Ці замяняе ECH VPN? Што насамрэч хавае кожны з іх

Вы ўключаеце Encrypted Client Hello, адкрываеце сайт, і злучэнне працуе. Хтосьці пытаецца, ці патрэбны яшчэ VPN, і сумленны адказ такі: гэтыя дзве магчымасці хаваюць розныя рэчы ад розных бакоў. ECH абараняе часткі рукапаціскання TLS, якія інакш могуць выдаць імя сервера, якое вы запыталі. VPN змяшчае ваш трафік унутр тунэля, які сканчаецца на канцавой кропцы аператара. Блытаць гэтыя дзве рэчы — гэта або плаціць лішняе за абарону, якая ў вас ужо ёсць, або верыць, што вы маеце абарону, якой ніколі не мелі.

Што выдае рукапацісканне без ECH

Злучэнне TLS пачынаецца з ClientHello, і ў старой форме меркаванае імя сервера ідзе ў адкрытым выглядзе ўнутры яго. Любы, хто можа назіраць за рукапацісканнем — ад аператара сеткі да пасіўнага сэнсара на шляху — можа прачытаць гэтае імя, нават калі даныя праграмы пасля гэтага шыфруюцца. Адрас прызначэння таксама бачны, таму імя часта з'яўляецца пацвярджальнай інфармацыяй, а не адзіным сігналам.

Гэта і ёсць тая ўцечка, на якую нацэлены ECH. Яна вузкая, і звужаць яе варта, але гэта не тое ж самае, што хаваць, куды ідзе ваш трафік.

Што ECH насамрэч змяняе

Пры сумяшчальнай падтрымцы кліента і сервера і неабходнай канфігурацыі ECH шыфруе ўнутраны ClientHello ключамі, апублікаванымі серверам, так што назіральнік бачыць вонкавае рукапацісканне, якое не нясе сапраўднага імя сервера. Трафік па-ранейшаму ідзе на той жа адрас, у той жа час, прыкладна ў тых жа аб'ёмах. Час і памер застаюцца назіральнымі, і IP прызначэння ніколі не ўваходзіў у тое, што шыфруе ECH.

Падтрымка таксама не ўніверсальная. Не кожны кліент, сэрвіс або асобнае злучэнне выкарыстоўвае ECH, і вы не можаце вывесці яго наяўнасць з іконкі замка або з таго, што змянілі краіну VPN. Каб яго дыягнаставаць, трэба глядзець на рукапацісканне, а не на ўпрыгожванне браўзера.

Што замест гэтага змяняе VPN

VPN пераносіць пакрыты трафік унутры тунэля да канцавой кропкі, таму найбліжэйшы да вас назіральнік бачыць злучэнне з VPN, а не з прызначэннем. Гэта змяняе, хто што можа назіраць, і змяняе адрас, які бачыць прызначэнне. Ён не шыфруе нічога, што праграма ўжо не шыфравала, і не хавае злучэнне ад аператара VPN, які па самой канструкцыі знаходзіцца на шляху.

Абодва натуральна спалучаюцца: праграма можа выкарыстоўваць TLS і ECH, пакуль тунэль абараняе сеткавы сегмент вакол яго. Ні адзін не ўстанаўлівае, што кожны бок можа бачыць або захоўваць, бо бакі займаюць розныя пазіцыі на шляху.

Дзе месца DNS

Неабаронены запыт DNS паказвае імя рэзалверу і ўсім, хто назірае за гэтым шляхам, што з'яўляецца асобным уздзеяннем ад рукапаціскання TLS. ECH не шыфруе DNS, а VPN змяняе ідэнтычнасць рэзалвера толькі тады, калі вы таксама адпраўляеце запыты праз тунэль або выкарыстоўваеце шыфраваны рэзалвер. Людзі ўключаюць адзін з трох і мяркуюць, што астатнія два зрабілі тое ж.

Правярайце шлях рэзалвера асобна ад шляху рукапаціскання. Яны адмаўляюць незалежна, і наладжваюцца яны ў розных месцах.

Як зразумець, на які ўзровень вы глядзіце

Спытайце, што б выявіла назіранне. Калі пытанне ў тым, якое імя сервера было запытана, то адпаведныя ўзроўні — гэта рукапацісканне і рэзалвер. Калі пытанне ў тым, у якую сетку пайшоў трафік і хто мог бачыць яго ў транзіце, то гэта тунэль. Калі пытанне ў тым, які ўліковы запіс што зрабіў на сайце, ні адзін з іх не дапаможа, бо сайт па-ранейшаму атрымлівае запыт і любую ідэнтычнасць, якую вы падалі.

Захоўвайце праверку сертыфіката і палітыку DNS нязменнымі, пакуль даследуеце сумяшчальнасць. Адключэнне праверкі, каб тэст прайшоў, змяняе сэнс выніку, а не паказвае, што абараняе ECH.

Запішыце, які ўзровень вы насамрэч уключылі, перш чым дадаваць яшчэ адзін. Большасць блытаніны тут паходзіць ад меркавання, што адзін кантроль ахоплівае запыт, яго імя, яго прызначэнне і яго ідэнтычнасць адначасова.