Verschlüsselter Client-Hello und SNI-Filterung: Was datenschutzbewusste VPN-Benutzer wissen sollten

HTTPS schützt den Seiteninhalt, verbirgt jedoch nicht immer den Namen der Website, die ein Browser erreichen möchte. Diese Lücke ist in öffentlichen WLANs, in Schulen, Hotels, am Arbeitsplatz und in restriktiven Netzwerken von Bedeutung, in denen der Zugriff über Verbindungsmetadaten gefiltert werden kann.

Encrypted Client Hello (ECH) reduziert dieses Risiko. Es schützt sensible Teile des TLS ClientHello, einschließlich des Hostnamens, der früher durch die Angabe des Servernamens sichtbar war. ECH ist keine VPN-Funktion, anonymisiert Benutzer nicht und garantiert keinen Zugriff. Es schließt eine wichtige Metadatenlücke, während VPNs, verschlüsseltes DNS, Browsereinstellungen und sorgfältige Kontogewohnheiten getrennte Ebenen bleiben.

Die HTTPS-Datenschutzlücke: SNI

Ein Browser sucht normalerweise über DNS nach einer Domäne und startet dann einen TLS-Handshake. TLS hilft bei der Verschlüsselung von Seiteninhalten, Passwörtern, Nachrichten und Dateien. Der Hostname in diesem Handshake blieb viele Jahre lang als SNI sichtbar. SNI existiert, weil viele Websites eine gemeinsame IP-Adresse haben und der Server wissen muss, welches Zertifikat er vorlegen muss.

Dieser sichtbare TLS-SNI-Wert kann erkennen, welche Domain ein Gerät zu besuchen versucht, selbst wenn der Seiteninhalt verschlüsselt bleibt.

Was SNI-Filterung bewirkt

SNI-Filterung bedeutet, HTTPS-Verbindungen basierend auf dem im frühen TLS-Handshake sichtbaren Hostnamen zuzulassen, zu blockieren oder zu unterbrECHen. Ein Netzwerkbetreiber kann SNI überprüfen, mit einer Liste vergleichen und die Verbindung zurücksetzen oder blockieren, ohne die gesamte HTTPS-Sitzung zu entschlüsseln. Für Benutzer kann das Ergebnis wie ein vager Verbindungsfehler aussehen.

Welche Änderungen hat der verschlüsselte Client Hello?

Encrypted Client Hello verschlüsselt das sensible innere ClientHello mit einem öffentlichen Serverschlüssel. Der Browser sendet ein weniger aufschlussreiches äußeres ClientHello und ein verschlüsseltes inneres ClientHello, das nur die vorgesehene serverseitige Infrastruktur lesen kann. Der Beobachter sieht möglicherweise eine Verbindung zur Hosting-Infrastruktur, sollte jedoch nicht direkt den geschützten Hostnamen sehen.

Das ist der praktische Wert des verschlüsselten Client-Hello: Es reduziert den direkten Verlust von Hostnamen während unterstützter TLS-Handshakes. Es erklärt auch den Schritt über verschlüsseltes SNI hinaus. Verschlüsseltes SNI war die frühere Idee, nur SNI zu verschlüsseln; ECH schützt mehr von ClientHello, einschließlich SNI und anderen sensiblen Parametern.

Was ECH nicht verbirgt

ECH bedeutet keine absolute Privatsphäre. DNS-Abfragen können Domänen aufdecken, wenn kein verschlüsseltes DNS verwendet wird. IP-Adressen bleiben für das Routing sichtbar. Zeitpunkt und Verkehrsaufkommen können dennoch Hinweise geben. Durch angemeldete Konten, Cookies, Browser-Fingerabdrücke und App-Verhalten können Benutzer weiterhin identifiziert oder verfolgt werden. ECH funktioniert nur, wenn der Browser, der DNS-Pfad und der Zieldienst dies unterstützen.

Warum es für den Zensurwiderstand wichtig ist

Die SNI-Filterung wurde für Zensoren nützlich, weil sie präzise war. Wenn der Hostname sichtbar wäre, könnte ein Filter auf eine Domain abzielen, ohne jede Site mit derselben IP-Adresse zu blockieren. ECH kann diese Verknüpfung weniger zuverlässig machen, wenn sie vollständig unterstützt wird. Dennoch besiegt es die Zensur nicht allein. Netzwerke können DNS-Blockierung, IP-Blockierung, Endpunktkontrollen, Verkehrsanalyse oder direkte Blockierung von ECH-bezogenem Datenverkehr verwenden.

Wo die VPN-Nutzung passt

Für Leser von VPN Satelites lösen ECH und VPN-Nutzung unterschiedliche Teile des Datenschutzproblems. ECH reduziert die Offenlegung von Hostnamen bei unterstützten HTTPS-Handshakes. Ein VPN ändert die lokale Verkehrsroute, indem es den Datenverkehr durch einen verschlüsselten Tunnel an einen VPN-Server sendet. Mit VPN Unlimited von KeepSolid sollte das lokale Wi-Fi-Netzwerk oder der ISP im Allgemeinen eine VPN-Verbindung sehen und keine separaten Direktverbindungen zu jedem Standort.

Ein VPN kann in öffentlichen WLANs, Hotelnetzwerken, Campusnetzwerken, Wohngemeinschaften und anderen Netzwerken, die Sie nicht kontrollieren, nützlich sein. Es macht Sie nicht anonym auf Websites, auf denen Sie sich anmelden, entfernt Cookies, garantiert den Zugriff auf alle Dienste, entscheidet nicht, ob eine Website ECH unterstützt, und ersetzt nicht die Browserhygiene und das Bewusstsein für lokale Gesetze.

Praktische Checkliste

Halten Sie Ihren Browser auf dem neuesten Stand

Moderne Browser verfügen eher über neuere TLS-Datenschutzverbesserungen, die Unterstützung variiert jedoch je nach Plattform und Einstellungen.

Verwenden Sie HTTPS, aber verstehen Sie Metadaten

HTTPS schützt Inhalte. Der Metadatenschutz ist zwar verwandt, aber getrennt, und SNI war eine der Lücken, die ECH schließen soll.

Behandeln Sie verschlüsseltes DNS als Teil des Bildes

ECH ist häufig auf DNS-Einträge angewiesen. Wenn DNS blockiert, geändert oder im Klartext sichtbar ist, kann ein Teil des Datenschutzvorteils geschwächt werden.

Verwenden Sie ein VPN in Netzwerken, denen Sie nicht vertrauen

Ein VPN ist am relevantesten, wenn das lokale Netzwerk im Mittelpunkt steht. Es kann die direkte Sichtbarkeit dieses Netzwerks verringern, es handelt sich jedoch um eine Ebene und nicht um eine vollständige Datenschutzlösung.

Bereiten Sie sich vor der Reise vor

Installieren und testen Sie Datenschutztools, bevor Sie sich in einem restriktiven Netzwerk befinden. Überprüfen Sie die örtlichen Vorschriften, da es sich bei diesem Artikel um eine tECHnische Schulung und nicht um eine RECHtsberatung handelt.

FAQ

Ist Encrypted Client Hello dasselbe wie ein VPN?

Nein. ECH ist ein TLS-DatenschutzmECHanismus für unterstützte HTTPS-Verbindungen. Ein VPN leitet den Geräteverkehr über einen verschlüsselten Tunnel an einen VPN-Server weiter.

Stoppt ECH die gesamte SNI-Filterung?

Nein. Es kann den Nutzen der SNI-basierten Filterung verringern, wenn sie unterstützt wird, aber Netzwerke können andere Filtermethoden verwenden.

Warum war SNI sichtbar, wenn HTTPS verschlüsselt ist?

Der Server musste wissen, welches Zertifikat er vorlegen musste, bevor die verschlüsselte Sitzung vollständig aufgebaut wurde.

Das Fazit

ECH schützt einen Teil der Web-Metadaten, der zu lange offengelegt wurde. Die praktische Lektion ist mehrschichtiger Datenschutz: HTTPS schützt Inhalte, ECH trägt zum Schutz des Handshakes bei, verschlüsseltes DNS reduziert DNS-Lecks und ein VPN reduziert, was das lokale Netzwerk über die Verkehrsroute sieht.