Заменя ли ECH VPN? Какво всъщност скрива всяко от двете

Включвате Encrypted Client Hello, отваряте сайт и връзката работи. Някой пита дали VPN все още е необходим, и честният отговор е, че двете функции скриват различни неща от различни страни. ECH защитава части от TLS ръкостискането, които иначе могат да разкрият името на сървъра, което сте поискали. VPN поставя трафика ви в тунел, който завършва в крайна точка на оператор. Объркването на двете води или до плащане в повече за защита, която вече имате, или до вяра, че имате защита, която никога не сте имали.

Какво разкрива ръкостискането без ECH

TLS връзката започва с ClientHello и в по-старата форма желаното име на сървър пътува в открит вид вътре в него. Всеки, който е в позиция да наблюдава ръкостискането — от мрежов оператор до пасивен сензор по пътя — може да прочете това име, въпреки че данните на приложението след това са криптирани. Адресът на местоназначението също е видим, затова името често е потвърждаваща информация, а не единственият сигнал.

Това е конкретният теч, който ECH атакува. Той е тесен и стесняването му си заслужава, но не е същото като скриване на това къде отива трафикът ви.

Какво всъщност променя ECH

При съвместима поддръжка от клиента и сървъра и необходимата конфигурация ECH криптира вътрешен ClientHello с ключове, публикувани от сървъра, така че наблюдателят вижда външно ръкостискане, което не носи истинското име на сървъра. Трафикът все още отива към същия адрес, по същите времена, в приблизително същите обеми. Времето и размерът остават наблюдаеми, а IP адресът на местоназначението никога не е бил част от това, което ECH криптира.

Поддръжката също не е универсална. Не всеки клиент, услуга или отделна връзка използва ECH и не можете да заключите за наличието му от икона с катинар или от това, че сте сменили държавата на VPN. Диагностицирането му изисква да се вгледате в ръкостискането, а не в украсата на браузъра.

Какво вместо това променя VPN

VPN пренася покрит трафик в тунел до крайна точка, така че най-близкият до вас наблюдател вижда връзка към VPN, а не към местоназначението. Това променя кой какво може да наблюдава и променя адреса, който местоназначението вижда. То не криптира нищо, което приложението вече не е криптирало, и не скрива връзката от VPN оператора, който по конструкция е в пътя.

Двете се съчетават естествено: приложението може да използва TLS и ECH, докато тунелът защитава мрежовия сегмент около него. Нито едното не определя какво всяка страна може да види или запази, защото страните заемат различни позиции по пътя.

Къде се вписва DNS

Незащитена DNS заявка разкрива името на резолвера и на всеки, който наблюдава този път, което е отделно излагане от TLS ръкостискането. ECH не криптира DNS, а VPN променя самоличността на резолвера само ако също изпращате заявките си през тунела или използвате криптиран резолвер. Хората включват едно от трите и предполагат, че другите две са последвали.

Проверявайте пътя на резолвера отделно от пътя на ръкостискането. Те се провалят независимо и се конфигурират на различни места.

Как да разберете кой слой гледате

Попитайте какво би разкрило наблюдението. Ако въпросът е кое име на сървър е било поискано, ръкостискането и резолверът са съответните слоеве. Ако въпросът е към коя мрежа е отишъл трафикът и кой е могъл да го види по пътя, това е тунелът. Ако въпросът е кой акаунт какво е направил в сайта, нито едно от двете не помага, защото сайтът все още получава заявката и всяка самоличност, която сте предоставили.

Пазете проверката на сертификата и DNS политиката непокътнати, докато изследвате съвместимостта. Изключването на проверка, за да мине тест, променя смисъла на резултата, вместо да покаже какво защитава ECH.

Запишете кой слой всъщност сте включили, преди да добавите още един. Повечето объркване тук идва от предположението, че една единствена контрола покрива заявката, името ѝ, местоназначението ѝ и самоличността ѝ наведнъж.