HTTPS sch\u00fctzt den Seiteninhalt, verbirgt jedoch nicht immer den Namen der Website, die ein Browser erreichen m\u00f6chte. Diese L\u00fccke ist in \u00f6ffentlichen WLANs, in Schulen, Hotels, am Arbeitsplatz und in restriktiven Netzwerken von Bedeutung, in denen der Zugriff \u00fcber Verbindungsmetadaten gefiltert werden kann.<\/p>\n
Encrypted Client Hello (ECH) reduziert dieses Risiko. Es sch\u00fctzt sensible Teile des TLS ClientHello, einschlie\u00dflich des Hostnamens, der fr\u00fcher durch die Angabe des Servernamens sichtbar war. ECH ist keine VPN-Funktion, anonymisiert Benutzer nicht und garantiert keinen Zugriff. Es schlie\u00dft eine wichtige Metadatenl\u00fccke, w\u00e4hrend VPNs, verschl\u00fcsseltes DNS, Browsereinstellungen und sorgf\u00e4ltige Kontogewohnheiten getrennte Ebenen bleiben.<\/p>\n
Ein Browser sucht normalerweise \u00fcber DNS nach einer Dom\u00e4ne und startet dann einen TLS-Handshake. TLS hilft bei der Verschl\u00fcsselung von Seiteninhalten, Passw\u00f6rtern, Nachrichten und Dateien. Der Hostname in diesem Handshake blieb viele Jahre lang als SNI sichtbar. SNI existiert, weil viele Websites eine gemeinsame IP-Adresse haben und der Server wissen muss, welches Zertifikat er vorlegen muss.<\/p>\n
Dieser sichtbare TLS-SNI-Wert kann erkennen, welche Domain ein Ger\u00e4t zu besuchen versucht, selbst wenn der Seiteninhalt verschl\u00fcsselt bleibt.<\/p>\n
SNI-Filterung bedeutet, HTTPS-Verbindungen basierend auf dem im fr\u00fchen TLS-Handshake sichtbaren Hostnamen zuzulassen, zu blockieren oder zu unterbrECHen. Ein Netzwerkbetreiber kann SNI \u00fcberpr\u00fcfen, mit einer Liste vergleichen und die Verbindung zur\u00fccksetzen oder blockieren, ohne die gesamte HTTPS-Sitzung zu entschl\u00fcsseln. F\u00fcr Benutzer kann das Ergebnis wie ein vager Verbindungsfehler aussehen.<\/p>\n
Encrypted Client Hello verschl\u00fcsselt das sensible innere ClientHello mit einem \u00f6ffentlichen Serverschl\u00fcssel. Der Browser sendet ein weniger aufschlussreiches \u00e4u\u00dferes ClientHello und ein verschl\u00fcsseltes inneres ClientHello, das nur die vorgesehene serverseitige Infrastruktur lesen kann. Der Beobachter sieht m\u00f6glicherweise eine Verbindung zur Hosting-Infrastruktur, sollte jedoch nicht direkt den gesch\u00fctzten Hostnamen sehen.<\/p>\n
Das ist der praktische Wert des verschl\u00fcsselten Client-Hello: Es reduziert den direkten Verlust von Hostnamen w\u00e4hrend unterst\u00fctzter TLS-Handshakes. Es erkl\u00e4rt auch den Schritt \u00fcber verschl\u00fcsseltes SNI hinaus. Verschl\u00fcsseltes SNI war die fr\u00fchere Idee, nur SNI zu verschl\u00fcsseln; ECH sch\u00fctzt mehr von ClientHello, einschlie\u00dflich SNI und anderen sensiblen Parametern.<\/p>\n
ECH bedeutet keine absolute Privatsph\u00e4re. DNS-Abfragen k\u00f6nnen Dom\u00e4nen aufdecken, wenn kein verschl\u00fcsseltes DNS verwendet wird. IP-Adressen bleiben f\u00fcr das Routing sichtbar. Zeitpunkt und Verkehrsaufkommen k\u00f6nnen dennoch Hinweise geben. Durch angemeldete Konten, Cookies, Browser-Fingerabdr\u00fccke und App-Verhalten k\u00f6nnen Benutzer weiterhin identifiziert oder verfolgt werden. ECH funktioniert nur, wenn der Browser, der DNS-Pfad und der Zieldienst dies unterst\u00fctzen.<\/p>\n
Die SNI-Filterung wurde f\u00fcr Zensoren n\u00fctzlich, weil sie pr\u00e4zise war. Wenn der Hostname sichtbar w\u00e4re, k\u00f6nnte ein Filter auf eine Domain abzielen, ohne jede Site mit derselben IP-Adresse zu blockieren. ECH kann diese Verkn\u00fcpfung weniger zuverl\u00e4ssig machen, wenn sie vollst\u00e4ndig unterst\u00fctzt wird. Dennoch besiegt es die Zensur nicht allein. Netzwerke k\u00f6nnen DNS-Blockierung, IP-Blockierung, Endpunktkontrollen, Verkehrsanalyse oder direkte Blockierung von ECH-bezogenem Datenverkehr verwenden.<\/p>\n
F\u00fcr Leser von VPN Satelites l\u00f6sen ECH und VPN-Nutzung unterschiedliche Teile des Datenschutzproblems. ECH reduziert die Offenlegung von Hostnamen bei unterst\u00fctzten HTTPS-Handshakes. Ein VPN \u00e4ndert die lokale Verkehrsroute, indem es den Datenverkehr durch einen verschl\u00fcsselten Tunnel an einen VPN-Server sendet. Mit VPN Unlimited von KeepSolid sollte das lokale Wi-Fi-Netzwerk oder der ISP im Allgemeinen eine VPN-Verbindung sehen und keine separaten Direktverbindungen zu jedem Standort.<\/p>\n
Ein VPN kann in \u00f6ffentlichen WLANs, Hotelnetzwerken, Campusnetzwerken, Wohngemeinschaften und anderen Netzwerken, die Sie nicht kontrollieren, n\u00fctzlich sein. Es macht Sie nicht anonym auf Websites, auf denen Sie sich anmelden, entfernt Cookies, garantiert den Zugriff auf alle Dienste, entscheidet nicht, ob eine Website ECH unterst\u00fctzt, und ersetzt nicht die Browserhygiene und das Bewusstsein f\u00fcr lokale Gesetze.<\/p>\n
Moderne Browser verf\u00fcgen eher \u00fcber neuere TLS-Datenschutzverbesserungen, die Unterst\u00fctzung variiert jedoch je nach Plattform und Einstellungen.<\/p>\n
HTTPS sch\u00fctzt Inhalte. Der Metadatenschutz ist zwar verwandt, aber getrennt, und SNI war eine der L\u00fccken, die ECH schlie\u00dfen soll.<\/p>\n
ECH ist h\u00e4ufig auf DNS-Eintr\u00e4ge angewiesen. Wenn DNS blockiert, ge\u00e4ndert oder im Klartext sichtbar ist, kann ein Teil des Datenschutzvorteils geschw\u00e4cht werden.<\/p>\n
Ein VPN ist am relevantesten, wenn das lokale Netzwerk im Mittelpunkt steht. Es kann die direkte Sichtbarkeit dieses Netzwerks verringern, es handelt sich jedoch um eine Ebene und nicht um eine vollst\u00e4ndige Datenschutzl\u00f6sung.<\/p>\n
Installieren und testen Sie Datenschutztools, bevor Sie sich in einem restriktiven Netzwerk befinden. \u00dcberpr\u00fcfen Sie die \u00f6rtlichen Vorschriften, da es sich bei diesem Artikel um eine tECHnische Schulung und nicht um eine RECHtsberatung handelt.<\/p>\n
Nein. ECH ist ein TLS-DatenschutzmECHanismus f\u00fcr unterst\u00fctzte HTTPS-Verbindungen. Ein VPN leitet den Ger\u00e4teverkehr \u00fcber einen verschl\u00fcsselten Tunnel an einen VPN-Server weiter.<\/p>\n
Nein. Es kann den Nutzen der SNI-basierten Filterung verringern, wenn sie unterst\u00fctzt wird, aber Netzwerke k\u00f6nnen andere Filtermethoden verwenden.<\/p>\n
Der Server musste wissen, welches Zertifikat er vorlegen musste, bevor die verschl\u00fcsselte Sitzung vollst\u00e4ndig aufgebaut wurde.<\/p>\n
ECH sch\u00fctzt einen Teil der Web-Metadaten, der zu lange offengelegt wurde. Die praktische Lektion ist mehrschichtiger Datenschutz: HTTPS sch\u00fctzt Inhalte, ECH tr\u00e4gt zum Schutz des Handshakes bei, verschl\u00fcsseltes DNS reduziert DNS-Lecks und ein VPN reduziert, was das lokale Netzwerk \u00fcber die Verkehrsroute sieht.<\/p>\n","protected":false},"excerpt":{"rendered":"
Encrypted Client Hello hilft, einen lange sichtbaren Teil der HTTPS-Metadaten zu verbergen: den Hostnamen im TLS handshake. Hier steht, was ECH \u00e4ndert, was es nicht verbirgt und wie VPN-Nutzer es einordnen sollten.<\/p>\n","protected":false},"author":0,"featured_media":51,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[75,79,77,18,76,78,59],"class_list":["post-50","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-online-privacy","tag-encrypted-client-hello","tag-encrypted-dns","tag-https-privacy","tag-internet-censorship","tag-sni-filtering","tag-tls","tag-vpn-privacy"],"yoast_head":"\n