Да ли ECH замењује VPN? Шта сваки од њих заиста скрива

Укључите Encrypted Client Hello, отворите сајт и веза ради. Неко пита да ли је VPN још потребан, а искрен одговор је да ове две функције скривају различите ствари од различитих страна. ECH штити делове TLS руковања који иначе могу открити име сервера које сте затражили. VPN ставља ваш саобраћај унутар тунела који се завршава на крајњој тачки оператера. Мешање њих две води или преплаћивању заштите коју већ имате, или веровању да имате заштиту коју никад нисте имали.

Шта руковање открива без ECH

TLS веза почиње поруком ClientHello, а у старијем облику предвиђено име сервера путује отворено унутар ње. Свако ко је у положају да посматра руковање, од мрежног оператера до пасивног сензора на путу, може прочитати то име иако су подаци апликације након тога шифровани. И адреса одредишта је видљива, па је име често потврђујућа информација, а не једини сигнал.

То је конкретно цурење које ECH циља. Оно је уско, и сужавање је вредно труда, али није исто као скривање куда ваш саобраћај иде.

Шта ECH заправо мења

Уз компатибилну подршку клијента и сервера и потребну конфигурацију, ECH шифрује унутрашњи ClientHello кључевима које је сервер објавио, па посматрач види спољашње руковање које не носи право име сервера. Саобраћај и даље иде на исту адресу, у исто време, приближно истим обимом. Време и величина остају уочљиви, а одредишна IP адреса никада није била део онога што ECH шифрује.

Ни подршка није универзална. Не користи сваки клијент, услуга или појединачна веза ECH, и не можете закључити о његовом присуству из иконе катанаца или из тога што сте променили државу VPN-а. Дијагностика захтева поглед на руковање, а не на украс прегледача.

Шта VPN уместо тога мења

VPN преноси покривени саобраћај унутар тунела до крајње тачке, па посматрач најближи вама види везу према VPN-у, а не према одредишту. То мења ко шта може посматрати и мења адресу коју одредиште види. Не шифрује ништа што апликација већ није шифровала и не скрива везу од VPN оператера, који је по конструкцији на путу.

Њих две се природно слажу: апликација може користити TLS и ECH док тунел штити мрежни сегмент око ње. Ниједан не утврђује шта свака страна може видети или задржати, јер стране заузимају различите положаје на путу.

Где се уклапа DNS

Незаштићени DNS упит открива име разрешивачу и свима који посматрају тај пут, што је излагање одвојено од TLS руковања. ECH не шифрује DNS, а VPN мења идентитет разрешивача само ако и своје упите шаљете кроз тунел или користите шифровани разрешивач. Људи укључе једно од троје и претпоставе да су друга два следила.

Проверите пут разрешивача одвојено од пута руковања. Они падају независно и конфигуришу се на различитим местима.

Како препознати на који слој гледате

Питајте шта би посматрање открило. Ако је питање које је име сервера затражено, руковање и разрешивач су релевантни слојеви. Ако је питање на коју је мрежу саобраћај отишао и ко га је могао видети у транзиту, то је тунел. Ако је питање који је налог шта урадио на сајту, ниједан не помаже, јер сајт и даље прима захтев и сваки идентитет који сте доставили.

Држите проверу сертификата и DNS правила нетакнутима док истражујете компатибилност. Искључивање провере да би тест прошао мења значење резултата уместо да покаже шта ECH штити.

Запишите који сте слој заправо укључили пре него што додате још један. Већина забуне овде долази од претпоставке да једна контрола покрива захтев, његово име, његово одредиште и његов идентитет одједном.