آیا ECH جای VPN را می‌گیرد؟ هرکدام واقعاً چه چیزی را پنهان می‌کند

Encrypted Client Hello را فعال می‌کنید، سایتی را باز می‌کنید و اتصال کار می‌کند. کسی می‌پرسد آیا VPN هنوز لازم است، و پاسخ صادقانه این است که این دو قابلیت چیزهای متفاوتی را از طرف‌های متفاوت پنهان می‌کنند. ECH بخش‌هایی از دست‌دهی TLS را محافظت می‌کند که در غیر این صورت می‌توانند نام سروری را که درخواست کرده‌اید آشکار کنند. VPN ترافیک شما را داخل تونلی قرار می‌دهد که در نقطه پایانی یک اپراتور تمام می‌شود. اشتباه گرفتن این دو یا به پرداخت بیشتر برای محافظتی منجر می‌شود که از قبل دارید، یا به این باور که محافظتی دارید که هرگز نداشته‌اید.

دست‌دهی بدون ECH چه چیزی را افشا می‌کند

اتصال TLS با یک ClientHello آغاز می‌شود، و در شکل قدیمی‌تر نام سرور موردنظر به‌صورت آشکار درون آن سفر می‌کند. هر کسی که در موقعیتی برای مشاهده دست‌دهی باشد، از یک اپراتور شبکه تا یک حسگر غیرفعال روی یک مسیر، می‌تواند آن نام را بخواند، هرچند داده‌های برنامه پس از آن رمزنگاری شده است. نشانی مقصد نیز قابل مشاهده است، بنابراین نام اغلب اطلاعات تأییدکننده است نه تنها نشانه.

این همان نشتی مشخصی است که ECH هدف می‌گیرد. نشتی باریکی است، و باریک کردن آن ارزش دارد، اما با پنهان کردن اینکه ترافیک شما کجا می‌رود یکی نیست.

ECH در واقع چه چیزی را تغییر می‌دهد

با پشتیبانی سازگار از سمت کلاینت و سرور و پیکربندی لازم، ECH یک ClientHello درونی را با کلیدهایی که سرور منتشر کرده رمزنگاری می‌کند، بنابراین ناظر یک دست‌دهی بیرونی می‌بیند که نام واقعی سرور را حمل نمی‌کند. ترافیک همچنان به همان نشانی، در همان زمان‌ها و با حجم‌های تقریباً یکسان می‌رود. زمان‌بندی و اندازه قابل مشاهده می‌مانند، و IP مقصد هرگز بخشی از چیزی نبود که ECH رمزنگاری می‌کند.

پشتیبانی هم جهانی نیست. هر کلاینت، سرویس یا اتصال منفردی از ECH استفاده نمی‌کند، و نمی‌توانید وجود آن را از یک آیکون قفل یا از تغییر کشور VPN استنباط کنید. تشخیص آن نیازمند نگاه به دست‌دهی است، نه به تزئینات مرورگر.

در عوض VPN چه چیزی را تغییر می‌دهد

VPN ترافیک پوشش‌داده‌شده را داخل تونلی به نقطه پایانی می‌برد، بنابراین نزدیک‌ترین ناظر به شما اتصالی به VPN می‌بیند نه به مقصد. این تغییر می‌دهد چه کسی چه چیزی را می‌تواند مشاهده کند، و نشانی‌ای را که مقصد می‌بیند تغییر می‌دهد. چیزی را که برنامه از قبل رمزنگاری نکرده رمزنگاری نمی‌کند، و اتصال را از اپراتور VPN که به‌حکم ساختار روی مسیر است پنهان نمی‌کند.

این دو به‌طور طبیعی با هم ترکیب می‌شوند: یک برنامه می‌تواند از TLS و ECH استفاده کند در حالی که تونل بخش شبکه اطراف آن را محافظت می‌کند. هیچ‌یک تعیین نمی‌کند که هر طرف چه چیزی را می‌تواند ببیند یا نگه دارد، زیرا طرف‌ها موقعیت‌های متفاوتی روی مسیر دارند.

DNS کجا جا می‌گیرد

یک پرس‌وجوی DNS محافظت‌نشده نام را به حل‌کننده و به هر کسی که آن مسیر را مشاهده می‌کند افشا می‌کند، که قرار گرفتن در معرضی جدا از دست‌دهی TLS است. ECH خود DNS را رمزنگاری نمی‌کند، و VPN تنها زمانی هویت حل‌کننده را تغییر می‌دهد که پرس‌وجوهای خود را نیز از تونل بفرستید یا از حل‌کننده رمزنگاری‌شده استفاده کنید. مردم یکی از سه مورد را فعال می‌کنند و فرض می‌کنند دو مورد دیگر هم دنبال شده‌اند.

مسیر حل‌کننده را جدا از مسیر دست‌دهی بررسی کنید. آن‌ها به‌طور مستقل شکست می‌خورند و در جاهای متفاوتی پیکربندی می‌شوند.

چگونه بفهمید به کدام لایه نگاه می‌کنید

بپرسید مشاهده چه چیزی را آشکار می‌کند. اگر پرسش این است که کدام نام سرور درخواست شده، دست‌دهی و حل‌کننده لایه‌های مربوطه هستند. اگر پرسش این است که ترافیک به کدام شبکه رفت و چه کسی می‌توانست آن را در مسیر ببیند، تونل است. اگر پرسش این است که کدام حساب چه کاری روی سایت انجام داد، هیچ‌یک کمک نمی‌کند، زیرا وب‌سایت همچنان درخواست و هر هویتی را که ارائه داده‌اید دریافت می‌کند.

هنگام بررسی سازگاری، اعتبارسنجی گواهی و سیاست DNS را دست‌نخورده نگه دارید. غیرفعال کردن یک بررسی برای اینکه آزمونی قبول شود، معنای نتیجه را تغییر می‌دهد نه اینکه نشان دهد ECH از چه چیزی محافظت می‌کند.

قبل از افزودن یکی دیگر، بنویسید کدام لایه را واقعاً فعال کرده‌اید. بیشتر سردرگمی اینجا از این فرض می‌آید که یک کنترل واحد هم‌زمان یک درخواست، نام آن، مقصد آن و هویت آن را پوشش می‌دهد.