Дали ECH го заменува VPN? Што всушност крие секое од нив

Вклучувате Encrypted Client Hello, отворате страница и врската работи. Некој прашува дали VPN сѐ уште е потребен, а искрениот одговор е дека двете функции кријат различни работи од различни страни. ECH ги штити деловите од TLS ракувањето што инаку можат да го откријат името на серверот што го побаравте. VPN го става вашиот сообраќај внатре во тунел што завршува на крајна точка на оператор. Мешањето на двете води или до преплатување за заштита што веќе ја имате, или до верување дека имате заштита што никогаш не сте ја имале.

Што открива ракувањето без ECH

TLS врската започнува со ClientHello, а во постарата форма предвиденото име на серверот патува отворено во него. Секој што е во позиција да го набљудува ракувањето, од мрежен оператор до пасивен сензор на патека, може да го прочита тоа име, иако податоците на апликацијата потоа се шифрирани. И адресата на одредиштето е видлива, па името често е потврдна информација, а не единствениот сигнал.

Тоа е конкретното истекување што ECH го цели. Тоа е тесно истекување, и неговото стеснување е вредно, но не е исто како криење каде оди вашиот сообраќај.

Што всушност менува ECH

Со компатибилна поддршка од клиент и сервер и потребната конфигурација, ECH шифрира внатрешен ClientHello со клучеви објавени од серверот, па набљудувачот гледа надворешно ракување што не го носи вистинското име на серверот. Сообраќајот сѐ уште оди на истата адреса, во исто време, со приближно ист обем. Времето и големината остануваат видливи, а IP адресата на одредиштето никогаш не била дел од она што ECH го шифрира.

Ни поддршката не е универзална. Не секој клиент, услуга или поединечна врска користи ECH, и не можете да го заклучите неговото присуство од икона со катанец или од тоа што сте ја смениле земјата на VPN. Дијагностицирањето бара гледање во ракувањето, а не во украсот на прелистувачот.

Што наместо тоа менува VPN

VPN пренесува покриен сообраќај внатре во тунел до крајна точка, па набљудувачот најблизок до вас гледа врска кон VPN, а не кон одредиштето. Тоа менува кој што може да набљудува и ја менува адресата што ја гледа одредиштето. Не шифрира ништо што апликацијата веќе не го шифрирала и не ја крие врската од VPN операторот, кој по конструкција е на патеката.

Двете природно се составуваат: апликацијата може да користи TLS и ECH, додека тунелот го штити мрежниот сегмент околу неа. Ниту едно не одредува што секоја страна може да види или задржи, бидејќи страните заземаат различни позиции на патеката.

Каде се вклопува DNS

Незаштитено DNS барање го открива името на решавачот и на секој што ја набљудува таа патека, што е одделно изложување од TLS ракувањето. ECH не шифрира DNS, а VPN го менува идентитетот на решавачот само ако и вашите барања ги праќате низ тунелот или користите шифриран решавач. Луѓето вклучуваат едно од трите и претпоставуваат дека другите две следеле.

Проверете ја патеката на решавачот одделно од патеката на ракувањето. Тие не успеваат независно и се конфигурираат на различни места.

Како да знаете на кој слој гледате

Прашајте што би открило набљудувањето. Ако прашањето е кое име на сервер е побарано, ракувањето и решавачот се релевантните слоеви. Ако прашањето е на која мрежа отишол сообраќајот и кој можел да го види на патот, тоа е тунелот. Ако прашањето е која сметка што направила на страницата, ниту едно не помага, бидејќи страницата сѐ уште го прима барањето и секој идентитет што сте го дале.

Чувајте ја проверката на сертификатот и DNS политиката недопрени додека ја истражувате компатибилноста. Исклучувањето на проверка за тестот да помине го менува значењето на резултатот наместо да покаже што штити ECH.

Запишете кој слој всушност сте го вклучиле пред да додадете уште еден. Повеќето конфузија овде доаѓа од претпоставката дека една контрола покрива барање, неговото име, неговото одредиште и неговиот идентитет одеднаш.