A yw ECH yn disodli VPN? Beth mae pob un yn ei guddio mewn gwirionedd

Rydych chi'n galluogi Encrypted Client Hello, yn agor safle, ac mae'r cysylltiad yn gweithio. Mae rhywun yn gofyn a oes angen y VPN o hyd, a'r ateb gonest yw bod y ddwy nodwedd yn cuddio pethau gwahanol rhag gwahanol bartïon. Mae ECH yn diogelu rhannau o'r handshake TLS a allai fel arall ddatgelu enw'r gweinydd y gofynnoch amdano. Mae VPN yn rhoi eich traffig y tu mewn i dwnnel sy'n gorffen ym mhwynt terfyn gweithredwr. Mae drysu'r ddau yn arwain naill ai at ordalu am amddiffyniad sydd gennych yn barod, neu at gredu bod gennych amddiffyniad na chawsoch erioed.

Beth mae'r handshake yn ei ddatgelu heb ECH

Mae cysylltiad TLS yn dechrau gyda ClientHello, ac yn y ffurf hŷn mae enw'r gweinydd a fwriadwyd yn teithio'n agored y tu mewn iddo. Gall unrhyw un sydd mewn sefyllfa i arsylwi'r handshake, o weithredwr rhwydwaith i synhwyrydd goddefol ar lwybr, ddarllen yr enw hwnnw er bod data'r rhaglen wedi'i amgryptio wedyn. Mae cyfeiriad y cyrchfan yn weladwy hefyd, felly'n aml mae'r enw yn wybodaeth gadarnhaol yn hytrach na'r unig signal.

Dyna'r gollyngiad penodol y mae ECH yn anelu ato. Mae'n ollyngiad cul, ac mae ei gyfyngu yn werth ei wneud, ond nid yw'r un peth â chuddio i ble mae eich traffig yn mynd.

Beth mae ECH yn ei newid mewn gwirionedd

Gyda chymorth cleient a gweinydd cydnaws a'r ffurfweddiad angenrheidiol, mae ECH yn amgryptio ClientHello mewnol o dan allweddi a gyhoeddwyd gan y gweinydd, felly mae arsyllwr yn gweld handshake allanol nad yw'n cario gwir enw'r gweinydd. Mae'r traffig yn dal i fynd i'r un cyfeiriad, ar yr un amseroedd, mewn cyfrolau tua'r un faint. Mae amseru a maint yn parhau'n arsylwadwy, ac nid oedd IP y cyrchfan erioed yn rhan o'r hyn y mae ECH yn ei amgryptio.

Nid yw'r cymorth yn gyffredinol chwaith. Nid yw pob cleient, gwasanaeth neu gysylltiad unigol yn defnyddio ECH, ac ni allwch gasglu ei fodolaeth o eicon clo nac o fod wedi newid gwlad eich VPN. Mae ei ddiagnosio yn gofyn am edrych ar y handshake, nid ar addurniad y porwr.

Beth mae'r VPN yn ei newid yn lle hynny

Mae VPN yn cario traffig wedi'i orchuddio y tu mewn i dwnnel i bwynt terfyn, felly mae'r arsyllwr agosaf atoch yn gweld cysylltiad â'r VPN yn hytrach nag â'r cyrchfan. Mae hynny'n newid pwy all arsylwi beth, ac mae'n newid y cyfeiriad y mae'r cyrchfan yn ei weld. Nid yw'n amgryptio unrhyw beth nad oedd y rhaglen eisoes wedi'i amgryptio, ac nid yw'n cuddio'r cysylltiad rhag gweithredwr y VPN, sydd o ran ei adeiladwaith ar y llwybr.

Mae'r ddau yn cyfuno'n naturiol: gall rhaglen ddefnyddio TLS ac ECH tra bod y twnnel yn diogelu'r segment rhwydwaith o'i gwmpas. Nid yw'r naill na'r llall yn pennu beth y gall pob parti ei weld neu ei gadw, oherwydd bod y partïon yn meddiannu gwahanol safleoedd ar y llwybr.

Ble mae DNS yn ffitio

Mae ymholiad DNS heb ei amddiffyn yn datgelu'r enw i'r datryswr ac i unrhyw un sy'n arsylwi'r llwybr hwnnw, sy'n amlygiad ar wahân i'r handshake TLS. Nid yw ECH yn amgryptio DNS, ac nid yw VPN yn newid hunaniaeth y datryswr oni bai eich bod hefyd yn anfon eich ymholiadau trwy'r twnnel neu'n defnyddio datryswr amgryptiedig. Mae pobl yn galluogi un o'r tri ac yn tybio bod y ddau arall wedi dilyn.

Gwiriwch lwybr y datryswr ar wahân i lwybr y handshake. Maent yn methu'n annibynnol ac fe'u ffurfweddir mewn gwahanol leoedd.

Sut i wybod pa haen rydych chi'n edrych arni

Gofynnwch beth fyddai'r arsylwi yn ei ddatgelu. Os mai'r cwestiwn yw pa enw gweinydd a ofynnwyd amdano, y handshake a'r datryswr yw'r haenau perthnasol. Os mai'r cwestiwn yw i ba rwydwaith yr aeth y traffig a phwy a allai ei weld ar y daith, y twnnel yw hwnnw. Os mai'r cwestiwn yw pa gyfrif a wnaeth beth ar y safle, nid yw'r naill na'r llall yn helpu, oherwydd bod y wefan yn dal i dderbyn y cais ac unrhyw hunaniaeth a roesoch.

Cadwch wirio tystysgrifau a pholisi DNS yn gyfan wrth i chi ymchwilio i gydnawsedd. Mae analluogi gwiriad i wneud i brawf basio yn newid ystyr y canlyniad yn hytrach na dangos beth mae ECH yn ei ddiogelu.

Nodwch pa haen rydych chi wedi'i galluogi mewn gwirionedd cyn ychwanegu un arall. Daw'r rhan fwyaf o'r dryswch yma o dybio bod un rheolaeth yn gorchuddio cais, ei enw, ei gyrchfan a'i hunaniaeth ar unwaith.