Erstattar ECH ein VPN? Kva kvar av dei eigentleg skjuler

Du aktiverer Encrypted Client Hello, opnar ein nettstad, og sambandet verkar. Nokon spør om VPN-en framleis er naudsynt, og det ærlege svaret er at dei to funksjonane skjuler ulike ting for ulike partar. ECH vernar delar av TLS-handtrykket som elles kan avsløre servernamnet du bad om. Eit VPN set trafikken din inn i ein tunnel som endar ved endepunktet til ein operatør. Å blande dei to fører anten til å betale for mykje for vern du allereie har, eller til å tru at du har vern du aldri har hatt.

Kva handtrykket avslører utan ECH

Ein TLS-samband byrjar med ein ClientHello, og i den eldre forma reiser det tiltenkte servernamnet i klartekst inne i han. Alle som er i stand til å observere handtrykket, frå ein nettverksoperatør til ein passiv sensor på ein rute, kan lese det namnet sjølv om applikasjonsdataa etterpå er krypterte. Destinasjonsadressa er òg synleg, så namnet er ofte stadfestande informasjon snarare enn det einaste signalet.

Det er den spesifikke lekkasjen ECH rettar seg mot. Han er smal, og det er verdt å snevre han inn, men det er ikkje det same som å skjule kvar trafikken din går.

Kva ECH faktisk endrar

Med kompatibel klient- og serverstøtte og den naudsynte konfigurasjonen krypterer ECH ein indre ClientHello med nøklar serveren har publisert, slik at ein observatør ser eit ytre handtrykk som ikkje ber det verkelege servernamnet. Trafikken går framleis til same adresse, til same tider, i omtrent same mengder. Timing og storleik er framleis observerbare, og destinasjons-IP-en var aldri ein del av det ECH krypterer.

Støtta er heller ikkje universell. Ikkje kvar klient, teneste eller einskildsamband brukar ECH, og du kan ikkje utleie tilstaden hans frå eit hengelåsikon eller frå å ha bytt VPN-land. Å diagnostisere det krev å sjå på handtrykket, ikkje på dekorasjonen til nettlesaren.

Kva VPN-et endrar i staden

Eit VPN fører dekt trafikk inne i ein tunnel til eit endepunkt, slik at observatøren nærast deg ser eit samband til VPN-et snarare enn til destinasjonen. Det endrar kven som kan observere kva, og det endrar adressa destinasjonen ser. Det krypterer ikkje noko applikasjonen ikkje allereie har kryptert, og det skjuler ikkje sambandet for VPN-operatøren, som per konstruksjon er i ruta.

Dei to kombinerer naturleg: ein applikasjon kan bruke TLS og ECH medan tunnelen vernar nettverkssegmentet rundt han. Ingen av dei fastset kva kvar part kan sjå eller behalde, fordi partane har ulike posisjonar i ruta.

Kvar DNS passar inn

Ei uverna DNS-førespurnad avslører namnet for resolvaren og for alle som observerer den ruta, noko som er ei eksponering skild frå TLS-handtrykket. ECH krypterer ikkje DNS, og eit VPN endrar berre identiteten til resolvaren om du òg sender førespurnadene gjennom tunnelen eller brukar ein kryptert resolver. Folk aktiverer éin av dei tre og reknar med at dei to andre følgde etter.

Kontroller ruta til resolvaren skild frå ruta til handtrykket. Dei feilar uavhengig, og dei blir konfigurerte på ulike stader.

Korleis finne ut kva lag du ser på

Spør kva observasjonen ville avsløre. Om spørsmålet er kva servernamn som vart førespurdt, er handtrykket og resolvaren dei relevante laga. Om spørsmålet er kva nettverk trafikken gjekk til og kven som kunne sjå han undervegs, er det tunnelen. Om spørsmålet er kva konto som gjorde kva på nettstaden, hjelper ingen av dei, fordi nettstaden framleis tek imot førespurnaden og kvar identitet du oppgav.

Hald sertifikatvalidering og DNS-policy intakte medan du undersøkjer kompatibilitet. Å slå av ein sjekk for å få ein test til å gå gjennom endrar kva resultatet betyr i staden for å vise kva ECH vernar.

Skriv ned kva lag du faktisk har aktivert før du legg til eit nytt. Det meste av forvirringa her kjem frå å rekne med at éin einskild kontroll dekkjer ein førespurnad, namnet hans, destinasjonen og identiteten på ein gong.