Hola de cliente cifrado y filtrado SNI: lo que los usuarios de VPN preocupados por su privacidad deben saber
HTTPS protege el contenido de la página, pero no siempre ha ocultado el nombre del sitio al que intenta acceder un navegador. Esa brECHa es importante en las redes Wi-Fi públicas, escuelas, hoteles, lugares de trabajo y redes restrictivas donde el acceso se puede filtrar a través de metadatos de conexión.
Hola de cliente cifrado, o ECH, reduce esa exposición. Protege partes sensibles de TLS ClientHello, incluido el nombre de host que solía ser visible a través de la indicación del nombre del servidor. ECH no es una función de VPN, no hace que los usuarios sean anónimos y no garantiza el acceso. Cierra una importante brECHa de metadatos, mientras que las VPN, los DNS cifrados, la configuración del navegador y los hábitos cuidadosos de las cuentas siguen siendo capas separadas.
La brECHa de privacidad de HTTPS: SNI
Un navegador generalmente busca un dominio a través de DNS y luego inicia un protocolo de enlace TLS. TLS ayuda a cifrar el contenido de la página, contraseñas, mensajes y archivos. Durante muchos años, el nombre de host en ese apretón de manos permaneció visible como SNI. SNI existe porque muchos sitios web comparten una dirección IP y el servidor necesita saber qué certificado presentar.
Ese valor visible de TLS SNI puede revelar qué dominio intenta visitar un dispositivo, incluso cuando el contenido de la página permanece cifrado.
¿Qué hace el filtrado SNI?
El filtrado SNI significa permitir, bloquear o interrumpir conexiones HTTPS según el nombre de host visible en el protocolo de enlace TLS inicial. Un operador de red puede inspeccionar SNI, compararlo con una lista y restablecer o bloquear la conexión sin descifrar la sesión HTTPS completa. Para los usuarios, el resultado puede parecer una vaga falla de conexión.
Qué cambia el saludo del cliente cifrado
Client Hello cifrado cifra el ClientHello interno sensible con una clave pública del servidor. El navegador envía un ClientHello externo menos revelador y un ClientHello interno cifrado que solo la infraestructura del lado del servidor prevista puede leer. El observador puede ver una conexión a la infraestructura de alojamiento, pero no debería ver directamente el nombre de host protegido.
Ese es el valor práctico del saludo de cliente cifrado: reduce la fuga directa de nombres de host durante los protocolos de enlace TLS compatibles. También explica el avance más allá del SNI cifrado. SNI cifrado era la idea anterior de cifrar sólo SNI; ECH protege más ClientHello, incluido SNI y otros parámetros confidenciales.
Lo que ECH no oculta
ECH no es privacidad total. Las consultas de DNS pueden revelar dominios si no se utiliza DNS cifrado. Las direcciones IP permanecen visibles para el enrutamiento. La duración y el volumen del tráfico aún pueden proporcionar pistas. Las cuentas iniciadas, las cookies, las huellas digitales del navegador y el comportamiento de las aplicaciones aún pueden identificar o rastrear a los usuarios. ECH solo funciona cuando el navegador, la ruta DNS y el servicio de destino lo admiten.
Por qué es importante para la resistencia a la censura
El filtrado SNI resultó útil para los censores porque era preciso. Si el nombre de host fuera visible, un filtro podría apuntar a un dominio sin bloquear todos los sitios en la misma dirección IP. ECH puede hacer que ese atajo sea menos confiable cuando es totalmente compatible. Aun así, no derrota la censura por sí sola. Las redes pueden utilizar bloqueo de DNS, bloqueo de IP, controles de puntos finales, análisis de tráfico o bloqueo directo del tráfico relacionado con ECH.
Dónde encaja el uso de VPN
Para los lectores de VPN Satellites, el uso de ECH y VPN responde a diferentes partes del problema de privacidad. ECH reduce la exposición del nombre de host en los protocolos de enlace HTTPS admitidos. Una VPN cambia la ruta del tráfico local enviando tráfico a través de un túnel cifrado a un servidor VPN. Con VPN Unlimited de KeepSolid, la red Wi-Fi local o el ISP generalmente deberían ver una conexión VPN en lugar de conexiones directas separadas a cada sitio.
Una VPN puede resultar útil en redes Wi-Fi públicas, redes de hoteles, redes de campus, apartamentos compartidos y otras redes que no controlas. No lo hace anónimo en los sitios web donde inicia sesión, elimina las cookies, garantiza el acceso a todos los servicios, decide si un sitio web admite ECH o reemplaza la higiene del navegador y el conocimiento de las leyes locales.
Lista de verificación práctica
Mantenga su navegador actualizado
Es más probable que los navegadores modernos incluyan mejoras de privacidad TLS más recientes, aunque la compatibilidad varía según la plataforma y la configuración.
Utilice HTTPS, pero comprenda los metadatos
HTTPS protege el contenido. La privacidad de los metadatos está relacionada pero separada, y SNI fue una de las brECHas que ECH pretende reducir.
Trate el DNS cifrado como parte de la imagen
ECH a menudo depende de los registros DNS. Si el DNS se bloquea, modifica o es visible en texto plano, parte del beneficio de privacidad puede verse debilitado.
Utilice una VPN en redes en las que no confíe
Una VPN es más relevante cuando la red local es la principal preocupación. Puede reducir la visibilidad directa de esa red, pero es una capa, no una solución de privacidad completa.
Prepárate antes de viajar
Instale y pruebe herramientas de privacidad antes de encontrarse en una red restrictiva. Consulte las normas locales, porque este artículo es educación técnica y no asesoramiento legal.
Preguntas frecuentes
¿Es Hola cliente cifrado lo mismo que una VPN?
No. ECH es un mecanismo de privacidad TLS para conexiones HTTPS compatibles. Una VPN enruta el tráfico del dispositivo a través de un túnel cifrado hasta un servidor VPN.
¿ECH detiene todos los filtros SNI?
No. Puede reducir la utilidad del filtrado basado en SNI cuando es compatible, pero las redes pueden utilizar otros métodos de filtrado.
¿Por qué era visible SNI si HTTPS está cifrado?
El servidor necesitaba saber qué certificado presentar antes de que se estableciera completamente la sesión cifrada.
El resultado final
ECH protege una parte de los metadatos web que permaneció expuesta durante demasiado tiempo. La lección práctica es la privacidad en capas: HTTPS protege el contenido, ECH ayuda a proteger el protocolo de enlace, el DNS cifrado reduce la fuga de DNS y una VPN reduce lo que la red local ve sobre la ruta del tráfico.