Zamjenjuje li ECH VPN? Što svaki od njih zapravo skriva

Uključite Encrypted Client Hello, otvorite stranicu i veza radi. Netko pita je li VPN još potreban, a iskren odgovor je da ove dvije značajke skrivaju različite stvari od različitih strana. ECH štiti dijelove TLS rukovanja koji inače mogu otkriti ime poslužitelja koje ste zatražili. VPN stavlja vaš promet unutar tunela koji završava na krajnjoj točki operatera. Miješanje njih dvaju dovodi ili do preplaćivanja za zaštitu koju već imate, ili do vjerovanja da imate zaštitu koju nikada niste imali.

Što rukovanje otkriva bez ECH-a

TLS veza počinje porukom ClientHello, a u starijem obliku predviđeno ime poslužitelja putuje otvoreno unutar nje. Svatko tko je u položaju promatrati rukovanje, od mrežnog operatera do pasivnog senzora na putu, može pročitati to ime iako su podaci aplikacije nakon toga šifrirani. Adresa odredišta također je vidljiva, pa je ime često potvrđujuća informacija, a ne jedini signal.

To je konkretno curenje koje ECH cilja. Ono je usko, i sužavanje je vrijedno truda, ali nije isto kao skrivanje kamo vaš promet ide.

Što ECH zapravo mijenja

Uz kompatibilnu podršku klijenta i poslužitelja i potrebnu konfiguraciju, ECH šifrira unutarnji ClientHello ključevima koje je poslužitelj objavio, pa promatrač vidi vanjsko rukovanje koje ne nosi pravo ime poslužitelja. Promet i dalje ide na istu adresu, u isto vrijeme, približno istim obujmom. Vrijeme i veličina ostaju uočljivi, a odredišna IP adresa nikada nije bila dio onoga što ECH šifrira.

Ni podrška nije univerzalna. Ne koristi svaki klijent, usluga ili pojedinačna veza ECH, i ne možete zaključiti o njegovoj prisutnosti iz ikone lokota ili iz toga što ste promijenili državu VPN-a. Dijagnostika zahtijeva pogled na rukovanje, a ne na ukras preglednika.

Što VPN umjesto toga mijenja

VPN prenosi pokriveni promet unutar tunela do krajnje točke, pa promatrač najbliži vama vidi vezu prema VPN-u, a ne prema odredištu. To mijenja tko što može promatrati i mijenja adresu koju odredište vidi. Ne šifrira ništa što aplikacija već nije šifrirala i ne skriva vezu od VPN operatera, koji je po konstrukciji na putu.

Njih dvoje se prirodno slažu: aplikacija može koristiti TLS i ECH dok tunel štiti mrežni segment oko nje. Nijedan ne utvrđuje što svaka strana može vidjeti ili zadržati, jer strane zauzimaju različite položaje na putu.

Gdje se uklapa DNS

Nezaštićeni DNS upit otkriva ime razrješivaču i svima koji promatraju taj put, što je izlaganje odvojeno od TLS rukovanja. ECH ne šifrira DNS, a VPN mijenja identitet razrješivača samo ako i svoje upite šaljete kroz tunel ili koristite šifrirani razrješivač. Ljudi uključe jedno od troje i pretpostave da su druga dva slijedila.

Provjerite put razrješivača odvojeno od puta rukovanja. Oni padaju neovisno i konfiguriraju se na različitim mjestima.

Kako prepoznati na koji sloj gledate

Pitajte što bi promatranje otkrilo. Ako je pitanje koje je ime poslužitelja zatraženo, rukovanje i razrješivač su relevantni slojevi. Ako je pitanje na koju je mrežu promet otišao i tko ga je mogao vidjeti u tranzitu, to je tunel. Ako je pitanje koji je račun što učinio na stranici, nijedan ne pomaže, jer web stranica i dalje prima zahtjev i svaki identitet koji ste dostavili.

Držite provjeru certifikata i DNS pravila netaknutima dok istražujete kompatibilnost. Isključivanje provjere da bi test prošao mijenja značenje rezultata umjesto da pokaže što ECH štiti.

Zapišite koji ste sloj zapravo uključili prije nego dodate još jedan. Većina zabune ovdje dolazi od pretpostavke da jedna kontrola pokriva zahtjev, njegovo ime, njegovo odredište i njegov identitet odjednom.