Nahrádza ECH VPN? Čo každé z nich v skutočnosti skrýva

Zapnete Encrypted Client Hello, otvoríte web a spojenie funguje. Niekto sa spýta, či je VPN ešte potrebná, a úprimná odpoveď je, že tieto dve funkcie skrývajú odlišné veci pred odlišnými stranami. ECH chráni časti TLS handshake, ktoré inak môžu prezradiť názov servera, o ktorý ste požiadali. VPN vkladá vašu prevádzku do tunela, ktorý končí v koncovom bode operátora. Zámena oboch vedie buď k preplácaniu ochrany, ktorú už máte, alebo k viere, že máte ochranu, ktorú ste nikdy nemali.

Čo handshake prezrádza bez ECH

TLS spojenie začína správou ClientHello, a v staršej podobe v nej zamýšľaný názov servera cestuje otvorene. Ktokoľvek, kto je v pozícii handshake pozorovať, od sieťového operátora po pasívny senzor na trase, môže ten názov prečítať, aj keď sú dáta aplikácie potom šifrované. Cieľová adresa je tiež viditeľná, takže názov je často potvrdzujúca informácia, nie jediný signál.

To je ten konkrétny únik, na ktorý ECH cieli. Je úzky a zužovať ho sa oplatí, ale nie je to to isté ako skrývať, kam vaša prevádzka ide.

Čo ECH skutočne mení

Pri kompatibilnej podpore klienta a servera a potrebnej konfigurácii ECH šifruje vnútorný ClientHello kľúčmi, ktoré server zverejnil, takže pozorovateľ vidí vonkajší handshake, ktorý nenesie skutočný názov servera. Prevádzka stále ide na rovnakú adresu, v rovnakom čase, v približne rovnakom objeme. Časovanie a veľkosť zostávajú pozorovateľné a cieľová IP nikdy nebola súčasťou toho, čo ECH šifruje.

Ani podpora nie je univerzálna. Nie každý klient, služba alebo jednotlivé spojenie používa ECH a jeho prítomnosť nemožno odvodiť z ikony zámku ani z toho, že ste zmenili krajinu VPN. Diagnostika si vyžaduje pohľad na handshake, nie na výzdobu prehliadača.

Čo namiesto toho mení VPN

VPN prenáša krytú prevádzku vnútri tunela do koncového bodu, takže pozorovateľ najbližšie k vám vidí spojenie k VPN, nie k cieľu. To mení, kto čo môže pozorovať, a mení adresu, ktorú cieľ vidí. Nešifruje nič, čo aplikácia už nezašifrovala, a neskrýva spojenie pred operátorom VPN, ktorý je konštrukčne na trase.

Obe sa prirodzene dopĺňajú: aplikácia môže používať TLS a ECH, zatiaľ čo tunel chráni sieťový segment okolo nej. Ani jedno neurčuje, čo každá strana môže vidieť alebo uchovať, pretože strany zaujímajú na trase rôzne pozície.

Kam zapadá DNS

Nezabezpečený dotaz DNS prezradí názov resolveru a komukoľvek, kto tú trasu pozoruje, čo je samostatné vystavenie od TLS handshake. ECH nešifruje DNS a VPN mení identitu resolveru len vtedy, ak svoje dotazy posielate aj tunelom alebo používate šifrovaný resolver. Ľudia zapnú jednu z troch vecí a predpokladajú, že ostatné dve nasledovali.

Overte trasu resolveru oddelene od trasy handshake. Zlyhávajú nezávisle a konfigurujú sa na rôznych miestach.

Ako zistiť, na ktorú vrstvu sa pozeráte

Spýtajte sa, čo by pozorovanie odhalilo. Ak je otázkou, ktorý názov servera bol požadovaný, príslušnými vrstvami sú handshake a resolver. Ak je otázkou, do ktorej siete prevádzka išla a kto ju mohol vidieť pri prenose, je to tunel. Ak je otázkou, ktorý účet čo na webe urobil, nepomôže ani jedno, pretože web stále dostáva požiadavku a akúkoľvek identitu, ktorú ste poskytli.

Ponechajte overovanie certifikátov a zásady DNS nedotknuté, kým skúmate kompatibilitu. Vypnutie kontroly, aby test prešiel, mení význam výsledku, namiesto toho aby ukázalo, čo ECH chráni.

Pred pridaním ďalšej si zapíšte, ktorú vrstvu ste skutočne zapnuli. Väčšina zmätku tu pramení z predpokladu, že jediná kontrola pokrýva požiadavku, jej názov, jej cieľ aj jej identitu naraz.