Apakah ECH Menggantikan VPN? Apa yang Sebenarnya Disembunyikan Masing-Masing

Anda mengaktifkan Encrypted Client Hello, membuka sebuah situs, dan koneksi bekerja. Seseorang bertanya apakah VPN masih diperlukan, dan jawaban jujurnya adalah kedua fitur itu menyembunyikan hal berbeda dari pihak berbeda. ECH melindungi bagian-bagian handshake TLS yang jika tidak dapat mengungkap nama server yang Anda minta. VPN menempatkan lalu lintas Anda di dalam terowongan yang berakhir di titik akhir operator. Mencampuradukkan keduanya membuat Anda membayar lebih untuk perlindungan yang sudah dimiliki, atau percaya bahwa Anda punya perlindungan yang tidak pernah ada.

Apa yang diungkapkan handshake tanpa ECH

Koneksi TLS dimulai dengan ClientHello, dan dalam bentuk lama nama server yang dituju berjalan terbuka di dalamnya. Siapa pun yang berada dalam posisi mengamati handshake, dari operator jaringan hingga sensor pasif di suatu jalur, dapat membaca nama itu meskipun data aplikasi sesudahnya terenkripsi. Alamat tujuan juga terlihat, sehingga nama sering kali menjadi informasi penguat, bukan satu-satunya sinyal.

Itulah kebocoran spesifik yang disasar ECH. Kebocorannya sempit, dan mempersempitnya layak dilakukan, tetapi itu tidak sama dengan menyembunyikan ke mana lalu lintas Anda pergi.

Apa yang sebenarnya diubah ECH

Dengan dukungan klien dan server yang kompatibel serta konfigurasi yang diperlukan, ECH mengenkripsi ClientHello dalam dengan kunci yang diterbitkan server, sehingga pengamat melihat handshake luar yang tidak membawa nama server sebenarnya. Lalu lintas tetap menuju alamat yang sama, pada waktu yang sama, dalam volume yang kurang lebih sama. Waktu dan ukuran tetap dapat diamati, dan IP tujuan tidak pernah menjadi bagian dari apa yang dienkripsi ECH.

Dukungannya juga tidak universal. Tidak setiap klien, layanan, atau koneksi individual memakai ECH, dan Anda tidak dapat menyimpulkan keberadaannya dari ikon gembok atau dari telah mengganti negara VPN. Mendiagnosisnya menuntut melihat handshake, bukan dekorasi peramban.

Apa yang diubah VPN sebagai gantinya

VPN membawa lalu lintas tertutup di dalam terowongan ke titik akhir, sehingga pengamat terdekat dari Anda melihat koneksi ke VPN, bukan ke tujuan. Itu mengubah siapa yang dapat mengamati apa, dan mengubah alamat yang dilihat tujuan. VPN tidak mengenkripsi apa pun yang belum dienkripsi aplikasi, dan tidak menyembunyikan koneksi dari operator VPN, yang secara konstruksi berada di jalur.

Keduanya menyatu secara alami: aplikasi dapat memakai TLS dan ECH sementara terowongan melindungi segmen jaringan di sekitarnya. Tidak satu pun menetapkan apa yang dapat dilihat atau disimpan setiap pihak, karena para pihak menempati posisi berbeda di jalur.

Di mana DNS masuk

Kueri DNS yang tidak terlindungi mengungkap nama kepada resolver dan kepada siapa pun yang mengamati jalur itu, yang merupakan paparan terpisah dari handshake TLS. ECH tidak mengenkripsi DNS, dan VPN hanya mengubah identitas resolver jika Anda juga mengirim kueri melalui terowongan atau memakai resolver terenkripsi. Orang mengaktifkan salah satu dari tiga hal itu dan menganggap dua lainnya ikut menyusul.

Periksa jalur resolver secara terpisah dari jalur handshake. Keduanya gagal secara independen dan dikonfigurasi di tempat berbeda.

Cara mengetahui lapisan mana yang Anda lihat

Tanyakan apa yang akan diungkapkan pengamatan itu. Jika pertanyaannya nama server mana yang diminta, handshake dan resolver adalah lapisan yang relevan. Jika pertanyaannya ke jaringan mana lalu lintas pergi dan siapa yang bisa melihatnya dalam perjalanan, itu terowongan. Jika pertanyaannya akun mana melakukan apa di situs, keduanya tidak membantu, karena situs web tetap menerima permintaan dan identitas apa pun yang Anda berikan.

Jaga verifikasi sertifikat dan kebijakan DNS tetap utuh saat Anda menyelidiki kompatibilitas. Menonaktifkan pemeriksaan agar sebuah uji lolos mengubah makna hasilnya, bukan menunjukkan apa yang dilindungi ECH.

Catat lapisan mana yang benar-benar Anda aktifkan sebelum menambahkan lapisan lain. Sebagian besar kebingungan di sini berasal dari anggapan bahwa satu kendali mencakup sebuah permintaan, namanya, tujuannya, dan identitasnya sekaligus.