ECH VPN-ді алмастыра ма? Әрқайсысы шын мәнінде нені жасырады

Сіз Encrypted Client Hello қосасыз, сайт ашасыз және байланыс жұмыс істейді. Біреу VPN әлі керек пе деп сұрайды, ал адал жауап — бұл екі мүмкіндік әртүрлі тараптардан әртүрлі нәрсені жасырады. ECH TLS қол алысуының әйтпесе сіз сұраған сервер атауын аша алатын бөліктерін қорғайды. VPN трафигіңізді оператордың соңғы нүктесінде аяқталатын туннельге салады. Екеуін шатастыру не бұрыннан бар қорғаныс үшін артық төлеуге, не ешқашан болмаған қорғаныс бар деп сенуге әкеледі.

Қол алысу ECH-сіз нені әшкерелейді

TLS байланысы ClientHello-дан басталады, ал ескі пішінде мақсатты сервер атауы оның ішінде ашық түрде жүреді. Қол алысуды бақылай алатын кез келген адам, желі операторынан жолдағы пассивті сенсорға дейін, сол атауды оқи алады, бұдан кейінгі қолданба деректері шифрланған болса да. Баратын мекенжай да көрінеді, сондықтан атау жиі жалғыз сигнал емес, растайтын ақпарат болады.

Бұл — ECH көздейтін нақты ағып кету. Ол тар ағып кету, оны тарылтуға тұрарлық, бірақ бұл трафигіңіздің қайда баратынын жасырумен бірдей емес.

ECH шын мәнінде нені өзгертеді

Үйлесімді клиент пен сервер қолдауы және қажетті конфигурация болғанда, ECH ішкі ClientHello-ды сервер жариялаған кілттермен шифрлайды, сондықтан бақылаушы нақты сервер атауын тасымайтын сыртқы қол алысуды көреді. Трафик бұрынғыша сол мекенжайға, сол уақыттарда, шамамен сол көлемде барады. Уақыт пен өлшем байқала беретін күйінде қалады, ал баратын IP ешқашан ECH шифрлайтын нәрсенің бөлігі болмаған.

Қолдау да әмбебап емес. Әр клиент, қызмет немесе жеке байланыс ECH қолданбайды, оның бар екенін құлып белгішесінен немесе VPN елін өзгерткеніңізден болжай алмайсыз. Оны диагностикалау үшін қол алысуға қарау керек, браузердің әшекейіне емес.

Оның орнына VPN нені өзгертеді

VPN жабылған трафикті туннель ішінде соңғы нүктеге жеткізеді, сондықтан сізге ең жақын бақылаушы баратын жерге емес, VPN-ге қосылымды көреді. Бұл кімнің нені бақылай алатынын өзгертеді және баратын жер көретін мекенжайды өзгертеді. Ол қолданба әлдеқашан шифрламаған ештеңені шифрламайды және құрылымы бойынша жолда тұрған VPN операторынан байланысты жасырмайды.

Екеуі табиғи түрде үйлеседі: қолданба TLS пен ECH қолдана алады, ал туннель оның айналасындағы желі сегментін қорғайды. Екеуі де әр тараптың нені көре немесе сақтай алатынын анықтамайды, өйткені тараптар жолда әртүрлі орындарды иеленеді.

DNS қайда орналасады

Қорғалмаған DNS сұранысы атауды шешушіге және сол жолды бақылайтын кез келгенге ашады, бұл TLS қол алысуынан бөлек әсер ету. ECH DNS-ті шифрламайды, ал VPN шешушінің жеке басын тек сұраныстарыңызды да туннель арқылы жіберсеңіз немесе шифрланған шешуші қолдансаңыз ғана өзгертеді. Адамдар үшеуінің біреуін қосады да, қалған екеуі соңынан ерді деп ойлайды.

Шешуші жолын қол алысу жолынан бөлек тексеріңіз. Олар тәуелсіз сәтсіздікке ұшырайды және әртүрлі жерлерде конфигурацияланады.

Қай қабатқа қарап отырғаныңызды қалай білуге болады

Бақылау нені ашатынын сұраңыз. Егер сұрақ қай сервер атауы сұралғаны туралы болса, қол алысу мен шешуші тиісті қабаттар. Егер сұрақ трафик қай желіге кеткені және оны жолда кім көре алғаны туралы болса, бұл туннель. Егер сұрақ сайтта қай тіркелгінің не істегені туралы болса, екеуі де көмектеспейді, өйткені сайт әлі де сұранысты және сіз берген кез келген жеке басты алады.

Үйлесімділікті зерттегенде сертификат тексеруі мен DNS саясатын бүлінбеген күйде ұстаңыз. Тест өтуі үшін тексеруді өшіру нәтиженің мәнін өзгертеді, ECH нені қорғайтынын көрсетпейді.

Тағы бір қабат қоспас бұрын шын мәнінде қай қабатты қосқаныңызды жазып қойыңыз. Мұндағы шатасудың көбі бір басқару бір уақытта сұранысты, оның атауын, баратын жерін және жеке басын қамтиды деген болжамнан туады.