Nahrazuje ECH VPN? Co vlastně každý z nich skrývá

Zapnete Encrypted Client Hello, otevřete web a spojení funguje. Někdo se zeptá, zda je VPN ještě potřeba, a poctivá odpověď je, že tyto dvě funkce skrývají různé věci před různými stranami. ECH chrání části TLS handshake, které jinak mohou prozradit jméno serveru, o které jste požádali. VPN vkládá váš provoz do tunelu, který končí na koncovém bodu operátora. Záměna obojího vede buď k přeplácení ochrany, kterou už máte, nebo k víře, že máte ochranu, kterou jste nikdy neměli.

Co handshake prozrazuje bez ECH

TLS spojení začíná zprávou ClientHello a ve starší podobě v ní zamýšlené jméno serveru cestuje otevřeně. Kdokoli, kdo je v pozici handshake pozorovat, od síťového operátora po pasivní senzor na trase, může to jméno přečíst, i když data aplikace jsou poté šifrovaná. Cílová adresa je také viditelná, takže jméno je často potvrzující informace, nikoli jediný signál.

To je ten konkrétní únik, na který ECH cílí. Je úzký a zužovat ho stojí za to, ale není to totéž jako skrývat, kam váš provoz míří.

Co ECH skutečně mění

Při kompatibilní podpoře klienta i serveru a potřebné konfiguraci ECH šifruje vnitřní ClientHello klíči, které server zveřejnil, takže pozorovatel vidí vnější handshake, který nenese skutečné jméno serveru. Provoz stále míří na stejnou adresu, ve stejnou dobu, zhruba ve stejném objemu. Načasování a velikost zůstávají pozorovatelné a cílová IP nikdy nebyla součástí toho, co ECH šifruje.

Ani podpora není univerzální. Ne každý klient, služba nebo jednotlivé spojení používá ECH a jeho přítomnost nelze odvodit z ikony zámku ani z toho, že jste změnili zemi VPN. Diagnostika vyžaduje pohled na handshake, ne na výzdobu prohlížeče.

Co místo toho mění VPN

VPN přenáší krytý provoz uvnitř tunelu do koncového bodu, takže pozorovatel nejblíže vám vidí spojení k VPN, nikoli k cíli. To mění, kdo co může pozorovat, a mění adresu, kterou cíl vidí. Nešifruje nic, co aplikace už nezašifrovala, a neskrývá spojení před operátorem VPN, který je konstrukčně na trase.

Obojí se přirozeně doplňuje: aplikace může používat TLS a ECH, zatímco tunel chrání síťový segment kolem ní. Ani jedno neurčuje, co každá strana může vidět nebo uchovat, protože strany zaujímají na trase různé pozice.

Kam zapadá DNS

Neochráněný dotaz DNS prozradí jméno resolveru a komukoli, kdo onu trasu pozoruje, což je samostatné vystavení od TLS handshake. ECH DNS nešifruje a VPN mění identitu resolveru jen tehdy, pokud své dotazy také posíláte tunelem nebo používáte šifrovaný resolver. Lidé zapnou jednu ze tří věcí a předpokládají, že zbylé dvě následovaly.

Ověřte trasu resolveru odděleně od trasy handshake. Selhávají nezávisle a konfigurují se na různých místech.

Jak poznat, na kterou vrstvu se díváte

Zeptejte se, co by pozorování odhalilo. Pokud je otázkou, které jméno serveru bylo vyžádáno, příslušnými vrstvami jsou handshake a resolver. Pokud je otázkou, do které sítě provoz šel a kdo ho mohl vidět při přenosu, je to tunel. Pokud je otázkou, který účet co na webu udělal, nepomůže ani jedno, protože web stále dostává požadavek a jakoukoli identitu, kterou jste poskytli.

Ponechte ověřování certifikátů a zásady DNS nedotčené, dokud zkoumáte kompatibilitu. Vypnutí kontroly, aby test prošel, mění význam výsledku, místo aby ukázalo, co ECH chrání.

Než přidáte další, zapište si, kterou vrstvu jste skutečně zapnuli. Většina zmatku zde pramení z předpokladu, že jediná kontrola pokrývá požadavek, jeho jméno, jeho cíl i jeho identitu najednou.