Korvaako ECH VPN:n? Mitä kumpikin oikeastaan kätkee

Otat Encrypted Client Hellon käyttöön, avaat sivuston ja yhteys toimii. Joku kysyy, tarvitaanko VPN:ää vielä, ja rehellinen vastaus on, että nämä kaksi ominaisuutta kätkevät eri asioita eri osapuolilta. ECH suojaa TLS-kättelyn osia, jotka voivat muuten paljastaa pyytämäsi palvelinnimen. VPN laittaa liikenteesi tunneliin, joka päättyy operaattorin päätepisteeseen. Näiden kahden sekoittaminen johtaa joko jo olemassa olevan suojan ylimaksamiseen tai uskoon, että sinulla on suoja, jota sinulla ei koskaan ollut.

Mitä kättely paljastaa ilman ECH:tä

TLS-yhteys alkaa ClientHellolla, ja vanhemmassa muodossa aiottu palvelinnimi kulkee sen sisällä selkokielisenä. Kuka tahansa, joka pystyy kättelyä tarkkailemaan, verkkoperaattorista reitillä olevaan passiiviseen anturiin, voi lukea tuon nimen, vaikka sovellusdata sen jälkeen on salattu. Myös kohdeosoite on näkyvissä, joten nimi on usein vahvistavaa tietoa eikä ainoa signaali.

Se on se tietty vuoto, johon ECH tähtää. Se on kapea vuoto, ja sen kaventaminen on vaivan arvoista, mutta se ei ole sama kuin sen kätkeminen, minne liikenteesi menee.

Mitä ECH oikeastaan muuttaa

Yhteensopivalla asiakas- ja palvelintuella sekä tarvittavalla kokoonpanolla ECH salaa sisemmän ClientHellon palvelimen julkaisemilla avaimilla, joten tarkkailija näkee ulomman kättelyn, joka ei kanna todellista palvelinnimeä. Liikenne kulkee edelleen samaan osoitteeseen, samoihin aikoihin, suunnilleen samoina määrinä. Ajoitus ja koko pysyvät havaittavina, eikä kohde-IP koskaan ollut osa sitä, mitä ECH salaa.

Tukikaan ei ole yleismaailmallinen. Jokainen asiakasohjelma, palvelu tai yksittäinen yhteys ei käytä ECH:tä, eikä sen läsnäoloa voi päätellä riippulukkokuvakkeesta tai siitä, että vaihdoit VPN-maata. Sen diagnosointi vaatii kättelyn katsomista, ei selaimen koristelua.

Mitä VPN sen sijaan muuttaa

VPN kuljettaa peitetyn liikenteen tunnelin sisällä päätepisteeseen, joten sinua lähin tarkkailija näkee yhteyden VPN:ään eikä kohteeseen. Tämä muuttaa sitä, kuka voi tarkkailla mitä, ja muuttaa osoitetta, jonka kohde näkee. Se ei salaa mitään, mitä sovellus ei jo salannut, eikä se kätke yhteyttä VPN-operaattorilta, joka on rakenteellisesti reitillä.

Nämä kaksi yhdistyvät luontevasti: sovellus voi käyttää TLS:ää ja ECH:tä, kun taas tunneli suojaa sitä ympäröivää verkkosegmenttiä. Kumpikaan ei määritä, mitä kukin osapuoli voi nähdä tai säilyttää, koska osapuolet ovat reitillä eri asemissa.

Mihin DNS sopii

Suojaamaton DNS-kysely paljastaa nimen resolverille ja kaikille, jotka tarkkailevat tuota polkua, mikä on TLS-kättelystä erillinen altistuminen. ECH ei salaa DNS:ää, ja VPN muuttaa resolverin identiteettiä vain, jos lähetät myös kyselysi tunnelin kautta tai käytät salattua resolveria. Ihmiset ottavat käyttöön yhden kolmesta ja olettavat, että kaksi muuta seurasivat.

Tarkista resolverin polku erikseen kättelyn polusta. Ne epäonnistuvat toisistaan riippumatta ja ne määritetään eri paikoissa.

Miten tietää, mitä kerrosta katsot

Kysy, mitä havainto paljastaisi. Jos kysymys on, mitä palvelinnimeä pyydettiin, kättely ja resolveri ovat asiaankuuluvat kerrokset. Jos kysymys on, mihin verkkoon liikenne meni ja kuka saattoi nähdä sen matkalla, se on tunneli. Jos kysymys on, mikä tili teki mitä sivustolla, kumpikaan ei auta, koska verkkosivusto vastaanottaa edelleen pyynnön ja minkä tahansa antamasi identiteetin.

Pidä varmennevahvistus ja DNS-käytäntö ehjinä, kun tutkit yhteensopivuutta. Tarkistuksen poistaminen käytöstä testin läpäisemiseksi muuttaa tuloksen merkitystä sen sijaan, että se näyttäisi, mitä ECH suojaa.

Kirjoita muistiin, minkä kerroksen olet tosiasiassa ottanut käyttöön, ennen kuin lisäät toisen. Suurin osa tämän aiheen sekaannuksesta tulee olettamuksesta, että yksi valvonta kattaa pyynnön, sen nimen, sen kohteen ja sen identiteetin kerralla.