Ali ECH nadomesti VPN? Kaj vsak od njiju v resnici skriva

Omogočite Encrypted Client Hello, odprete spletno mesto in povezava deluje. Nekdo vpraša, ali je VPN še potreben, in pošten odgovor je, da ti dve funkciji skrivata različne stvari pred različnimi stranmi. ECH ščiti dele rokovanja TLS, ki lahko sicer razkrijejo ime strežnika, ki ste ga zahtevali. VPN postavi vaš promet v tunel, ki se konča na končni točki operaterja. Zamenjava obeh vodi bodisi v preplačevanje zaščite, ki jo že imate, bodisi v prepričanje, da imate zaščito, ki je nikoli niste imeli.

Kaj rokovanje razkrije brez ECH

Povezava TLS se začne s ClientHello, in v starejši obliki predvideno ime strežnika potuje odkrito v njem. Kdor koli je v položaju, da opazuje rokovanje, od omrežnega operaterja do pasivnega senzorja na poti, lahko prebere to ime, čeprav so podatki aplikacije zatem šifrirani. Tudi naslov cilja je viden, zato je ime pogosto potrditvena informacija in ne edini signal.

To je tisto posebno puščanje, na katero cilja ECH. Je ozko in zoževati ga je vredno, vendar ni isto kot skrivanje, kam gre vaš promet.

Kaj ECH v resnici spremeni

Ob združljivi podpori odjemalca in strežnika ter potrebni konfiguraciji ECH šifrira notranji ClientHello s ključi, ki jih objavi strežnik, tako da opazovalec vidi zunanje rokovanje, ki ne nosi pravega imena strežnika. Promet še vedno gre na isti naslov, ob istih časih, v približno enakih količinah. Čas in velikost ostaneta opazljiva, ciljni IP pa nikoli ni bil del tega, kar ECH šifrira.

Tudi podpora ni univerzalna. Vsak odjemalec, storitev ali posamezna povezava ne uporablja ECH, in njegove prisotnosti ni mogoče sklepati iz ikone ključavnice ali iz tega, da ste spremenili državo VPN. Za diagnosticiranje je treba pogledati rokovanje, ne okrasje brskalnika.

Kaj namesto tega spremeni VPN

VPN prenese pokrit promet v tunelu do končne točke, zato opazovalec, ki je vam najbližje, vidi povezavo z VPN in ne s ciljem. To spremeni, kdo lahko kaj opazuje, in spremeni naslov, ki ga vidi cilj. Ne šifrira ničesar, česar aplikacija že ni šifrirala, in ne skriva povezave pred operaterjem VPN, ki je po zgradbi na poti.

Oba se naravno sestavita: aplikacija lahko uporablja TLS in ECH, medtem ko tunel ščiti omrežni segment okoli nje. Nobeno ne določa, kaj lahko vsaka stran vidi ali obdrži, ker strani zasedajo različne položaje na poti.

Kje se vključi DNS

Nezavarovano poizvedbo DNS razkrije ime razreševalniku in vsem, ki opazujejo to pot, kar je ločena izpostavljenost od rokovanja TLS. ECH ne šifrira DNS, VPN pa spremeni identiteto razreševalnika le, če poizvedbe pošiljate tudi skozi tunel ali uporabljate šifriran razreševalnik. Ljudje omogočijo eno od treh in domnevajo, da sta drugi dve sledili.

Preverite pot razreševalnika ločeno od poti rokovanja. Ne uspevata neodvisno in konfigurirata se na različnih mestih.

Kako ugotoviti, na kateri sloj gledate

Vprašajte, kaj bi opazovanje razkrilo. Če je vprašanje, katero ime strežnika je bilo zahtevano, sta rokovanje in razreševalnik ustrezna sloja. Če je vprašanje, v katero omrežje je šel promet in kdo ga je mogel videti na poti, je to tunel. Če je vprašanje, kateri račun je kaj naredil na mestu, ne pomaga nobeno, ker spletno mesto še vedno prejme zahtevo in vsako identiteto, ki ste jo navedli.

Med preiskovanjem združljivosti ohranite preverjanje potrdil in politiko DNS nedotaknjeni. Izklop preverjanja, da test uspe, spremeni pomen rezultata, namesto da bi pokazal, kaj ECH ščiti.

Preden dodate še eno, zapišite, kateri sloj ste v resnici omogočili. Večina zmede tukaj izhaja iz predpostavke, da ena kontrola hkrati pokriva zahtevo, njeno ime, njen cilj in njeno identiteto.