ECH bir VPN'in yerini alır mı? Her biri gerçekte neyi saklar

Encrypted Client Hello'yu etkinleştirirsiniz, bir site açarsınız ve bağlantı çalışır. Biri VPN'in hâlâ gerekli olup olmadığını sorar ve dürüst cevap, bu iki özelliğin farklı taraflardan farklı şeyleri sakladığıdır. ECH, aksi hâlde istediğiniz sunucu adını açığa çıkarabilecek TLS el sıkışması bölümlerini korur. VPN trafiğinizi bir operatörün uç noktasında biten bir tünelin içine koyar. İkisini karıştırmak ya zaten sahip olduğunuz koruma için fazla ödemeye ya da hiç sahip olmadığınız bir korumaya sahip olduğunuza inanmaya yol açar.

El sıkışma ECH olmadan neyi açığa çıkarır

Bir TLS bağlantısı ClientHello ile başlar ve eski biçimde amaçlanan sunucu adı bunun içinde açık olarak yol alır. El sıkışmayı gözlemleyebilecek konumdaki herkes, bir ağ operatöründen yoldaki pasif bir sensöre kadar, sonrasında uygulama verileri şifreli olsa bile o adı okuyabilir. Hedef adres de görünür, bu yüzden ad çoğu zaman tek sinyal değil doğrulayıcı bilgidir.

Bu, ECH'nin hedeflediği belirli sızıntıdır. Dar bir sızıntıdır ve daraltmak zahmete değer, ancak trafiğinizin nereye gittiğini saklamakla aynı şey değildir.

ECH gerçekte neyi değiştirir

Uyumlu istemci ve sunucu desteği ile gerekli yapılandırma olduğunda, ECH sunucunun yayımladığı anahtarlarla bir iç ClientHello'yu şifreler, böylece bir gözlemci gerçek sunucu adını taşımayan bir dış el sıkışma görür. Trafik hâlâ aynı adrese, aynı zamanlarda, yaklaşık aynı hacimlerde gider. Zamanlama ve boyut gözlemlenebilir kalır ve hedef IP hiçbir zaman ECH'nin şifrelediği şeyin parçası olmadı.

Destek de evrensel değildir. Her istemci, hizmet veya tek tek bağlantı ECH kullanmaz ve varlığını bir asma kilit simgesinden ya da VPN ülkenizi değiştirmiş olmanızdan çıkaramazsınız. Teşhis etmek için el sıkışmaya bakmak gerekir, tarayıcının süsüne değil.

Bunun yerine VPN neyi değiştirir

VPN örtülü trafiği tünelin içinde uç noktaya taşır, bu yüzden size en yakın gözlemci hedefe değil VPN'e bir bağlantı görür. Bu, kimin neyi gözlemleyebileceğini değiştirir ve hedefin gördüğü adresi değiştirir. Uygulamanın zaten şifrelemediği hiçbir şeyi şifrelemez ve bağlantıyı, yapısı gereği yolda olan VPN operatöründen saklamaz.

İkisi doğal olarak birleşir: bir uygulama TLS ve ECH kullanabilir, tünel ise çevresindeki ağ kesimini korur. Hiçbiri her tarafın neyi görebileceğini ya da saklayabileceğini belirlemez, çünkü taraflar yolda farklı konumlarda bulunur.

DNS nereye oturur

Korumasız bir DNS sorgusu adı çözümleyiciye ve o yolu gözleyen herkese açığa çıkarır, bu da TLS el sıkışmasından ayrı bir maruziyettir. ECH DNS'i şifrelemez ve VPN çözümleyicinin kimliğini yalnızca sorgularınızı da tünelden gönderirseniz veya şifreli bir çözümleyici kullanırsanız değiştirir. İnsanlar üçünden birini etkinleştirir ve diğer ikisinin de ardından geldiğini varsayar.

Çözümleyici yolunu el sıkışma yolundan ayrı olarak denetleyin. Bağımsız olarak başarısız olurlar ve farklı yerlerde yapılandırılırlar.

Hangi katmana baktığınızı nasıl anlarsınız

Gözlemin neyi açığa çıkaracağını sorun. Soru hangi sunucu adının istendiğiyse, el sıkışma ve çözümleyici ilgili katmanlardır. Soru trafiğin hangi ağa gittiği ve yolda kimin görebildiğiyse, bu tüneldir. Soru sitede hangi hesabın ne yaptığıysa, hiçbiri yardımcı olmaz, çünkü site hâlâ isteği ve sağladığınız her kimliği alır.

Uyumluluğu araştırırken sertifika doğrulamasını ve DNS ilkesini bozulmamış tutun. Bir testi geçirmek için denetimi kapatmak, ECH'nin neyi koruduğunu göstermek yerine sonucun anlamını değiştirir.

Bir katman daha eklemeden önce gerçekte hangi katmanı etkinleştirdiğinizi yazın. Buradaki karışıklığın çoğu, tek bir denetimin bir isteği, adını, hedefini ve kimliğini aynı anda kapsadığı varsayımından gelir.