ECH có thay thế VPN không? Mỗi thứ thực sự che giấu điều gì

Bạn bật Encrypted Client Hello, mở một trang web và kết nối hoạt động. Ai đó hỏi liệu VPN còn cần thiết không, và câu trả lời trung thực là hai tính năng này che giấu những thứ khác nhau khỏi những bên khác nhau. ECH bảo vệ các phần của quá trình bắt tay TLS mà nếu không sẽ có thể tiết lộ tên máy chủ bạn đã yêu cầu. VPN đặt lưu lượng của bạn vào trong một đường hầm kết thúc tại điểm cuối của nhà cung cấp. Nhầm lẫn hai thứ này dẫn đến hoặc trả quá nhiều cho sự bảo vệ bạn đã có, hoặc tin rằng bạn có sự bảo vệ mà bạn chưa từng có.

Quá trình bắt tay tiết lộ gì khi không có ECH

Một kết nối TLS bắt đầu bằng ClientHello, và ở dạng cũ hơn, tên máy chủ dự định truyền đi rõ ràng bên trong nó. Bất kỳ ai ở vị trí quan sát được quá trình bắt tay, từ nhà cung cấp mạng đến một cảm biến thụ động trên một tuyến, đều có thể đọc tên đó mặc dù dữ liệu ứng dụng sau đó đã được mã hóa. Địa chỉ đích cũng hiển thị, nên tên thường là thông tin xác nhận chứ không phải tín hiệu duy nhất.

Đó chính là rò rỉ cụ thể mà ECH nhắm tới. Nó là một rò rỉ hẹp, và thu hẹp nó là đáng làm, nhưng nó không giống với việc che giấu lưu lượng của bạn đi đâu.

ECH thực sự thay đổi điều gì

Với sự hỗ trợ tương thích của máy khách và máy chủ cùng cấu hình cần thiết, ECH mã hóa một ClientHello bên trong bằng các khóa do máy chủ công bố, nên người quan sát thấy một quá trình bắt tay bên ngoài không mang tên máy chủ thật. Lưu lượng vẫn đi đến cùng địa chỉ, vào cùng thời điểm, với khối lượng xấp xỉ như nhau. Thời gian và kích thước vẫn quan sát được, và IP đích chưa bao giờ là phần của những gì ECH mã hóa.

Sự hỗ trợ cũng không phổ quát. Không phải mọi máy khách, dịch vụ hay kết nối riêng lẻ đều dùng ECH, và bạn không thể suy ra sự hiện diện của nó từ biểu tượng ổ khóa hay từ việc đã đổi quốc gia VPN. Chẩn đoán nó đòi hỏi phải nhìn vào quá trình bắt tay, không phải vào đồ trang trí của trình duyệt.

Thay vào đó VPN thay đổi điều gì

VPN đưa lưu lượng đã được che trong một đường hầm đến điểm cuối, nên người quan sát gần bạn nhất thấy một kết nối đến VPN chứ không phải đến đích. Điều đó thay đổi ai có thể quan sát cái gì, và thay đổi địa chỉ mà đích nhìn thấy. Nó không mã hóa bất cứ thứ gì mà ứng dụng chưa mã hóa, và nó không che giấu kết nối khỏi nhà cung cấp VPN, người mà theo cấu trúc nằm trên tuyến.

Hai thứ kết hợp một cách tự nhiên: một ứng dụng có thể dùng TLS và ECH trong khi đường hầm bảo vệ phân đoạn mạng xung quanh. Không cái nào xác lập điều mà mỗi bên có thể thấy hoặc lưu giữ, vì các bên chiếm những vị trí khác nhau trên tuyến.

DNS nằm ở đâu

Một truy vấn DNS không được bảo vệ tiết lộ tên cho bộ phân giải và cho bất kỳ ai quan sát tuyến đó, đây là một sự phơi bày riêng biệt so với quá trình bắt tay TLS. ECH không mã hóa DNS, và VPN chỉ thay đổi danh tính của bộ phân giải nếu bạn cũng gửi truy vấn của mình qua đường hầm hoặc dùng bộ phân giải đã mã hóa. Người ta bật một trong ba thứ và cho rằng hai thứ kia đã theo sau.

Kiểm tra tuyến của bộ phân giải riêng biệt với tuyến của quá trình bắt tay. Chúng thất bại độc lập và được cấu hình ở những nơi khác nhau.

Làm sao biết bạn đang nhìn vào lớp nào

Hãy hỏi quan sát đó sẽ tiết lộ điều gì. Nếu câu hỏi là tên máy chủ nào đã được yêu cầu, thì quá trình bắt tay và bộ phân giải là những lớp liên quan. Nếu câu hỏi là lưu lượng đã đi đến mạng nào và ai có thể thấy nó trên đường, thì đó là đường hầm. Nếu câu hỏi là tài khoản nào đã làm gì trên trang, thì không cái nào giúp được, vì trang web vẫn nhận được yêu cầu và bất kỳ danh tính nào bạn đã cung cấp.

Giữ nguyên việc kiểm tra chứng chỉ và chính sách DNS trong khi bạn điều tra khả năng tương thích. Tắt một bước kiểm tra để một bài kiểm tra vượt qua sẽ thay đổi ý nghĩa của kết quả thay vì cho thấy ECH bảo vệ điều gì.

Hãy ghi lại lớp nào bạn thực sự đã bật trước khi thêm một lớp nữa. Phần lớn sự nhầm lẫn ở đây đến từ việc cho rằng một kiểm soát duy nhất bao trùm một yêu cầu, tên của nó, đích của nó và danh tính của nó cùng một lúc.