¿Reemplaza ECH a una VPN? Qué oculta realmente cada uno

Activas Encrypted Client Hello, abres un sitio y la conexión funciona. Alguien pregunta si la VPN sigue siendo necesaria, y la respuesta honesta es que las dos funciones ocultan cosas distintas de partes distintas. ECH protege partes del handshake TLS que de otro modo pueden revelar el nombre de servidor que solicitaste. Una VPN pone tu tráfico dentro de un túnel que termina en el punto final de un operador. Confundir ambas cosas lleva a pagar de más por una protección que ya tienes o a creer que tienes una protección que nunca tuviste.

Qué expone el handshake sin ECH

Una conexión TLS comienza con un ClientHello, y en la forma más antigua el nombre de servidor previsto viaja en claro dentro de él. Cualquiera en posición de observar el handshake, desde un operador de red hasta un sensor pasivo en una ruta, puede leer ese nombre aunque los datos de la aplicación posteriores estén cifrados. La dirección de destino también es visible, así que el nombre suele ser información confirmatoria más que la única señal.

Esa es la fuga concreta a la que apunta ECH. Es una fuga estrecha, y estrecharla vale la pena, pero no es lo mismo que ocultar adónde va tu tráfico.

Qué cambia realmente ECH

Con soporte compatible de cliente y servidor y la configuración necesaria, ECH cifra un ClientHello interno con claves publicadas por el servidor, de modo que un observador ve un handshake externo que no lleva el nombre real del servidor. El tráfico sigue yendo a la misma dirección, a las mismas horas, en volúmenes aproximadamente iguales. El tiempo y el tamaño siguen siendo observables, y la IP de destino nunca formó parte de lo que ECH cifra.

El soporte tampoco es universal. No todos los clientes, servicios o conexiones individuales usan ECH, y no puedes inferir su presencia de un icono de candado ni de haber cambiado el país de la VPN. Diagnosticarlo exige mirar el handshake, no la decoración del navegador.

Qué cambia la VPN en cambio

Una VPN lleva el tráfico cubierto dentro de un túnel hasta un punto final, así que el observador más cercano a ti ve una conexión a la VPN y no al destino. Eso cambia quién puede observar qué, y cambia la dirección que ve el destino. No cifra nada que la aplicación no hubiera cifrado ya, y no oculta la conexión al operador de la VPN, que por construcción está en la ruta.

Los dos se combinan de forma natural: una aplicación puede usar TLS y ECH mientras el túnel protege el segmento de red a su alrededor. Ninguno establece qué puede ver o retener cada parte, porque las partes ocupan posiciones distintas en la ruta.

Dónde encaja el DNS

Una consulta DNS sin protección revela el nombre al resolutor y a cualquiera que observe esa ruta, lo que es una exposición separada del handshake TLS. ECH no cifra DNS, y una VPN solo cambia la identidad del resolutor si además envías tus consultas por el túnel o usas un resolutor cifrado. La gente activa uno de los tres y supone que los otros dos vinieron con él.

Comprueba la ruta del resolutor por separado de la ruta del handshake. Fallan de forma independiente y se configuran en lugares distintos.

Cómo saber a qué capa estás mirando

Pregunta qué revelaría la observación. Si la pregunta es qué nombre de servidor se solicitó, el handshake y el resolutor son las capas pertinentes. Si la pregunta es a qué red fue el tráfico y quién podía verlo en tránsito, es el túnel. Si la pregunta es qué cuenta hizo qué en el sitio, ninguno de los dos ayuda, porque el sitio web sigue recibiendo la solicitud y cualquier identidad que hayas aportado.

Mantén intactas la verificación de certificados y la política de DNS mientras investigas la compatibilidad. Desactivar una comprobación para que pase una prueba cambia lo que significa el resultado en lugar de mostrar qué protege ECH.

Anota qué capa has activado realmente antes de añadir otra. La mayor parte de la confusión aquí viene de suponer que un solo control cubre una solicitud, su nombre, su destino y su identidad a la vez.