ცვლის ECH VPN-ს? რას მალავს სინამდვილეში თითოეული

თქვენ რთავთ Encrypted Client Hello-ს, ხსნით საიტს და კავშირი მუშაობს. ვიღაც კითხულობს, საჭიროა თუ არა ჯერ კიდევ VPN, და გულახდილი პასუხია, რომ ეს ორი ფუნქცია სხვადასხვა რამეს მალავს სხვადასხვა მხარისგან. ECH იცავს TLS ხელის ჩამორთმევის იმ ნაწილებს, რომლებმაც სხვაგვარად შეიძლება გაამჟღავნოს თქვენს მიერ მოთხოვნილი სერვერის სახელი. VPN თქვენს ტრაფიკს ათავსებს გვირაბში, რომელიც ოპერატორის ბოლო წერტილში მთავრდება. ორივეს არევა იწვევს ან უკვე არსებული დაცვისთვის ზედმეტ გადახდას, ან იმის რწმენას, რომ გაქვთ დაცვა, რომელიც არასოდეს გქონიათ.

რას ამჟღავნებს ხელის ჩამორთმევა ECH-ის გარეშე

TLS კავშირი იწყება ClientHello-ით, და ძველ ფორმაში სამიზნე სერვერის სახელი მის შიგნით ღიად მოძრაობს. ნებისმიერს, ვინც ხელის ჩამორთმევაზე დაკვირვების მდგომარეობაშია, ქსელის ოპერატორიდან გზაზე მდებარე პასიურ სენსორამდე, შეუძლია ეს სახელი წაიკითხოს, მიუხედავად იმისა, რომ შემდგომი აპლიკაციის მონაცემები დაშიფრულია. დანიშნულების მისამართიც ხილულია, ამიტომ სახელი ხშირად დამადასტურებელი ინფორმაციაა და არა ერთადერთი სიგნალი.

ეს არის ის კონკრეტული გაჟონვა, რომელსაც ECH მიმართავს. ის ვიწრო გაჟონვაა და მისი შევიწროება ღირს, მაგრამ ეს არ არის იგივე, რაც დამალვა იმისა, საით მიდის თქვენი ტრაფიკი.

რას ცვლის ECH რეალურად

თავსებადი კლიენტისა და სერვერის მხარდაჭერისა და საჭირო კონფიგურაციის შემთხვევაში, ECH შიფრავს შიდა ClientHello-ს სერვერის მიერ გამოქვეყნებული გასაღებებით, ასე რომ დამკვირვებელი ხედავს გარე ხელის ჩამორთმევას, რომელიც არ ატარებს ნამდვილ სერვერის სახელს. ტრაფიკი მაინც იმავე მისამართზე მიდის, იმავე დროს, დაახლოებით იმავე მოცულობით. დრო და ზომა დაკვირვებადი რჩება, და დანიშნულების IP არასოდეს ყოფილა იმის ნაწილი, რასაც ECH შიფრავს.

მხარდაჭერაც არ არის უნივერსალური. არც ყოველი კლიენტი, სერვისი ან ცალკეული კავშირი იყენებს ECH-ს, და მის არსებობას ვერ დაასკვნით ბოქლომის ხატულიდან ან VPN ქვეყნის შეცვლიდან. მისი დიაგნოსტიკა მოითხოვს ხელის ჩამორთმევაზე ყურებას და არა ბრაუზერის მორთულობას.

რას ცვლის სამაგიეროდ VPN

VPN დაფარულ ტრაფიკს გვირაბის შიგნით ბოლო წერტილამდე მიიყვანს, ამიტომ თქვენთან ყველაზე ახლოს მდგარი დამკვირვებელი ხედავს კავშირს VPN-თან და არა დანიშნულებასთან. ეს ცვლის, ვის შეუძლია რაზე დაკვირვება, და ცვლის იმ მისამართს, რომელსაც დანიშნულება ხედავს. ის არ შიფრავს იმას, რაც აპლიკაციას უკვე არ დაუშიფრავს, და არ მალავს კავშირს VPN ოპერატორისგან, რომელიც კონსტრუქციით გზაზეა.

ორივე ბუნებრივად ერწყმის ერთმანეთს: აპლიკაციას შეუძლია გამოიყენოს TLS და ECH, სანამ გვირაბი იცავს მის გარშემო არსებულ ქსელურ სეგმენტს. არც ერთი არ განსაზღვრავს, რისი დანახვა ან შენახვა შეუძლია თითოეულ მხარეს, რადგან მხარეები გზაზე სხვადასხვა პოზიციას იკავებენ.

სად ეწერება DNS

დაუცველი DNS მოთხოვნა ამჟღავნებს სახელს გამხსნელსა და ყველასთვის, ვინც ამ გზას აკვირდება, რაც TLS ხელის ჩამორთმევისგან ცალკე გამოვლენაა. ECH არ შიფრავს DNS-ს, და VPN ცვლის გამხსნელის იდენტობას მხოლოდ მაშინ, თუ თქვენი მოთხოვნებიც გვირაბით აგზავნით ან დაშიფრულ გამხსნელს იყენებთ. ადამიანები რთავენ სამიდან ერთს და თვლიან, რომ დანარჩენი ორიც მოჰყვა.

შეამოწმეთ გამხსნელის გზა ხელის ჩამორთმევის გზისგან ცალკე. ისინი დამოუკიდებლად ფუჭდება და სხვადასხვა ადგილას კონფიგურირდება.

როგორ გავიგოთ, რომელ ფენას უყურებთ

იკითხეთ, რას გაამჟღავნებდა დაკვირვება. თუ კითხვაა, რომელი სერვერის სახელი მოითხოვეს, მაშინ ხელის ჩამორთმევა და გამხსნელი შესაბამისი ფენებია. თუ კითხვაა, რომელ ქსელში წავიდა ტრაფიკი და ვის შეეძლო მისი დანახვა გზაზე, ეს გვირაბია. თუ კითხვაა, რომელმა ანგარიშმა რა გააკეთა საიტზე, არც ერთი არ ეხმარება, რადგან საიტი მაინც იღებს მოთხოვნას და თქვენ მიერ მოწოდებულ ნებისმიერ იდენტობას.

შეინარჩუნეთ სერტიფიკატის შემოწმება და DNS პოლიტიკა ხელუხლებლად, სანამ თავსებადობას იკვლევთ. შემოწმების გამორთვა იმისთვის, რომ ტესტმა გაიაროს, ცვლის შედეგის მნიშვნელობას და არა აჩვენებს, რისგან იცავს ECH.

ჩაწერეთ, რომელი ფენა ჩართეთ რეალურად, სანამ კიდევ ერთს დაამატებთ. აქ არსებული დაბნეულობის უმეტესობა მოდის ვარაუდიდან, რომ ერთი კონტროლი ერთდროულად ფარავს მოთხოვნას, მის სახელს, მის დანიშნულებას და მის იდენტობას.