Zamjenjuje li ECH VPN? Šta svaki od njih zapravo skriva

Uključite Encrypted Client Hello, otvorite stranicu i veza radi. Neko pita je li VPN još potreban, a iskren odgovor je da ove dvije funkcije skrivaju različite stvari od različitih strana. ECH štiti dijelove TLS rukovanja koji inače mogu otkriti ime servera koje ste tražili. VPN stavlja vaš saobraćaj unutar tunela koji završava na krajnjoj tački operatera. Miješanje njih dvoje vodi ili preplaćivanju za zaštitu koju već imate, ili vjerovanju da imate zaštitu koju nikada niste imali.

Šta rukovanje otkriva bez ECH

TLS veza počinje porukom ClientHello, a u starijem obliku predviđeno ime servera putuje otvoreno unutar nje. Svako ko je u položaju da posmatra rukovanje, od mrežnog operatera do pasivnog senzora na putu, može pročitati to ime iako su podaci aplikacije nakon toga šifrirani. Adresa odredišta je također vidljiva, pa je ime često potvrđujuća informacija, a ne jedini signal.

To je konkretno curenje koje ECH cilja. Ono je usko, i sužavanje je vrijedno truda, ali nije isto kao skrivanje kuda vaš saobraćaj ide.

Šta ECH zapravo mijenja

Uz kompatibilnu podršku klijenta i servera i potrebnu konfiguraciju, ECH šifrira unutrašnji ClientHello ključevima koje je server objavio, pa posmatrač vidi vanjsko rukovanje koje ne nosi pravo ime servera. Saobraćaj i dalje ide na istu adresu, u isto vrijeme, približno istim obimom. Vrijeme i veličina ostaju uočljivi, a odredišna IP adresa nikada nije bila dio onoga što ECH šifrira.

Ni podrška nije univerzalna. Ne koristi svaki klijent, usluga ili pojedinačna veza ECH, i ne možete zaključiti o njegovom prisustvu iz ikone katanca ili iz toga što ste promijenili državu VPN-a. Dijagnostika zahtijeva pogled na rukovanje, a ne na ukras preglednika.

Šta VPN umjesto toga mijenja

VPN prenosi pokriveni saobraćaj unutar tunela do krajnje tačke, pa posmatrač najbliži vama vidi vezu prema VPN-u, a ne prema odredištu. To mijenja ko šta može posmatrati i mijenja adresu koju odredište vidi. Ne šifrira ništa što aplikacija već nije šifrirala i ne skriva vezu od VPN operatera, koji je po konstrukciji na putu.

Njih dvoje se prirodno slažu: aplikacija može koristiti TLS i ECH dok tunel štiti mrežni segment oko nje. Nijedan ne utvrđuje šta svaka strana može vidjeti ili zadržati, jer strane zauzimaju različite položaje na putu.

Gdje se uklapa DNS

Nezaštićeni DNS upit otkriva ime razrješivaču i svima koji posmatraju taj put, što je izlaganje odvojeno od TLS rukovanja. ECH ne šifrira DNS, a VPN mijenja identitet razrješivača samo ako i svoje upite šaljete kroz tunel ili koristite šifrirani razrješivač. Ljudi uključe jedno od troje i pretpostave da su druga dva slijedila.

Provjerite put razrješivača odvojeno od puta rukovanja. Oni padaju nezavisno i konfigurišu se na različitim mjestima.

Kako prepoznati na koji sloj gledate

Pitajte šta bi posmatranje otkrilo. Ako je pitanje koje je ime servera zatraženo, rukovanje i razrješivač su relevantni slojevi. Ako je pitanje na koju je mrežu saobraćaj otišao i ko ga je mogao vidjeti u tranzitu, to je tunel. Ako je pitanje koji je račun šta uradio na stranici, nijedan ne pomaže, jer web stranica i dalje prima zahtjev i svaki identitet koji ste dostavili.

Držite provjeru certifikata i DNS pravila netaknutima dok istražujete kompatibilnost. Isključivanje provjere da bi test prošao mijenja značenje rezultata umjesto da pokaže šta ECH štiti.

Zapišite koji ste sloj zapravo uključili prije nego dodate još jedan. Većina zabune ovdje dolazi od pretpostavke da jedna kontrola pokriva zahtjev, njegovo ime, njegovo odredište i njegov identitet odjednom.