Ĉu ECH anstataŭas VPN? Kion ĉiu el ili efektive kaŝas

Vi ŝaltas Encrypted Client Hello, malfermas retejon, kaj la konekto funkcias. Iu demandas, ĉu VPN ankoraŭ necesas, kaj la honesta respondo estas, ke la du funkcioj kaŝas malsamajn aferojn de malsamaj partioj. ECH protektas partojn de la TLS-manpremo, kiuj alie povas malkaŝi la servilan nomon, kiun vi petis. VPN metas vian trafikon en tunelon, kiu finiĝas ĉe finpunkto de funkciigisto. Konfuzi la du kondukas aŭ al troa pago por protekto, kiun vi jam havas, aŭ al kredo, ke vi havas protekton, kiun vi neniam havis.

Kion la manpremo malkaŝas sen ECH

TLS-konekto komenciĝas per ClientHello, kaj en la pli malnova formo la celata servila nomo vojaĝas malkaŝe ene de ĝi. Ĉiu, kiu povas observi la manpremon, de reta funkciigisto ĝis pasiva sensilo sur vojo, povas legi tiun nomon, kvankam la aplikaĵaj datumoj poste estas ĉifritaj. Ankaŭ la cela adreso estas videbla, do la nomo ofte estas konfirma informo, ne la sola signalo.

Tio estas la specifa liko, kiun ECH celas. Ĝi estas mallarĝa liko, kaj mallarĝigi ĝin indas, sed ĝi ne samas al kaŝado de tio, kien iras via trafiko.

Kion ECH efektive ŝanĝas

Kun kongrua subteno de kliento kaj servilo kaj la necesa agordo, ECH ĉifras internan ClientHello per ŝlosiloj publikigitaj de la servilo, do observanto vidas eksteran manpremon, kiu ne portas la veran servilan nomon. La trafiko ankoraŭ iras al la sama adreso, en la samaj tempoj, en proksimume samaj volumoj. Tempo kaj grando restas observeblaj, kaj la cela IP neniam estis parto de tio, kion ECH ĉifras.

Ankaŭ la subteno ne estas universala. Ne ĉiu kliento, servo aŭ unuopa konekto uzas ECH, kaj vi ne povas dedukti ĝian ĉeeston el serura ikono aŭ el tio, ke vi ŝanĝis vian VPN-landon. Diagnozo postulas rigardon al la manpremo, ne al la ornamo de la retumilo.

Kion anstataŭe ŝanĝas VPN

VPN portas kovritan trafikon ene de tunelo al finpunkto, do la observanto plej proksima al vi vidas konekton al VPN anstataŭ al la celo. Tio ŝanĝas, kiu povas observi kion, kaj ĝi ŝanĝas la adreson, kiun vidas la celo. Ĝi ĉifras nenion, kion la aplikaĵo jam ne ĉifris, kaj ĝi ne kaŝas la konekton de la VPN-funkciigisto, kiu laŭkonstrue troviĝas sur la vojo.

La du nature kunmetiĝas: aplikaĵo povas uzi TLS kaj ECH dum la tunelo protektas la retan segmenton ĉirkaŭ ĝi. Neniu el ili fiksas, kion ĉiu partio povas vidi aŭ konservi, ĉar la partioj okupas malsamajn poziciojn sur la vojo.

Kie DNS enordiĝas

Neprotektita DNS-mendo malkaŝas la nomon al la solvilo kaj al ĉiu, kiu observas tiun vojon, kio estas aparta elmeto disde la TLS-manpremo. ECH ne ĉifras DNS, kaj VPN ŝanĝas la identecon de la solvilo nur se vi ankaŭ sendas viajn demandojn tra la tunelo aŭ uzas ĉifritan solvilon. Homoj ŝaltas unu el la tri kaj supozas, ke la aliaj du sekvis.

Kontrolu la solvilan vojon aparte de la manprema vojo. Ili malsukcesas sendepende kaj agordiĝas en malsamaj lokoj.

Kiel scii, kiun tavolon vi rigardas

Demandu, kion la observado malkaŝus. Se la demando estas, kiu servila nomo estis petita, la manpremo kaj la solvilo estas la koncernaj tavoloj. Se la demando estas, al kiu reto iris la trafiko kaj kiu povis vidi ĝin dumvoje, tio estas la tunelo. Se la demando estas, kiu konto faris kion en la retejo, neniu el ili helpas, ĉar la retejo ankoraŭ ricevas la peton kaj ajnan identecon, kiun vi donis.

Konservu la kontrolon de atestiloj kaj la DNS-politikon sendifektaj dum vi esploras kongruecon. Malŝalti kontrolon por ke testo sukcesu ŝanĝas la signifon de la rezulto anstataŭ montri, kion ECH protektas.

Notu, kiun tavolon vi efektive ŝaltis, antaŭ ol aldoni plian. La plej granda parto de la konfuzo ĉi tie venas de la supozo, ke unu sola regilo kovras peton, ĝian nomon, ĝian celon kaj ĝian identecon samtempe.