müxtəlif mövqeləri tutur.

DNS haraya oturur

Qorunmayan DNS sorğusu adı həllediciyə və həmin yolu müşahidə edən hər kəsə aşkara çıxarır ki, bu da TLS əl sıxmasından ayrı bir məruz qalmadır. ECH DNS-i şifrələmir və VPN yalnız sorğularınızı da tuneldən keçirsəniz və ya şifrələnmiş həlledici istifadə etsəniz həlledicinin kimliyini dəyişir. İnsanlar üçündən birini aktivləşdirir və digər ikisinin də ardınca gəldiyini güman edirlər.

Həlledici yolunu əl sıxması yolundan ayrıca yoxlayın. Onlar müstəqil şəkildə uğursuz olur və müxtəlif yerlərdə konfiqurasiya edilir.

Hansı təbəqəyə baxdığınızı necə bilmək olar

Müşahidənin nəyi aşkara çıxaracağını soruşun. Sual hansı server adının tələb olunduğudursa, əl sıxması və həlledici aidiyyəti təbəqələrdir. Sual trafikin hansı şəbəkəyə getdiyi və tranzitdə kimin görə bildiyidirsə, tuneldir. Sual saytda hansı hesabın nə etdiyidirsə, heç biri kömək etmir, çünki veb sayt hələ də sorğunu və təqdim etdiyiniz hər hansı kimliyi alır.

Uyğunluğu araşdırarkən sertifikat yoxlamasını və DNS siyasətini toxunulmaz saxlayın. Testin keçməsi üçün yoxlamanı söndürmək ECH-in nəyi qoruduğunu göstərmir, nəticənin mənasını dəyişir.

Başqa bir təbəqə əlavə etməzdən əvvəl həqiqətən hansı təbəqəni aktivləşdirdiyinizi yazın. Buradakı qarışıqlığın çoxu tək bir nəzarətin sorğunu, adını, təyinatını və kimliyini eyni anda əhatə etdiyini güman etməkdən gəlir.