ECH는 VPN을 대체할까? 각각이 실제로 숨기는 것

Encrypted Client Hello를 켜고 사이트를 열면 연결이 작동합니다. 누군가 VPN이 아직 필요한지 묻고, 정직한 답은 두 기능이 서로 다른 대상에게 서로 다른 것을 숨긴다는 것입니다. ECH는 그렇지 않으면 요청한 서버 이름을 드러낼 수 있는 TLS 핸드셰이크의 일부를 보호합니다. VPN은 트래픽을 운영자의 엔드포인트에서 끝나는 터널 안에 넣습니다. 둘을 혼동하면 이미 가진 보호에 돈을 더 쓰거나, 한 번도 가져본 적 없는 보호가 있다고 믿게 됩니다.

ECH 없이 핸드셰이크가 노출하는 것

TLS 연결은 ClientHello로 시작하며, 옛 형식에서는 의도한 서버 이름이 그 안에서 평문으로 이동합니다. 핸드셰이크를 관찰할 수 있는 위치에 있는 누구든, 네트워크 운영자부터 경로 위의 수동 센서까지, 그 이름을 읽을 수 있습니다. 이후의 애플리케이션 데이터가 암호화되어 있어도 마찬가지입니다. 목적지 주소도 보이므로, 이름은 유일한 신호라기보다 확인 정보인 경우가 많습니다.

그것이 ECH가 겨냥하는 특정 누출입니다. 좁은 누출이고 좁히는 것은 가치가 있지만, 트래픽이 어디로 가는지를 숨기는 것과 같지는 않습니다.

ECH가 실제로 바꾸는 것

호환되는 클라이언트와 서버 지원 및 필요한 구성이 있으면, ECH는 서버가 공개한 키로 내부 ClientHello를 암호화하므로 관찰자는 실제 서버 이름을 운반하지 않는 외부 핸드셰이크를 봅니다. 트래픽은 여전히 같은 주소로, 같은 시간에, 대략 같은 양으로 갑니다. 타이밍과 크기는 계속 관찰 가능하며, 목적지 IP는 ECH가 암호화하는 것의 일부가 된 적이 없습니다.

지원도 보편적이지 않습니다. 모든 클라이언트, 서비스, 개별 연결이 ECH를 쓰지는 않으며, 자물쇠 아이콘이나 VPN 국가를 바꾼 것으로 그 존재를 추론할 수 없습니다. 진단하려면 핸드셰이크를 봐야 하며, 브라우저의 장식이 아닙니다.

대신 VPN이 바꾸는 것

VPN은 덮인 트래픽을 터널 안에서 엔드포인트로 운반하므로, 당신에게 가장 가까운 관찰자는 목적지가 아니라 VPN으로의 연결을 봅니다. 이는 누가 무엇을 관찰할 수 있는지를 바꾸고, 목적지가 보는 주소도 바꿉니다. 애플리케이션이 이미 암호화하지 않은 것을 암호화하지도 않고, 구조상 경로에 있는 VPN 운영자로부터 연결을 숨기지도 않습니다.

둘은 자연스럽게 결합합니다. 애플리케이션은 TLS와 ECH를 쓰고, 터널은 그 주변의 네트워크 구간을 보호합니다. 어느 쪽도 경로에서 서로 다른 위치를 차지하는 각 주체가 무엇을 보고 보관할 수 있는지를 정하지 않습니다.

DNS가 들어갈 자리

보호되지 않은 DNS 질의는 이름을 리졸버와 그 경로를 관찰하는 모든 이에게 드러내며, 이는 TLS 핸드셰이크와 별개의 노출입니다. ECH는 DNS를 암호화하지 않고, VPN은 질의를 터널로 보내거나 암호화된 리졸버를 쓸 때만 리졸버의 정체성을 바꿉니다. 사람들은 셋 중 하나를 켜고 나머지 둘도 따라왔다고 가정합니다.

리졸버 경로는 핸드셰이크 경로와 별도로 확인하세요. 둘은 독립적으로 실패하며 서로 다른 곳에서 구성됩니다.

어느 계층을 보고 있는지 아는 방법

그 관찰이 무엇을 드러낼지 물어보세요. 질문이 어떤 서버 이름이 요청되었는지라면, 핸드셰이크와 리졸버가 관련 계층입니다. 질문이 트래픽이 어느 네트워크로 갔고 전송 중에 누가 볼 수 있었는지라면, 터널입니다. 질문이 사이트에서 어느 계정이 무엇을 했는지라면, 둘 다 도움이 되지 않습니다. 웹사이트는 여전히 요청과 당신이 제공한 모든 정체성을 받기 때문입니다.

호환성을 조사하는 동안 인증서 검증과 DNS 정책을 그대로 두세요. 테스트를 통과시키려고 검사를 끄면 ECH가 무엇을 보호하는지 보여주는 대신 결과의 의미가 달라집니다.

또 다른 계층을 추가하기 전에 실제로 어떤 계층을 켰는지 적어 두세요. 여기서 혼란의 대부분은 하나의 제어가 요청, 그 이름, 목적지, 정체성을 한 번에 덮는다고 가정하는 데서 옵니다.