Ersetzt ECH ein VPN? Was jedes von beiden wirklich verbirgt

Sie aktivieren Encrypted Client Hello, öffnen eine Website, und die Verbindung funktioniert. Jemand fragt, ob das VPN noch nötig ist, und die ehrliche Antwort lautet, dass die beiden Funktionen unterschiedliche Dinge vor unterschiedlichen Parteien verbergen. ECH schützt Teile des TLS-Handshake, die sonst den Servernamen verraten können, den Sie angefordert haben. Ein VPN steckt Ihren Datenverkehr in einen Tunnel, der an einem Endpunkt eines Betreibers endet. Die beiden zu verwechseln führt entweder dazu, für Schutz zu viel zu zahlen, den Sie bereits haben, oder zu glauben, Sie hätten Schutz, den Sie nie hatten.

Was der Handshake ohne ECH preisgibt

Eine TLS-Verbindung beginnt mit einem ClientHello, und in der älteren Form reist der beabsichtigte Servername im Klartext darin mit. Jeder, der den Handshake beobachten kann, von einem Netzbetreiber bis zu einem passiven Sensor auf einer Strecke, kann diesen Namen lesen, obwohl die Anwendungsdaten danach verschlüsselt sind. Auch die Zieladresse ist sichtbar, sodass der Name oft bestätigende Information ist und nicht das einzige Signal.

Das ist das konkrete Leck, auf das ECH zielt. Es ist ein schmales Leck, und es zu verengen lohnt sich, aber es ist nicht dasselbe wie zu verbergen, wohin Ihr Datenverkehr geht.

Was ECH tatsächlich ändert

Bei kompatibler Client- und Serverunterstützung und der nötigen Konfiguration verschlüsselt ECH ein inneres ClientHello mit Schlüsseln, die der Server veröffentlicht, sodass ein Beobachter einen äußeren Handshake sieht, der den echten Servernamen nicht trägt. Der Datenverkehr geht weiterhin an dieselbe Adresse, zu denselben Zeiten, in ungefähr denselben Mengen. Zeitpunkt und Größe bleiben beobachtbar, und die Ziel-IP war nie Teil dessen, was ECH verschlüsselt.

Auch die Unterstützung ist nicht universell. Nicht jeder Client, Dienst oder jede einzelne Verbindung nutzt ECH, und Sie können seine Anwesenheit weder an einem Schloss-Symbol noch daran ablesen, dass Sie das VPN-Land gewechselt haben. Die Diagnose erfordert einen Blick auf den Handshake, nicht auf die Verzierung des Browsers.

Was stattdessen das VPN ändert

Ein VPN befördert abgedeckten Datenverkehr in einem Tunnel zu einem Endpunkt, sodass der Ihnen am nächsten stehende Beobachter eine Verbindung zum VPN sieht und nicht zum Ziel. Das ändert, wer was beobachten kann, und es ändert die Adresse, die das Ziel sieht. Es verschlüsselt nichts, was die Anwendung nicht bereits verschlüsselt hat, und es verbirgt die Verbindung nicht vor dem VPN-Betreiber, der konstruktionsbedingt auf der Strecke liegt.

Die beiden ergänzen sich auf natürliche Weise: Eine Anwendung kann TLS und ECH nutzen, während der Tunnel das Netzsegment darum herum schützt. Keines von beiden legt fest, was jede Partei sehen oder behalten kann, weil die Parteien unterschiedliche Positionen auf der Strecke einnehmen.

Wo DNS hineinpasst

Eine ungeschützte DNS-Abfrage verrät den Namen dem Resolver und jedem, der diesen Weg beobachtet, was eine vom TLS-Handshake getrennte Exposition ist. ECH verschlüsselt DNS nicht, und ein VPN ändert die Identität des Resolvers nur, wenn Sie Ihre Abfragen ebenfalls durch den Tunnel schicken oder einen verschlüsselten Resolver verwenden. Menschen aktivieren eines der drei und nehmen an, die anderen beiden seien gefolgt.

Prüfen Sie den Resolver-Weg getrennt vom Handshake-Weg. Sie scheitern unabhängig voneinander und werden an verschiedenen Stellen konfiguriert.

Wie Sie erkennen, welche Schicht Sie betrachten

Fragen Sie, was die Beobachtung verraten würde. Wenn die Frage lautet, welcher Servername angefordert wurde, sind Handshake und Resolver die relevanten Schichten. Wenn die Frage lautet, zu welchem Netz der Datenverkehr ging und wer ihn unterwegs sehen konnte, ist es der Tunnel. Wenn die Frage lautet, welches Konto was auf der Website getan hat, hilft keines von beiden, weil die Website weiterhin die Anfrage und jede von Ihnen angegebene Identität erhält.

Halten Sie Zertifikatsprüfung und DNS-Richtlinie intakt, während Sie die Kompatibilität untersuchen. Eine Prüfung abzuschalten, damit ein Test besteht, ändert die Bedeutung des Ergebnisses, statt zu zeigen, was ECH schützt.

Notieren Sie, welche Schicht Sie tatsächlich aktiviert haben, bevor Sie eine weitere hinzufügen. Der meiste Wirrwarr hier entsteht aus der Annahme, eine einzige Kontrolle decke eine Anfrage, ihren Namen, ihr Ziel und ihre Identität auf einmal ab.