Pinapalitan ba ng ECH ang isang VPN? Ano ang Tunay na Itinatago ng Bawat Isa

Pinagana mo ang Encrypted Client Hello, binuksan ang isang site, at gumagana ang koneksyon. May nagtatanong kung kailangan pa ang VPN, at ang tapat na sagot ay nagtatago ang dalawang feature na ito ng magkaibang bagay sa magkaibang partido. Pinoprotektahan ng ECH ang mga bahagi ng TLS handshake na kung hindi ay maaaring magbunyag ng pangalan ng server na hiniling mo. Inilalagay ng VPN ang iyong trapiko sa loob ng isang tunnel na nagtatapos sa endpoint ng isang operator. Ang pagkalito sa dalawa ay nagdadala sa alinman sa sobrang pagbabayad para sa proteksyong mayroon ka na, o sa paniniwalang mayroon kang proteksyong hindi mo kailanman naging.

Ano ang ibinubunyag ng handshake nang walang ECH

Nagsisimula ang koneksyon ng TLS sa isang ClientHello, at sa mas lumang anyo ay naglalakbay nang hayag ang nilalayong pangalan ng server sa loob nito. Sinuman ang nasa posisyon na obserbahan ang handshake, mula sa operator ng network hanggang sa isang passive sensor sa isang landas, ay mababasa ang pangalang iyon kahit naka-encrypt ang data ng aplikasyon pagkatapos. Nakikita rin ang address ng destinasyon, kaya ang pangalan ay madalas na impormasyong nagpapatibay sa halip na ang tanging senyales.

Iyon ang partikular na pagtagas na pinupuntirya ng ECH. Ito ay makitid na pagtagas, at sulit na paliitin ito, ngunit hindi ito katulad ng pagtatago kung saan pupunta ang iyong trapiko.

Ano ang aktwal na binabago ng ECH

Sa tugmang suporta ng client at server at ang kinakailangang configuration, ini-encrypt ng ECH ang isang panloob na ClientHello gamit ang mga key na inilathala ng server, kaya nakikita ng observer ang isang panlabas na handshake na hindi nagdadala ng tunay na pangalan ng server. Ang trapiko ay patuloy pa ring pumupunta sa parehong address, sa parehong mga oras, sa halos parehong dami. Nananatiling nakikita ang oras at laki, at ang IP ng destinasyon ay hindi kailanman naging bahagi ng ini-encrypt ng ECH.

Ang suporta ay hindi rin pangkalahatan. Hindi lahat ng client, serbisyo o indibidwal na koneksyon ay gumagamit ng ECH, at hindi mo maaaring hinuha ang presensya nito mula sa isang icon ng kandado o mula sa pagpapalit ng bansa ng VPN. Ang pag-diagnose nito ay nangangailangan ng pagtingin sa handshake, hindi sa dekorasyon ng browser.

Ano ang binabago ng VPN sa halip

Dinadala ng VPN ang natatakpang trapiko sa loob ng tunnel patungo sa endpoint, kaya ang pinakamalapit na observer sa iyo ay nakakakita ng koneksyon sa VPN sa halip na sa destinasyon. Binabago nito kung sino ang makakapag-obserba ng ano, at binabago nito ang address na nakikita ng destinasyon. Hindi nito ini-encrypt ang anumang bagay na hindi pa na-encrypt ng aplikasyon, at hindi nito itinatago ang koneksyon mula sa operator ng VPN, na ayon sa konstruksyon ay nasa landas.

Ang dalawa ay natural na nagsasama: ang isang aplikasyon ay maaaring gumamit ng TLS at ECH habang pinoprotektahan ng tunnel ang network segment sa paligid nito. Ni isa sa kanila ay hindi nagtatakda kung ano ang makikita o maitatago ng bawat partido, dahil ang mga partido ay sumasakop sa magkaibang posisyon sa landas.

Saan umaangkop ang DNS

Ang isang hindi protektadong query ng DNS ay nagbubunyag ng pangalan sa resolver at sa sinumang nagmamasid sa landas na iyon, na isang hiwalay na paglantad mula sa TLS handshake. Hindi ini-encrypt ng ECH ang DNS, at binabago lamang ng VPN ang pagkakakilanlan ng resolver kung ipinapadala mo rin ang iyong mga query sa pamamagitan ng tunnel o gumagamit ka ng naka-encrypt na resolver. Ang mga tao ay nagpapagana ng isa sa tatlo at ipinapalagay na ang dalawa pa ay sumunod.

Suriin ang landas ng resolver nang hiwalay sa landas ng handshake. Nabigo sila nang malaya at naka-configure sila sa magkaibang lugar.

Paano malalaman kung aling layer ang tinitingnan mo

Itanong kung ano ang ibubunyag ng obserbasyon. Kung ang tanong ay kung aling pangalan ng server ang hiniling, ang handshake at ang resolver ang mga kaugnay na layer. Kung ang tanong ay kung aling network napunta ang trapiko at sino ang makakakita nito habang nasa daan, iyon ay ang tunnel. Kung ang tanong ay kung aling account ang gumawa ng ano sa site, walang makakatulong sa dalawa, dahil natatanggap pa rin ng website ang kahilingan at anumang pagkakakilanlang ibinigay mo.

Panatilihing buo ang pagpapatunay ng sertipiko at patakaran ng DNS habang sinusuri mo ang pagiging tugma. Ang pag-disable ng isang pagsusuri upang pumasa ang isang pagsubok ay nagbabago sa kahulugan ng resulta sa halip na ipakita kung ano ang pinoprotektahan ng ECH.

Isulat kung aling layer ang aktwal mong pinagana bago magdagdag ng isa pa. Karamihan ng kalituhan dito ay nagmumula sa pag-aakalang ang isang kontrol ay sumasaklaw sa isang kahilingan, ang pangalan nito, ang destinasyon nito at ang pagkakakilanlan nito nang sabay.