Ar ECH pakeičia VPN? Ką iš tikrųjų slepia kiekvienas

Įjungiate Encrypted Client Hello, atidarote svetainę ir ryšys veikia. Kažkas klausia, ar VPN dar reikalingas, o sąžiningas atsakymas yra toks, kad šios dvi funkcijos slepia skirtingus dalykus nuo skirtingų šalių. ECH saugo TLS rankos paspaudimo dalis, kurios kitu atveju gali atskleisti jūsų paprašytą serverio vardą. VPN įdeda jūsų srautą į tunelį, kuris baigiasi operatoriaus galiniame taške. Sumaišius abu, arba permokama už apsaugą, kurią jau turite, arba tikima, kad turite apsaugą, kurios niekada neturėjote.

Ką rankos paspaudimas atskleidžia be ECH

TLS ryšys prasideda ClientHello, o senesnėje formoje numatytas serverio vardas keliauja atvirai jo viduje. Bet kas, galintis stebėti rankos paspaudimą, nuo tinklo operatoriaus iki pasyvaus jutiklio maršrute, gali perskaityti tą vardą, nors vėlesni programos duomenys yra šifruoti. Paskirties adresas taip pat matomas, todėl vardas dažnai yra patvirtinanti informacija, o ne vienintelis signalas.

Tai yra ta konkreti nuotėka, į kurią nukreiptas ECH. Ji siaura, ir ją susiaurinti verta, bet tai nėra tas pats, kas slėpti, kur jūsų srautas eina.

Ką ECH iš tikrųjų keičia

Esant suderinamai kliento ir serverio paramai bei reikiamai konfigūracijai, ECH šifruoja vidinį ClientHello serverio paskelbtais raktais, todėl stebėtojas mato išorinį rankos paspaudimą, kuriame nėra tikrojo serverio vardo. Srautas vis tiek eina tuo pačiu adresu, tuo pačiu metu, maždaug tokiu pačiu kiekiu. Laikas ir dydis išlieka stebimi, o paskirties IP niekada nebuvo to, ką ECH šifruoja, dalis.

Parama taip pat nėra visuotinė. Ne kiekvienas klientas, paslauga ar atskiras ryšys naudoja ECH, ir jo buvimo negalima nustatyti iš spynos piktogramos arba iš to, kad pakeitėte VPN šalį. Norint jį diagnozuoti, reikia žiūrėti į rankos paspaudimą, o ne į naršyklės puošmeną.

Ką vietoj to keičia VPN

VPN perduoda uždengtą srautą tunelio viduje į galinį tašką, todėl arčiausiai jūsų esantis stebėtojas mato ryšį su VPN, o ne su paskirties vieta. Tai keičia, kas ką gali stebėti, ir keičia adresą, kurį mato paskirties vieta. Jis nešifruoja nieko, ko programa jau nebuvo užšifravusi, ir neslepia ryšio nuo VPN operatoriaus, kuris pagal konstrukciją yra maršrute.

Abu dera natūraliai: programa gali naudoti TLS ir ECH, o tunelis saugo aplinkinį tinklo segmentą. Nė vienas nenustato, ką kiekviena šalis gali matyti ar išsaugoti, nes šalys maršrute užima skirtingas pozicijas.

Kur telpa DNS

Neapsaugota DNS užklausa atskleidžia vardą sprendėjai ir visiems, kurie stebi tą kelią, o tai yra atskiras poveikis nuo TLS rankos paspaudimo. ECH nešifruoja DNS, o VPN keičia sprendėjos tapatybę tik tada, jei užklausas taip pat siunčiate per tunelį arba naudojate šifruotą sprendėją. Žmonės įjungia vieną iš trijų ir mano, kad kiti du atėjo paskui.

Tikrinkite sprendėjos kelią atskirai nuo rankos paspaudimo kelio. Jie nepavyksta nepriklausomai ir konfigūruojami skirtingose vietose.

Kaip suprasti, į kurį sluoksnį žiūrite

Paklauskite, ką atskleistų stebėjimas. Jei klausimas yra koks serverio vardas buvo paprašytas, rankos paspaudimas ir sprendėja yra atitinkami sluoksniai. Jei klausimas yra į kokį tinklą nuėjo srautas ir kas galėjo jį matyti kelyje, tai tunelis. Jei klausimas yra kuri paskyra ką padarė svetainėje, nė vienas nepadeda, nes svetainė vis dar gauna užklausą ir bet kokią jūsų pateiktą tapatybę.

Tyrinėdami suderinamumą, palikite sertifikatų tikrinimą ir DNS politiką nepaliestus. Tikrinimo išjungimas, kad testas praeitų, keičia rezultato prasmę, o ne parodo, ką ECH saugo.

Užsirašykite, kurį sluoksnį iš tikrųjų įjungėte, prieš pridėdami dar vieną. Dauguma sumaišties čia kyla iš prielaidos, kad viena kontrolė vienu metu apima užklausą, jos vardą, paskirties vietą ir tapatybę.