Înlocuiește ECH un VPN? Ce ascunde de fapt fiecare

Activați Encrypted Client Hello, deschideți un site și conexiunea funcționează. Cineva întreabă dacă VPN-ul mai este necesar, iar răspunsul onest este că cele două funcții ascund lucruri diferite de părți diferite. ECH protejează părți ale strângerii de mână TLS care altfel pot dezvălui numele de server pe care l-ați cerut. Un VPN pune traficul într-un tunel care se termină la punctul final al unui operator. Confundarea celor două duce fie la a plăti prea mult pentru protecție pe care o aveți deja, fie la a crede că aveți o protecție pe care nu ați avut-o niciodată.

Ce expune strângerea de mână fără ECH

O conexiune TLS începe cu un ClientHello, iar în forma mai veche numele de server dorit călătorește în clar în interiorul lui. Oricine se află în poziția de a observa strângerea de mână, de la un operator de rețea la un senzor pasiv pe o cale, poate citi acel nume chiar dacă datele aplicației de după sunt criptate. Și adresa de destinație este vizibilă, așa că numele este adesea informație de confirmare, nu singurul semnal.

Aceasta este scurgerea specifică vizată de ECH. Este o scurgere îngustă, iar îngustarea ei merită efortul, dar nu este același lucru cu a ascunde unde merge traficul.

Ce schimbă de fapt ECH

Cu suport compatibil de client și server și configurația necesară, ECH criptează un ClientHello interior cu chei publicate de server, astfel încât un observator vede o strângere de mână exterioară care nu poartă numele real al serverului. Traficul merge în continuare la aceeași adresă, la aceleași ore, în volume aproximativ egale. Temporizarea și dimensiunea rămân observabile, iar IP-ul de destinație nu a făcut niciodată parte din ceea ce criptează ECH.

Nici suportul nu este universal. Nu fiecare client, serviciu sau conexiune individuală folosește ECH, și nu puteți deduce prezența lui dintr-o pictogramă cu lacăt sau din faptul că ați schimbat țara VPN-ului. Diagnosticarea lui cere să priviți strângerea de mână, nu decorațiunile browserului.

Ce schimbă în schimb VPN-ul

Un VPN duce traficul acoperit într-un tunel până la un punct final, așa că observatorul cel mai apropiat de voi vede o conexiune către VPN și nu către destinație. Asta schimbă cine poate observa ce și schimbă adresa pe care o vede destinația. Nu criptează nimic ce aplicația nu a criptat deja și nu ascunde conexiunea de operatorul VPN, care prin construcție se află pe cale.

Cele două se compun natural: o aplicație poate folosi TLS și ECH în timp ce tunelul protejează segmentul de rețea din jur. Niciunul nu stabilește ce poate vedea sau păstra fiecare parte, pentru că părțile ocupă poziții diferite pe cale.

Unde se potrivește DNS

O interogare DNS neprotejată dezvăluie numele rezolvatorului și oricui observă acea cale, ceea ce este o expunere separată de strângerea de mână TLS. ECH nu criptează DNS, iar un VPN schimbă identitatea rezolvatorului doar dacă trimiteți interogările și prin tunel sau folosiți un rezolvator criptat. Oamenii activează una dintre cele trei și presupun că celelalte două au urmat.

Verificați calea rezolvatorului separat de calea strângerii de mână. Ele eșuează independent și sunt configurate în locuri diferite.

Cum să știți la ce strat vă uitați

Întrebați ce ar dezvălui observația. Dacă întrebarea este ce nume de server a fost cerut, strângerea de mână și rezolvatorul sunt straturile relevante. Dacă întrebarea este către ce rețea a mers traficul și cine putea să îl vadă în tranzit, acesta este tunelul. Dacă întrebarea este ce cont a făcut ce pe site, niciunul nu ajută, pentru că site-ul primește în continuare cererea și orice identitate pe care ați furnizat-o.

Păstrați neatinse verificarea certificatelor și politica DNS în timp ce investigați compatibilitatea. Dezactivarea unei verificări pentru ca un test să treacă schimbă sensul rezultatului în loc să arate ce protejează ECH.

Notați ce strat ați activat de fapt înainte de a adăuga altul. Cea mai mare parte a confuziei de aici vine din presupunerea că un singur control acoperă o cerere, numele ei, destinația ei și identitatea ei deodată.