A e zëvendëson ECH një VPN? Çfarë fsheh në të vërtetë secili

Ju aktivizoni Encrypted Client Hello, hapni një faqe dhe lidhja funksionon. Dikush pyet nëse VPN-i është ende i nevojshëm, dhe përgjigjja e sinqertë është se dy veçoritë fshehin gjëra të ndryshme nga palë të ndryshme. ECH mbron pjesë të shtrëngimit të duarve TLS që përndryshe mund të zbulojnë emrin e serverit që kërkuat. Një VPN e vendos trafikun tuaj brenda një tuneli që përfundon në pikën fundore të një operatori. Ngatërrimi i të dyjave çon ose në pagimin e tepërt për mbrojtje që e keni tashmë, ose në besimin se keni mbrojtje që nuk e keni pasur kurrë.

Çfarë zbulon shtrëngimi i duarve pa ECH

Një lidhje TLS fillon me një ClientHello, dhe në formën më të vjetër emri i synuar i serverit udhëton hapur brenda tij. Kushdo që është në gjendje të vëzhgojë shtrëngimin e duarve, nga një operator rrjeti deri te një sensor pasiv në një rrugë, mund ta lexojë atë emër edhe pse të dhënat e aplikacionit pas tij janë të kriptuara. Edhe adresa e destinacionit është e dukshme, kështu që emri shpesh është informacion konfirmues dhe jo sinjali i vetëm.

Ky është rrjedhja specifike që synon ECH. Është një rrjedhje e ngushtë, dhe ngushtimi i saj ia vlen, por nuk është e njëjta gjë me fshehjen e vendit ku shkon trafiku juaj.

Çfarë ndryshon në të vërtetë ECH

Me mbështetje të përputhshme të klientit dhe serverit dhe konfigurimin e nevojshëm, ECH kripton një ClientHello të brendshëm me çelësa të publikuar nga serveri, kështu që një vëzhgues sheh një shtrëngim duarsh të jashtëm që nuk mbart emrin e vërtetë të serverit. Trafiku vazhdon të shkojë në të njëjtën adresë, në të njëjtat orare, në vëllime afërsisht të njëjta. Koha dhe madhësia mbeten të vëzhgueshme, dhe IP-ja e destinacionit nuk ishte kurrë pjesë e asaj që kripton ECH.

As mbështetja nuk është universale. Jo çdo klient, shërbim ose lidhje individuale përdor ECH, dhe nuk mund të nxirrni praninë e tij nga një ikonë dryni ose nga fakti që keni ndryshuar vendin e VPN-it. Diagnostikimi kërkon të shikoni shtrëngimin e duarve, jo dekorimin e shfletuesit.

Çfarë ndryshon në vend të kësaj VPN-i

Një VPN e çon trafikun e mbuluar brenda një tuneli në një pikë fundore, kështu që vëzhguesi më i afërt me ju sheh një lidhje me VPN-in dhe jo me destinacionin. Kjo ndryshon kush mund të vëzhgojë çfarë, dhe ndryshon adresën që sheh destinacioni. Nuk kripton asgjë që aplikacioni nuk e kishte kriptuar tashmë, dhe nuk e fsheh lidhjen nga operatori i VPN-it, i cili për nga ndërtimi është në rrugë.

Të dyja kombinohen natyrshëm: një aplikacion mund të përdorë TLS dhe ECH ndërsa tuneli mbron segmentin e rrjetit përreth. Asnjëri nuk përcakton çfarë mund të shohë ose mbajë secila palë, sepse palët zënë pozicione të ndryshme në rrugë.

Ku hyn DNS

Një pyetës DNS i pambrojtur e zbulon emrin te zgjidhësi dhe te kushdo që vëzhgon atë rrugë, që është një ekspozim i veçantë nga shtrëngimi i duarve TLS. ECH nuk kripton DNS, dhe një VPN e ndryshon identitetin e zgjidhësit vetëm nëse i dërgoni pyetësit edhe përmes tunelit ose përdorni një zgjidhës të kriptuar. Njerëzit aktivizojnë një nga tre dhe supozojnë se dy të tjerët erdhën pas.

Kontrolloni rrugën e zgjidhësit veçmas nga rruga e shtrëngimit të duarve. Ato dështojnë në mënyrë të pavarur dhe konfigurohen në vende të ndryshme.

Si të dini se në cilën shtresë po shikoni

Pyetni çfarë do të zbulonte vëzhgimi. Nëse pyetja është cili emër serveri u kërkua, shtrëngimi i duarve dhe zgjidhësi janë shtresat përkatëse. Nëse pyetja është në cilin rrjet shkoi trafiku dhe kush mund ta shihte gjatë rrugës, ai është tuneli. Nëse pyetja është cili llogari bëri çfarë në faqe, asnjëra nuk ndihmon, sepse faqja vazhdon të marrë kërkesën dhe çdo identitet që keni dhënë.

Mbajini të paprekura verifikimin e certifikatave dhe politikën e DNS ndërsa hetoni përputhshmërinë. Çaktivizimi i një kontrolli që një test të kalojë ndryshon kuptimin e rezultatit në vend që të tregojë çfarë mbron ECH.

Shkruani cilën shtresë keni aktivizuar në të vërtetë përpara se të shtoni një tjetër. Pjesa më e madhe e konfuzionit këtu vjen nga supozimi se një kontroll i vetëm mbulon një kërkesë, emrin e saj, destinacionin e saj dhe identitetin e saj njëherësh.