Αντικαθιστά το ECH ένα VPN; Τι κρύβει στην πραγματικότητα το καθένα

Ενεργοποιείτε το Encrypted Client Hello, ανοίγετε έναν ιστότοπο και η σύνδεση λειτουργεί. Κάποιος ρωτά αν χρειάζεται ακόμη το VPN, και η ειλικρινής απάντηση είναι ότι οι δύο λειτουργίες κρύβουν διαφορετικά πράγματα από διαφορετικά μέρη. Το ECH προστατεύει τμήματα της χειραψίας TLS που διαφορετικά μπορούν να αποκαλύψουν το όνομα διακομιστή που ζητήσατε. Ένα VPN βάζει την κίνησή σας μέσα σε μια σήραγγα που καταλήγει στο τελικό σημείο ενός παρόχου. Η σύγχυση των δύο οδηγεί είτε σε υπερπληρωμή για προστασία που ήδη έχετε, είτε στο να πιστεύετε ότι έχετε προστασία που ποτέ δεν είχατε.

Τι εκθέτει η χειραψία χωρίς ECH

Μια σύνδεση TLS ξεκινά με ένα ClientHello, και στην παλαιότερη μορφή το επιδιωκόμενο όνομα διακομιστή ταξιδεύει σε ανοιχτή μορφή μέσα σε αυτό. Οποιοσδήποτε βρίσκεται σε θέση να παρατηρήσει τη χειραψία, από έναν πάροχο δικτύου έως έναν παθητικό αισθητήρα σε μια διαδρομή, μπορεί να διαβάσει αυτό το όνομα, αν και τα δεδομένα της εφαρμογής στη συνέχεια είναι κρυπτογραφημένα. Η διεύθυνση προορισμού είναι επίσης ορατή, οπότε το όνομα συχνά είναι επιβεβαιωτική πληροφορία και όχι το μοναδικό σήμα.

Αυτή είναι η συγκεκριμένη διαρροή στην οποία στοχεύει το ECH. Είναι μια στενή διαρροή, και το να τη στενέψετε αξίζει τον κόπο, αλλά δεν είναι το ίδιο με το να κρύβετε πού πηγαίνει η κίνησή σας.

Τι αλλάζει στην πραγματικότητα το ECH

Με συμβατή υποστήριξη πελάτη και διακομιστή και την απαραίτητη διαμόρφωση, το ECH κρυπτογραφεί ένα εσωτερικό ClientHello με κλειδιά που δημοσιεύει ο διακομιστής, ώστε ένας παρατηρητής να βλέπει μια εξωτερική χειραψία που δεν φέρει το πραγματικό όνομα διακομιστή. Η κίνηση εξακολουθεί να πηγαίνει στην ίδια διεύθυνση, τις ίδιες ώρες, σε περίπου ίδιους όγκους. Ο χρόνος και το μέγεθος παραμένουν παρατηρήσιμα, και η διεύθυνση IP προορισμού δεν ήταν ποτέ μέρος αυτού που κρυπτογραφεί το ECH.

Ούτε η υποστήριξη είναι καθολική. Δεν χρησιμοποιεί κάθε πελάτης, υπηρεσία ή μεμονωμένη σύνδεση το ECH, και δεν μπορείτε να συμπεράνετε την παρουσία του από ένα εικονίδιο λουκέτου ή από το ότι αλλάξατε χώρα VPN. Η διάγνωσή του απαιτεί να κοιτάξετε τη χειραψία, όχι τη διακόσμηση του προγράμματος περιήγησης.

Τι αλλάζει αντ' αυτού το VPN

Ένα VPN μεταφέρει καλυμμένη κίνηση μέσα σε μια σήραγγα προς ένα τελικό σημείο, οπότε ο πλησιέστερος σε εσάς παρατηρητής βλέπει σύνδεση προς το VPN και όχι προς τον προορισμό. Αυτό αλλάζει ποιος μπορεί να παρατηρήσει τι, και αλλάζει τη διεύθυνση που βλέπει ο προορισμός. Δεν κρυπτογραφεί τίποτα που η εφαρμογή δεν είχε ήδη κρυπτογραφήσει, και δεν κρύβει τη σύνδεση από τον πάροχο VPN, ο οποίος είναι εκ κατασκευής στη διαδρομή.

Τα δύο συνδυάζονται φυσικά: μια εφαρμογή μπορεί να χρησιμοποιεί TLS και ECH ενώ η σήραγγα προστατεύει το τμήμα δικτύου γύρω της. Κανένα από τα δύο δεν καθορίζει τι μπορεί να δει ή να κρατήσει κάθε μέρος, επειδή τα μέρη καταλαμβάνουν διαφορετικές θέσεις στη διαδρομή.

Πού ταιριάζει το DNS

Ένα μη προστατευμένο ερώτημα DNS αποκαλύπτει το όνομα στον επιλυτή και σε οποιονδήποτε παρατηρεί αυτή τη διαδρομή, κάτι που είναι ξεχωριστή έκθεση από τη χειραψία TLS. Το ECH δεν κρυπτογραφεί το DNS, και ένα VPN αλλάζει την ταυτότητα του επιλυτή μόνο αν στέλνετε και τα ερωτήματά σας μέσα από τη σήραγγα ή χρησιμοποιείτε κρυπτογραφημένο επιλυτή. Οι άνθρωποι ενεργοποιούν ένα από τα τρία και υποθέτουν ότι ακολούθησαν και τα άλλα δύο.

Ελέγξτε τη διαδρομή του επιλυτή ξεχωριστά από τη διαδρομή της χειραψίας. Αποτυγχάνουν ανεξάρτητα και διαμορφώνονται σε διαφορετικά σημεία.

Πώς να καταλάβετε σε ποιο στρώμα κοιτάτε

Ρωτήστε τι θα αποκάλυπτε η παρατήρηση. Αν το ερώτημα είναι ποιο όνομα διακομιστή ζητήθηκε, η χειραψία και ο επιλυτής είναι τα σχετικά στρώματα. Αν το ερώτημα είναι σε ποιο δίκτυο πήγε η κίνηση και ποιος μπορούσε να τη δει κατά τη μεταφορά, αυτό είναι η σήραγγα. Αν το ερώτημα είναι ποιος λογαριασμός έκανε τι στον ιστότοπο, κανένα από τα δύο δεν βοηθά, γιατί ο ιστότοπος εξακολουθεί να λαμβάνει το αίτημα και οποιαδήποτε ταυτότητα δώσατε.

Κρατήστε την επαλήθευση πιστοποιητικών και την πολιτική DNS ανέπαφες όσο ερευνάτε τη συμβατότητα. Το να απενεργοποιήσετε έναν έλεγχο για να περάσει μια δοκιμή αλλάζει το νόημα του αποτελέσματος αντί να δείξει τι προστατεύει το ECH.

Σημειώστε ποιο στρώμα έχετε ενεργοποιήσει πραγματικά πριν προσθέσετε άλλο. Η περισσότερη σύγχυση εδώ προέρχεται από την υπόθεση ότι ένας μόνο έλεγχος καλύπτει ένα αίτημα, το όνομά του, τον προορισμό του και την ταυτότητά του ταυτόχρονα.