Substitúe ECH unha VPN? Que agocha realmente cada un

Activas Encrypted Client Hello, abres un sitio e a conexión funciona. Alguén pregunta se a VPN segue a ser necesaria, e a resposta honesta é que as dúas funcións agochan cousas distintas de partes distintas. ECH protexe partes do handshake TLS que doutro xeito poden revelar o nome de servidor que solicitaches. Unha VPN pon o teu tráfico dentro dun túnel que remata no punto final dun operador. Confundir os dous leva a pagar de máis por unha protección que xa tes ou a crer que tes unha protección que nunca tiveches.

Que expón o handshake sen ECH

Unha conexión TLS comeza cun ClientHello, e na forma máis antiga o nome de servidor previsto viaxa en claro dentro del. Calquera en posición de observar o handshake, desde un operador de rede ata un sensor pasivo nun camiño, pode ler ese nome aínda que os datos da aplicación posteriores estean cifrados. O enderezo de destino tamén é visible, así que o nome adoita ser información confirmatoria máis ca o único sinal.

Esa é a fuga concreta á que apunta ECH. É unha fuga estreita, e estreitala paga a pena, pero non é o mesmo ca agochar cara a onde vai o teu tráfico.

Que cambia realmente ECH

Con soporte compatible de cliente e servidor e a configuración necesaria, ECH cifra un ClientHello interno con claves publicadas polo servidor, de xeito que un observador ve un handshake externo que non leva o nome real do servidor. O tráfico segue indo ao mesmo enderezo, ás mesmas horas, en volumes aproximadamente iguais. O tempo e o tamaño seguen sendo observables, e o IP de destino nunca formou parte do que ECH cifra.

O soporte tampouco é universal. Non todos os clientes, servizos ou conexións individuais usan ECH, e non podes inferir a súa presenza dunha icona de cadeado nin de ter cambiado o país da VPN. Diagnosticalo require mirar o handshake, non a decoración do navegador.

Que cambia a VPN no seu lugar

Unha VPN leva o tráfico cuberto dentro dun túnel ata un punto final, así que o observador máis próximo a ti ve unha conexión á VPN e non ao destino. Iso cambia quen pode observar que, e cambia o enderezo que ve o destino. Non cifra nada que a aplicación non cifrase xa, e non agocha a conexión ao operador da VPN, que por construción está no camiño.

Os dous combínanse de forma natural: unha aplicación pode usar TLS e ECH mentres o túnel protexe o segmento de rede ao seu redor. Ningún dos dous establece que pode ver ou reter cada parte, porque as partes ocupan posicións distintas no camiño.

Onde encaixa o DNS

Unha consulta DNS sen protexer revela o nome ao resolvedor e a calquera que observe ese camiño, o que é unha exposición separada do handshake TLS. ECH non cifra DNS, e unha VPN só cambia a identidade do resolvedor se ademais envías as túas consultas polo túnel ou usas un resolvedor cifrado. A xente activa un dos tres e supón que os outros dous viñeron con el.

Comproba o camiño do resolvedor por separado do camiño do handshake. Fallan de forma independente e configúranse en lugares distintos.

Como saber a que capa estás mirando

Pregunta que revelaría a observación. Se a pregunta é que nome de servidor se solicitou, o handshake e o resolvedor son as capas pertinentes. Se a pregunta é a que rede foi o tráfico e quen podía velo en tránsito, é o túnel. Se a pregunta é que conta fixo que no sitio, ningún dos dous axuda, porque o sitio web segue recibindo a solicitude e calquera identidade que achegases.

Mantén intactas a verificación de certificados e a política de DNS mentres investigas a compatibilidade. Desactivar unha comprobación para que pase unha proba cambia o significado do resultado en lugar de mostrar que protexe ECH.

Anota que capa activaches realmente antes de engadir outra. A maior parte da confusión aquí vén de supor que un só control cobre á vez unha solicitude, o seu nome, o seu destino e a súa identidade.