האם ECH מחליף VPN? מה כל אחד מהם באמת מסתיר

אתם מפעילים Encrypted Client Hello, פותחים אתר, והחיבור עובד. מישהו שואל אם ה-VPN עדיין נחוץ, והתשובה הכנה היא ששתי התכונות מסתירות דברים שונים מעיני גורמים שונים. ECH מגן על חלקים ממהילת ה-TLS שבלעדיו עלולים לחשוף את שם השרת שביקשתם. VPN מכניס את התעבורה שלכם לתוך מנהרה שמסתיימת בנקודת קצה של מפעיל. ערבוב בין השניים מוביל או לתשלום יתר על הגנה שכבר יש לכם, או לאמונה שיש לכם הגנה שמעולם לא הייתה לכם.

מה המהילה חושפת ללא ECH

חיבור TLS מתחיל ב-ClientHello, ובצורה הישנה יותר שם השרת המבוקש נוסע בגלוי בתוכו. כל מי שנמצא בעמדה לצפות במהילה, ממפעיל רשת ועד חיישן פסיבי על מסלול, יכול לקרוא את השם הזה למרות שנתוני היישום שאחריו מוצפנים. גם כתובת היעד גלויה, ולכן השם הוא לעיתים קרובות מידע מאשר ולא האות היחיד.

זו הדליפה הספציפית ש-ECH מכוון אליה. זוהי דליפה צרה, וצמצומה שווה מאמץ, אבל היא אינה זהה להסתרת היעד שאליו התעבורה שלכם הולכת.

מה ECH באמת משנה

עם תמיכה תואמת של לקוח ושרת והתצורה הנדרשת, ECH מצפין ClientHello פנימי במפתחות שהשרת מפרסם, כך שצופה רואה מהילה חיצונית שאינה נושאת את שם השרת האמיתי. התעבורה עדיין הולכת לאותה כתובת, באותן שעות, בנפחים דומים בערך. התזמון והגודל נשארים ניתנים לצפייה, וכתובת ה-IP של היעד מעולם לא הייתה חלק ממה ש-ECH מצפין.

גם התמיכה אינה אוניברסלית. לא כל לקוח, שירות או חיבור בודד משתמש ב-ECH, ואי אפשר להסיק על נוכחותו מסמל מנעול או מכך שהחלפתם את מדינת ה-VPN. אבחון דורש להסתכל על המהילה, לא על הקישוט של הדפדפן.

מה ה-VPN משנה במקום זאת

VPN מעביר תעבורה מכוסה בתוך מנהרה לנקודת קצה, כך שהצופה הקרוב אליכם רואה חיבור אל ה-VPN ולא אל היעד. זה משנה מי יכול לצפות במה, וזה משנה את הכתובת שהיעד רואה. הוא אינו מצפין דבר שהיישום לא הצפין כבר, והוא אינו מסתיר את החיבור מפני מפעיל ה-VPN, שנמצא על המסלול מכוח המבנה.

השניים משתלבים באופן טבעי: יישום יכול להשתמש ב-TLS וב-ECH בזמן שהמנהרה מגנה על קטע הרשת שסביבו. אף אחד מהם לא קובע מה כל צד יכול לראות או לשמור, משום שהצדדים תופסים עמדות שונות במסלול.

איפה DNS נכנס

שאילתת DNS לא מוגנת חושפת את השם לפותרן ולכל מי שצופה במסלול הזה, וזו חשיפה נפרדת מן המהילה של TLS. ECH אינו מצפין DNS, ו-VPN משנה את זהות הפותרן רק אם גם אתם שולחים את השאילתות שלכם דרך המנהרה או משתמשים בפותרן מוצפן. אנשים מפעילים אחד מן השלושה ומניחים ששני האחרים באו בעקבותיו.

בדקו את מסלול הפותרן בנפרד ממסלול המהילה. הם נכשלים באופן עצמאי, והם מוגדרים במקומות שונים.

איך לדעת באיזו שכבה אתם מסתכלים

שאלו מה הייתה הצפייה חושפת. אם השאלה היא איזה שם שרת התבקש, המהילה והפותרן הם השכבות הרלוונטיות. אם השאלה היא לאיזו רשת התעבורה הלכה ומי יכול היה לראות אותה בדרך, זו המנהרה. אם השאלה היא איזה חשבון עשה מה באתר, אף אחד מהם לא עוזר, משום שהאתר עדיין מקבל את הבקשה ואת כל זהות שסיפקתם.

שמרו על אימות תעודות ועל מדיניות DNS שלמים בזמן שאתם בוחנים תאימות. כיבוי בדיקה כדי שמבחן יעבור משנה את משמעות התוצאה במקום להראות מה ECH מגן עליו.

רשמו איזו שכבה באמת הפעלתם לפני שאתם מוסיפים עוד אחת. רוב הבלבול כאן נובע מההנחה שבקרה אחת מכסה בקשה, את שמה, את יעדה ואת זהותה בעת ובעונה אחת.