Client crittografato Hello e filtro SNI: cosa dovrebbero sapere gli utenti VPN attenti alla privacy

HTTPS protegge il contenuto della pagina, ma non sempre nasconde il nome del sito che un browser sta tentando di raggiungere. Questo divario è importante per Wi-Fi pubblici, scuole, hotel, luoghi di lavoro e reti restrittive in cui l’accesso può essere filtrato tramite metadati di connessione.

Il client crittografato Hello, o ECH, riduce tale esposizione. Protegge le parti sensibili di TLS ClientHello, incluso il nome host che era visibile tramite l’indicazione del nome del server. ECH non è una funzionalità VPN, non rende anonimi gli utenti e non garantisce l’accesso. Colma un’importante lacuna nei metadati mentre VPN, DNS crittografati, impostazioni del browser e abitudini attente agli account rimangono livelli separati.

Il divario nella privacy HTTPS: SNI

Un browser solitamente cerca un dominio tramite DNS e quindi avvia un handshake TLS. TLS aiuta a crittografare il contenuto della pagina, le password, i messaggi e i file. Per molti anni, il nome host in quella stretta di mano è rimasto visibile come SNI. SNI esiste perché molti siti Web condividono un indirizzo IP e il server deve sapere quale certificato presentare.

Quel valore SNI TLS visibile può rivelare quale dominio un dispositivo sta tentando di visitare, anche quando il contenuto della pagina rimane crittografato.

Cosa fa il filtraggio SNI

Il filtraggio SNI significa consentire, bloccare o interrompere le connessioni HTTPS in base al nome host visibile nel primo handshake TLS. Un operatore di rete può ispezionare SNI, confrontarlo con un elenco e reimpostare o bloccare la connessione senza decrittografare l’intera sessione HTTPS. Per gli utenti, il risultato potrebbe sembrare un vago errore di connessione.

Cosa cambia il client crittografato Hello

ClientHello crittografato crittografa il ClientHello interno sensibile con una chiave pubblica del server. Il browser invia un ClientHello esterno meno rivelatore e un ClientHello interno crittografato che solo l’infrastruttura lato server prevista può leggere. L’osservatore può vedere una connessione all’infrastruttura di hosting, ma non dovrebbe vedere direttamente il nome host protetto.

Questo è il valore pratico del client hello crittografato: riduce la fuga diretta del nome host durante gli handshake TLS supportati. Spiega anche il passaggio oltre lo SNI crittografato. L’SNI crittografato era l’idea precedente di crittografare solo SNI; ECH protegge maggiormente ClientHello, inclusi SNI e altri parametri sensibili.

Cosa non nasconde l’ECH

ECH non è privacy totale. Le query DNS possono rivelare domini se non viene utilizzato il DNS crittografato. Gli indirizzi IP rimangono visibili per il routing. I tempi e il volume del traffico possono ancora fornire indizi. Gli account che hanno effettuato l’accesso, i cookie, le impronte digitali del browser e il comportamento delle app possono comunque identificare o tracciare gli utenti. ECH funziona solo quando il browser, il percorso DNS e il servizio di destinazione lo supportano.

Perché è importante per la resistenza alla censura

Il filtraggio SNI è diventato utile ai censori perché era preciso. Se il nome host fosse visibile, un filtro potrebbe prendere di mira un dominio senza bloccare tutti i siti con lo stesso indirizzo IP. ECH può rendere questa scorciatoia meno affidabile quando è completamente supportata. Tuttavia, da solo non sconfigge la censura. Le reti possono utilizzare il blocco DNS, il blocco IP, i controlli degli endpoint, l’analisi del traffico o il blocco diretto del traffico relativo a ECH.

Dove si adatta l’uso della VPN

Per i lettori di VPN Satelites, l’uso di ECH e VPN risponde a diverse parti del problema della privacy. ECH riduce l’esposizione del nome host negli handshake HTTPS supportati. Una VPN modifica il percorso del traffico locale inviando il traffico attraverso un tunnel crittografato a un server VPN. Con VPN Unlimited di KeepSolid, la rete Wi-Fi locale o l’ISP dovrebbero generalmente vedere una connessione VPN anziché connessioni dirette separate a ciascun sito.

Una VPN può essere utile su Wi-Fi pubblici, reti di hotel, reti di campus, appartamenti condivisi e altre reti che non controlli. Non ti rende anonimo rispetto ai siti Web in cui accedi, non rimuove i cookie, non garantisce l’accesso a tutti i servizi, non decide se un sito Web supporta ECH o non sostituisce l’igiene del browser e la consapevolezza delle leggi locali.

Lista di controllo pratica

Mantieni aggiornato il tuo browser

È più probabile che i browser moderni includano i nuovi miglioramenti della privacy TLS, sebbene il supporto vari in base alla piattaforma e alle impostazioni.

Usa HTTPS, ma comprendi i metadati

HTTPS protegge i contenuti. La privacy dei metadati è correlata ma separata e SNI è stata una delle lacune che ECH intende ridurre.

Tratta il DNS crittografato come parte del quadro

L’ECH spesso dipende dai record DNS. Se il DNS viene bloccato, modificato o visibile in testo normale, parte del vantaggio in termini di privacy potrebbe essere indebolito.

Usa una VPN su reti di cui non ti fidi

Una VPN è particolarmente rilevante quando la preoccupazione principale è la rete locale. Può ridurre la visibilità diretta per quella rete, ma è un livello, non una soluzione completa per la privacy.

Preparati prima del viaggio

Installa e testa gli strumenti per la privacy prima di utilizzare una rete restrittiva. Controlla le regole locali, perché questo articolo è formazione tecnica e non consulenza legale.

Domande frequenti

Il client crittografato Hello è uguale a una VPN?

No. ECH è un meccanismo di privacy TLS per le connessioni HTTPS supportate. Una VPN instrada il traffico del dispositivo attraverso un tunnel crittografato verso un server VPN.

L’ECH interrompe tutti i filtri SNI?

No. Può ridurre l’utilità del filtro basato su SNI quando supportato, ma le reti possono utilizzare altri metodi di filtro.

Perché SNI era visibile se HTTPS è crittografato?

Il server doveva sapere quale certificato presentare prima che la sessione crittografata fosse completamente stabilita.

Il risultato finale

ECH protegge un pezzo di metadati web rimasto esposto per troppo tempo. La lezione pratica è la privacy a più livelli: HTTPS protegge i contenuti, ECH aiuta a proteggere l’handshake, il DNS crittografato riduce le perdite DNS e una VPN riduce ciò che la rete locale vede sul percorso del traffico.