Adakah ECH Menggantikan VPN? Apa Sebenarnya Disembunyikan Oleh Masing-masing

Anda mengaktifkan Encrypted Client Hello, membuka laman dan sambungan berfungsi. Seseorang bertanya sama ada VPN masih diperlukan, dan jawapan jujurnya ialah kedua-dua ciri itu menyembunyikan perkara berbeza daripada pihak berbeza. ECH melindungi bahagian handshake TLS yang sebaliknya boleh mendedahkan nama pelayan yang anda minta. VPN meletakkan trafik anda di dalam terowong yang berakhir di titik akhir pengendali. Mengelirukan kedua-duanya membawa sama ada kepada membayar lebih untuk perlindungan yang sudah anda miliki, atau percaya bahawa anda mempunyai perlindungan yang tidak pernah anda miliki.

Apa yang didedahkan oleh handshake tanpa ECH

Sambungan TLS bermula dengan ClientHello, dan dalam bentuk lama nama pelayan yang dimaksudkan bergerak secara terbuka di dalamnya. Sesiapa yang berada dalam kedudukan untuk memerhati handshake, daripada pengendali rangkaian kepada penderia pasif pada laluan, boleh membaca nama itu walaupun data aplikasi selepasnya disulitkan. Alamat destinasi juga kelihatan, jadi nama selalunya maklumat pengesahan dan bukan isyarat tunggal.

Itulah kebocoran khusus yang disasarkan oleh ECH. Ia kebocoran yang sempit, dan menyempitkannya berbaloi, tetapi ia bukan sama seperti menyembunyikan ke mana trafik anda pergi.

Apa yang sebenarnya diubah oleh ECH

Dengan sokongan klien dan pelayan yang serasi serta konfigurasi yang diperlukan, ECH menyulitkan ClientHello dalaman dengan kunci yang diterbitkan oleh pelayan, jadi pemerhati melihat handshake luaran yang tidak membawa nama pelayan sebenar. Trafik masih pergi ke alamat yang sama, pada masa yang sama, dalam jumlah yang lebih kurang sama. Masa dan saiz kekal boleh diperhati, dan IP destinasi tidak pernah menjadi bahagian daripada apa yang disulitkan ECH.

Sokongan juga tidak universal. Bukan setiap klien, perkhidmatan atau sambungan individu menggunakan ECH, dan anda tidak boleh membuat kesimpulan tentang kehadirannya daripada ikon ibu kunci atau daripada telah menukar negara VPN. Untuk mendiagnosisnya, anda perlu melihat handshake, bukan hiasan pelayar.

Apa yang diubah oleh VPN sebaliknya

VPN membawa trafik bertutup di dalam terowong ke titik akhir, jadi pemerhati yang paling dekat dengan anda melihat sambungan ke VPN dan bukan ke destinasi. Itu mengubah siapa yang boleh memerhati apa, dan mengubah alamat yang dilihat oleh destinasi. Ia tidak menyulitkan apa-apa yang belum disulitkan oleh aplikasi, dan ia tidak menyembunyikan sambungan daripada pengendali VPN, yang secara pembinaan berada di laluan.

Kedua-duanya bergabung secara semula jadi: aplikasi boleh menggunakan TLS dan ECH sementara terowong melindungi segmen rangkaian di sekelilingnya. Kedua-duanya tidak menetapkan apa yang boleh dilihat atau disimpan oleh setiap pihak, kerana pihak-pihak menduduki kedudukan berbeza pada laluan.

Di mana DNS masuk

Pertanyaan DNS yang tidak dilindungi mendedahkan nama kepada penyelesai dan kepada sesiapa yang memerhati laluan itu, yang merupakan pendedahan berasingan daripada handshake TLS. ECH tidak menyulitkan DNS, dan VPN hanya mengubah identiti penyelesai jika anda juga menghantar pertanyaan melalui terowong atau menggunakan penyelesai tersulit. Orang mengaktifkan salah satu daripada tiga perkara itu dan menganggap dua yang lain menyusul.

Periksa laluan penyelesai secara berasingan daripada laluan handshake. Kedua-duanya gagal secara bebas dan dikonfigurasikan di tempat berbeza.

Cara mengetahui lapisan mana yang anda lihat

Tanya apa yang akan didedahkan oleh pemerhatian itu. Jika soalannya nama pelayan mana yang diminta, handshake dan penyelesai ialah lapisan yang berkaitan. Jika soalannya rangkaian mana yang dituju oleh trafik dan siapa yang boleh melihatnya dalam perjalanan, itu terowong. Jika soalannya akaun mana melakukan apa di laman, kedua-duanya tidak membantu, kerana laman web masih menerima permintaan dan sebarang identiti yang anda berikan.

Kekalkan pengesahan sijil dan dasar DNS tanpa diubah semasa anda menyiasat keserasian. Menyahaktifkan pemeriksaan supaya ujian lulus mengubah makna keputusan dan bukan menunjukkan apa yang dilindungi ECH.

Catat lapisan mana yang sebenarnya anda aktifkan sebelum menambah satu lagi. Kebanyakan kekeliruan di sini berpunca daripada andaian bahawa satu kawalan meliputi permintaan, namanya, destinasinya dan identitinya sekali gus.