ECH remplace-t-il un VPN ? Ce que chacun cache réellement

Vous activez Encrypted Client Hello, ouvrez un site, et la connexion fonctionne. Quelqu'un demande si le VPN est encore nécessaire, et la réponse honnête est que les deux fonctions cachent des choses différentes à des parties différentes. ECH protège des parties du handshake TLS qui peuvent sinon révéler le nom de serveur que vous avez demandé. Un VPN place votre trafic dans un tunnel qui se termine au point de sortie d'un opérateur. Confondre les deux conduit soit à payer trop cher une protection que vous avez déjà, soit à croire que vous disposez d'une protection que vous n'avez jamais eue.

Ce que le handshake expose sans ECH

Une connexion TLS commence par un ClientHello, et dans l'ancienne forme le nom de serveur visé y circule en clair. Quiconque est en position d'observer le handshake, d'un opérateur réseau à un capteur passif sur un chemin, peut lire ce nom alors même que les données applicatives qui suivent sont chiffrées. L'adresse de destination est également visible, si bien que le nom est souvent une information confirmatoire plutôt que le seul signal.

C'est la fuite précise que vise ECH. Elle est étroite, et la réduire vaut la peine, mais ce n'est pas la même chose que de dissimuler où va votre trafic.

Ce qu'ECH change réellement

Avec une prise en charge compatible du client et du serveur et la configuration nécessaire, ECH chiffre un ClientHello interne sous des clés publiées par le serveur, si bien qu'un observateur voit un handshake externe qui ne porte pas le vrai nom de serveur. Le trafic continue d'aller à la même adresse, aux mêmes heures, dans des volumes à peu près identiques. Le minutage et la taille restent observables, et l'IP de destination n'a jamais fait partie de ce qu'ECH chiffre.

La prise en charge n'est pas universelle non plus. Tous les clients, services ou connexions individuelles n'utilisent pas ECH, et vous ne pouvez pas en déduire la présence depuis une icône de cadenas ni du fait d'avoir changé de pays de VPN. Le diagnostiquer exige de regarder le handshake, pas la décoration du navigateur.

Ce que le VPN change à la place

Un VPN achemine le trafic couvert dans un tunnel jusqu'à un point de sortie, si bien que l'observateur le plus proche de vous voit une connexion vers le VPN plutôt que vers la destination. Cela change qui peut observer quoi, et cela change l'adresse que voit la destination. Il ne chiffre rien que l'application n'ait déjà chiffré, et il ne cache pas la connexion à l'opérateur du VPN, qui se trouve par construction sur le chemin.

Les deux se composent naturellement : une application peut utiliser TLS et ECH tandis que le tunnel protège le segment de réseau qui l'entoure. Ni l'un ni l'autre n'établit ce que chaque partie peut voir ou conserver, parce que les parties occupent des positions différentes sur le chemin.

Où le DNS intervient

Une requête DNS non protégée révèle le nom au résolveur et à quiconque observe ce chemin, ce qui est une exposition distincte du handshake TLS. ECH ne chiffre pas le DNS, et un VPN ne change l'identité du résolveur que si vous envoyez aussi vos requêtes par le tunnel ou si vous utilisez un résolveur chiffré. Les gens activent l'un des trois et supposent que les deux autres ont suivi.

Vérifiez le chemin du résolveur séparément du chemin du handshake. Ils échouent indépendamment et se configurent à des endroits différents.

Comment savoir quelle couche vous observez

Demandez-vous ce que l'observation révélerait. Si la question est de savoir quel nom de serveur a été demandé, le handshake et le résolveur sont les couches pertinentes. Si la question est de savoir vers quel réseau le trafic est allé et qui pouvait le voir en transit, c'est le tunnel. Si la question est de savoir quel compte a fait quoi sur le site, ni l'un ni l'autre n'aide, car le site web reçoit toujours la requête et toute identité que vous avez fournie.

Gardez la vérification des certificats et la politique DNS intactes pendant que vous examinez la compatibilité. Désactiver un contrôle pour faire passer un test change le sens du résultat au lieu de montrer ce qu'ECH protège.

Notez quelle couche vous avez réellement activée avant d'en ajouter une autre. L'essentiel de la confusion ici vient de supposer qu'un seul réglage couvre à la fois une requête, son nom, sa destination et son identité.