Kas ECH asendab VPN-i? Mida kumb tegelikult varjab

Lülitate sisse Encrypted Client Hello, avate saidi ja ühendus töötab. Keegi küsib, kas VPN on ikka vaja, ja aus vastus on, et need kaks funktsiooni varjavad eri asju eri osapoolte eest. ECH kaitseb TLS-i kätluse osi, mis võivad muidu paljastada serverinime, mida küsisite. VPN paneb teie liikluse tunnelisse, mis lõpeb operaatori lõpp-punktis. Nende kahe segamini ajamine viib kas juba olemasoleva kaitse eest üle maksmiseni või uskumiseni, et teil on kaitse, mida teil kunagi polnud.

Mida kätlus ilma ECH-ta paljastab

TLS-ühendus algab ClientHelloga ja vanemas vormis liigub kavatsetud serverinimi selle sees avatult. Igaüks, kes on kätlust jälgima positsioneeritud, võrguoperaatorist kuni passiivse andurini marsruudil, saab seda nime lugeda, kuigi rakenduse andmed on seejärel krüpteeritud. Ka sihtkoha aadress on nähtav, seega on nimi sageli kinnitav teave, mitte ainus signaal.

See ongi konkreetne leke, millele ECH sihib. See on kitsas leke ja selle kitsendamine on väärt pingutust, kuid see ei ole sama, mis varjata, kuhu teie liiklus läheb.

Mida ECH tegelikult muudab

Ühilduva kliendi- ja serveritoe ning vajaliku konfiguratsiooni korral krüpteerib ECH sisemise ClientHello serveri avaldatud võtmetega, nii et vaatleja näeb välimist kätlust, mis ei kanna tegelikku serverinime. Liiklus läheb endiselt samale aadressile, samadel aegadel, umbes samades mahtudes. Aeg ja suurus jäävad jälgitavaks ning sihtkoha IP ei olnud kunagi osa sellest, mida ECH krüpteerib.

Ka tugi ei ole universaalne. Iga klient, teenus ega üksikühendus ei kasuta ECH-d ning selle olemasolu ei saa järeldada tabaluku ikoonist ega sellest, et muutsite VPN-i riiki. Diagnoosimiseks tuleb vaadata kätlust, mitte brauseri kaunistust.

Mida VPN selle asemel muudab

VPN viib kaetud liikluse tunnelis lõpp-punkti, nii et teile lähim vaatleja näeb ühendust VPN-iga, mitte sihtkohaga. See muudab, kes mida jälgida saab, ja muudab aadressi, mida sihtkoht näeb. See ei krüpteeri midagi, mida rakendus juba krüpteerinud pole, ja ei varja ühendust VPN-operaatori eest, kes on konstruktsiooni järgi marsruudil.

Need kaks sobivad loomulikult kokku: rakendus saab kasutada TLS-i ja ECH-d, samal ajal kui tunnel kaitseb selle ümber olevat võrgusegmenti. Kumbki ei määra, mida iga osapool näha või säilitada saab, sest osapooled asuvad marsruudil eri positsioonidel.

Kuhu DNS sobib

Kaitsmata DNS-päring paljastab nime resolverile ja kõigile, kes seda teed jälgivad, mis on TLS-i kätlusest eraldi kokkupuude. ECH ei krüpteeri DNS-i ja VPN muudab resolveri identiteeti ainult siis, kui saadate ka oma päringud tunnelist läbi või kasutate krüpteeritud resolverit. Inimesed lülitavad sisse ühe kolmest ja eeldavad, et kaks ülejäänut järgnesid.

Kontrollige resolveri teed kätluse teest eraldi. Need ebaõnnestuvad sõltumatult ja neid seadistatakse eri kohtades.

Kuidas teada, millist kihti te vaatate

Küsige, mida vaatlus paljastaks. Kui küsimus on, millist serverinime küsiti, on asjakohased kihid kätlus ja resolver. Kui küsimus on, millisesse võrku liiklus läks ja kes võis seda teel näha, on see tunnel. Kui küsimus on, milline konto mida saidil tegi, ei aita kumbki, sest veebisait saab endiselt päringu ja kõik teie esitatud identiteedi.

Hoidke sertifikaadi kontroll ja DNS-poliitika puutumatuna, kui uurite ühilduvust. Kontrolli väljalülitamine testi läbimiseks muudab tulemuse tähendust, selle asemel et näidata, mida ECH kaitseb.

Pange kirja, millise kihi te tegelikult sisse lülitasite, enne kui lisate veel ühe. Suurem osa segadusest siin tuleb eeldusest, et üks kontroll katab päringu, selle nime, sihtkoha ja identiteedi korraga.