Ferfangt ECH in VPN? Wat elk derfan eins ferbergt

Jo aktivearje Encrypted Client Hello, iepenje in side, en de ferbining wurket. Ien freget oft de VPN noch nedich is, en it earlike antwurd is dat de beide funksjes ferskillende dingen foar ferskillende partijen ferbergje. ECH beskermet dielen fan de TLS-hânskieding dy't oars de servernamme ferriede kinne dy't jo oanfrege hawwe. In VPN set jo ferkear yn in tunnel dy't by it einpunt fan in operator einiget. De beide trochinoar helje liedt ta oftewol tefolle betelje foar beskerming dy't jo al hawwe, oftewol leauwe dat jo beskerming hawwe dy't jo nea hân hawwe.

Wat de hânskieding sûnder ECH bleatleit

In TLS-ferbining begjint mei in ClientHello, en yn 'e âldere foarm reizget de bedoelde servernamme iepen yn 'e oerflakte deryn. Elkenien dy't de hânskieding observearje kin, fan in netwurkoperator oant in passive sensor op in paad, kin dy namme lêze, ek al binne de applikaasjegegevens dêrnei fersifere. It bestimmingsadres is ek sichtber, dat de namme is faak befêstigjende ynformaasje yn stee fan it iennichste sinjaal.

Dat is it spesifike lek dêr't ECH op rjochte is. It is in smel lek, en it fersmeljen is de muoite wurdich, mar it is net itselde as ferbergje wêr't jo ferkear hinne giet.

Wat ECH eins feroaret

Mei kompatibele stipe fan klant en server en de needsaaklike konfiguraasje fersiferet ECH in ynterne ClientHello ûnder kaaiien dy't de server publisearre hat, sadat in observearder in bûtenste hânskieding sjocht dy't de echte servernamme net draacht. It ferkear giet noch altyd nei itselde adres, op deselde tiden, yn sawat deselde folumes. Tiid en grutte bliuwe observearber, en it bestimmings-IP wie nea part fan wat ECH fersiferet.

Stipe is ek net universeel. Net elke klant, tsjinst of yndividuele ferbining brûkt ECH, en jo kinne it bestean derfan net ôfliede út in hangslotsikoan of út it feroarjen fan jo VPN-lân. Diagnoaze freget in blik op de hânskieding, net op de fersiering fan 'e browser.

Wat de VPN ynstee feroaret

In VPN fiert bedutsen ferkear yn in tunnel nei in einpunt, dat de observearder it tichtst by jo sjocht in ferbining nei de VPN yn stee fan nei de bestimming. Dat feroaret wa't wat observearje kin, en it feroaret it adres dat de bestimming sjocht. It fersiferet neat dat de applikaasje al net fersifere hie, en it ferberget de ferbining net foar de VPN-operator, dy't neffens de konstruksje op it paad is.

De beide komponearje natuerlik: in applikaasje kin TLS en ECH brûke wylst de tunnel it netwurksegmint dêromhinne beskermet. Gjin fan beide fêstiget wat elke partij sjen of bewarje kin, om't de partijen ferskillende posysjes op it paad ynnimme.

Wêr't DNS past

In ûnbeskerme DNS-fraach lit de namme sjen oan de resolver en oan elkenien dy't dat paad observearret, wat in aparte bleatstelling fan 'e TLS-hânskieding is. ECH fersiferet DNS net, en in VPN feroaret de identiteit fan 'e resolver allinnich as jo jo fragen ek troch de tunnel stjoere of in fersifere resolver brûke. Minsken aktivearje ien fan 'e trije en nimme oan dat de oare twa folge binne.

Kontrolearje it resolverpaad apart fan it hânskiedingspaad. Se mislearje ûnôfhinklik en se wurde op ferskillende plakken konfigurearre.

Hoe't jo witte kinne nei hokker laach jo sjogge

Freegje wat de observaasje sjen litte soe. As de fraach is hokker servernamme oanfrege waard, binne de hânskieding en de resolver de relevante lagen. As de fraach is nei hokker netwurk it ferkear gie en wa't it ûnderweis sjen koe, is it de tunnel. As de fraach is hokker akkount wat op 'e side die, helpt gjin fan beide, om't de webside noch altyd it fersyk en elke identiteit dy't jo levere hawwe, ûntfangt.

Hâld sertifikaatferifikaasje en DNS-belied yntakt wylst jo kompatibiliteit ûndersykje. It útskeakeljen fan in kontrôle om in test te slagjen feroaret wat it resultaat betsjut, yn stee fan te sjen litten wat ECH beskermet.

Skriuw op hokker laach jo eins aktivearre hawwe foardat jo noch ien tafoegje. It measte fan 'e betizing hjir komt fan it oannimmen dat ien inkele kontrôle in fersyk, syn namme, syn bestimming en syn identiteit tagelyk dekt.