Vai ECH aizstāj VPN? Ko katra no tām patiešām slēpj

Jūs iespējojat Encrypted Client Hello, atverat vietni, un savienojums darbojas. Kāds jautā, vai VPN vēl ir vajadzīgs, un godīgā atbilde ir tāda, ka abas funkcijas slēpj dažādas lietas no dažādām pusēm. ECH aizsargā TLS rokasspiediena daļas, kas citādi var atklāt jūsu pieprasīto servera nosaukumu. VPN ievieto jūsu datu plūsmu tunelī, kas beidzas operatora galapunktā. Abu sajaukšana noved vai nu pie pārmaksas par aizsardzību, kas jums jau ir, vai pie ticības, ka jums ir aizsardzība, kuras jums nekad nav bijis.

Ko rokasspiediens atklāj bez ECH

TLS savienojums sākas ar ClientHello, un vecākajā formā paredzētais servera nosaukums tajā ceļo atklātā veidā. Ikviens, kas spēj novērot rokasspiedienu, no tīkla operatora līdz pasīvam sensoram maršrutā, var nolasīt šo nosaukumu, lai gan turpmākie lietotnes dati ir šifrēti. Arī galamērķa adrese ir redzama, tāpēc nosaukums bieži ir apstiprinoša informācija, nevis vienīgais signāls.

Tā ir konkrētā noplūde, uz kuru ECH mērķē. Tā ir šaura, un to sašaurināt ir vērts, taču tas nav tas pats, kas slēpt, kur jūsu datu plūsma dodas.

Ko ECH patiešām maina

Ar saderīgu klienta un servera atbalstu un nepieciešamo konfigurāciju ECH šifrē iekšējo ClientHello ar servera publicētajām atslēgām, tāpēc novērotājs redz ārēju rokasspiedienu, kas nenes īsto servera nosaukumu. Datu plūsma joprojām dodas uz to pašu adresi, tajos pašos laikos, aptuveni tādos pašos apjomos. Laiks un izmērs joprojām ir novērojami, un galamērķa IP nekad nav bijusi daļa no tā, ko ECH šifrē.

Arī atbalsts nav universāls. Ne katrs klients, pakalpojums vai atsevišķs savienojums izmanto ECH, un tā klātbūtni nevar secināt no slēdzenes ikonas vai no tā, ka esat mainījis VPN valsti. Lai to diagnosticētu, jāskatās uz rokasspiedienu, nevis uz pārlūka rotājumu.

Ko tā vietā maina VPN

VPN pārnes pārklātu datu plūsmu tuneļa iekšienē uz galapunktu, tāpēc novērotājs, kas atrodas jums vistuvāk, redz savienojumu ar VPN, nevis ar galamērķi. Tas maina to, kurš ko var novērot, un maina adresi, ko redz galamērķis. Tas nešifrē neko, ko lietotne jau nebija šifrējusi, un tas neslēpj savienojumu no VPN operatora, kurš pēc konstrukcijas atrodas maršrutā.

Abi dabiski sader: lietotne var izmantot TLS un ECH, kamēr tunelis aizsargā apkārtējo tīkla segmentu. Neviens nenosaka, ko katra puse var redzēt vai saglabāt, jo puses maršrutā ieņem dažādas pozīcijas.

Kur iederas DNS

Neaizsargāts DNS vaicājums atklāj nosaukumu atrisinātājam un ikvienam, kas novēro šo ceļu, kas ir atsevišķa ietekme no TLS rokasspiediena. ECH nešifrē DNS, un VPN maina atrisinātāja identitāti tikai tad, ja vaicājumus sūtāt arī pa tuneli vai izmantojat šifrētu atrisinātāju. Cilvēki iespējo vienu no trim un pieņem, ka pārējie divi sekoja.

Pārbaudiet atrisinātāja ceļu atsevišķi no rokasspiediena ceļa. Tie neizdodas neatkarīgi, un tie tiek konfigurēti dažādās vietās.

Kā noteikt, uz kuru slāni jūs skatāties

Pajautājiet, ko novērojums atklātu. Ja jautājums ir, kāds servera nosaukums tika pieprasīts, tad rokasspiediens un atrisinātājs ir attiecīgie slāņi. Ja jautājums ir, uz kuru tīklu datu plūsma devās un kurš to varēja redzēt ceļā, tas ir tunelis. Ja jautājums ir, kurš konts ko izdarīja vietnē, neviens no abiem nepalīdz, jo vietne joprojām saņem pieprasījumu un jebkuru jūsu sniegto identitāti.

Pētot saderību, saglabājiet sertifikātu pārbaudi un DNS politiku neskartus. Pārbaudes izslēgšana, lai tests izietu, maina rezultāta nozīmi, nevis parāda, ko ECH aizsargā.

Pierakstiet, kuru slāni jūs faktiski iespējojāt, pirms pievienojat vēl vienu. Lielākā daļa neskaidrības šeit rodas no pieņēmuma, ka viena kontrole vienlaikus aptver pieprasījumu, tā nosaukumu, tā galamērķi un tā identitāti.