HTTPS beschermt de pagina-inhoud, maar verbergt niet altijd de sitenaam die een browser probeert te bereiken. Die kloof is van belang op openbare wifi-, school-, hotel-, werkplek- en beperkende netwerken waar de toegang kan worden gefilterd via metagegevens van verbindingen.<\/p>\n
Encrypted Client Hello, of ECH, vermindert die blootstelling. Het beschermt gevoelige delen van TLS ClientHello, inclusief de hostnaam die vroeger zichtbaar was via servernaamaanduiding. ECH is geen VPN-functie, maakt gebruikers niet anoniem en garandeert geen toegang. Het dicht een belangrijke leemte in de metagegevens, terwijl VPN’s, gecodeerde DNS, browserinstellingen en zorgvuldige accountgewoonten afzonderlijke lagen blijven.<\/p>\n
Een browser zoekt doorgaans een domein op via DNS en start vervolgens een TLS-handshake. TLS helpt bij het coderen van pagina-inhoud, wachtwoorden, berichten en bestanden. Jarenlang bleef de hostnaam in die handdruk zichtbaar als SNI. SNI bestaat omdat veel websites \u00e9\u00e9n IP-adres delen en de server moet weten welk certificaat moet worden gepresenteerd.<\/p>\n
Die zichtbare TLS SNI-waarde kan onthullen welk domein een apparaat probeert te bezoeken, zelfs als de pagina-inhoud gecodeerd blijft.<\/p>\n
SNI-filtering betekent het toestaan, blokkeren of onderbreken van HTTPS-verbindingen op basis van de hostnaam die zichtbaar is in de vroege TLS-handshake. Een netwerkoperator kan SNI inspecteren, vergelijken met een lijst en de verbinding resetten of blokkeren zonder de volledige HTTPS-sessie te decoderen. Voor gebruikers kan het resultaat lijken op een vage verbindingsfout.<\/p>\n
Gecodeerde Client Hello codeert de gevoelige innerlijke ClientHello met een openbare serversleutel. De browser verzendt een minder onthullende externe ClientHello en een gecodeerde interne ClientHello die alleen de beoogde serverinfrastructuur kan lezen. De waarnemer ziet mogelijk een verbinding met de hostinginfrastructuur, maar mag niet direct de beschermde hostnaam zien.<\/p>\n
Dat is de praktische waarde van gecodeerde client hello: het vermindert het directe lekken van hostnamen tijdens ondersteunde TLS-handshakes. Het verklaart ook de stap verder dan gecodeerde SNI. Gecodeerde SNI was het eerdere idee om alleen SNI te coderen; ECH beschermt meer van ClientHello, inclusief SNI en andere gevoelige parameters.<\/p>\n
ECH is geen totale privacy. DNS-query’s kunnen domeinen onthullen als er geen gecodeerde DNS wordt gebruikt. IP-adressen blijven zichtbaar voor routering. De timing en het volume van het verkeer kunnen nog steeds aanwijzingen geven. Ingelogde accounts, cookies, browservingerafdrukken en app-gedrag kunnen nog steeds gebruikers identificeren of volgen. ECH werkt alleen als de browser, het DNS-pad en de bestemmingsservice dit ondersteunen.<\/p>\n
SNI-filtering werd nuttig voor censuur omdat het nauwkeurig was. Als de hostnaam zichtbaar was, kon een filter zich op een domein richten zonder elke site op hetzelfde IP-adres te blokkeren. ECH kan die snelkoppeling minder betrouwbaar maken als deze volledig wordt ondersteund. Toch verslaat het de censuur op zichzelf niet. Netwerken kunnen DNS-blokkering, IP-blokkering, eindpuntcontroles, verkeersanalyse of directe blokkering van ECH-gerelateerd verkeer gebruiken.<\/p>\n
Voor VPN Satelliet-lezers beantwoorden ECH en VPN-gebruik verschillende delen van het privacyprobleem. ECH vermindert de blootstelling aan hostnamen in ondersteunde HTTPS-handshakes. Een VPN verandert de lokale verkeersroute door verkeer via een gecodeerde tunnel naar een VPN-server te sturen. Met VPN Unlimited van KeepSolid zou het lokale Wi-Fi-netwerk of de ISP over het algemeen een VPN-verbinding moeten zien in plaats van afzonderlijke directe verbindingen met elke site.<\/p>\n
Een VPN kan handig zijn op openbare wifi-netwerken, hotelnetwerken, campusnetwerken, gedeelde appartementen en andere netwerken waar u geen controle over heeft. Het maakt u niet anoniem voor websites waarop u inlogt, cookies verwijdert, toegang tot elke dienst garandeert, beslist of een website ECH ondersteunt, of browserhygi\u00ebne en lokale wetgeving vervangt.<\/p>\n
Moderne browsers bevatten waarschijnlijk nieuwere TLS-privacyverbeteringen, hoewel de ondersteuning per platform en instellingen varieert.<\/p>\n
HTTPS beschermt inhoud. Metadataprivacy is gerelateerd maar gescheiden, en SNI was een van de hiaten die ECH moet verkleinen.<\/p>\n
ECH is vaak afhankelijk van DNS-records. Als DNS wordt geblokkeerd, gewijzigd of zichtbaar is in platte tekst, kan een deel van het privacyvoordeel worden verzwakt.<\/p>\n
Een VPN is het meest relevant wanneer het lokale netwerk de grootste zorg is. Het kan de directe zichtbaarheid voor dat netwerk verminderen, maar het is \u00e9\u00e9n laag en geen volledige privacyoplossing.<\/p>\n
Installeer en test privacytools voordat u zich op een beperkend netwerk bevindt. Controleer de lokale regels, want dit artikel is tECHnisch onderwijs en geen juridisch advies.<\/p>\n
Nee. ECH is een TLS-privacymECHanisme voor ondersteunde HTTPS-verbindingen. Een VPN leidt apparaatverkeer via een gecodeerde tunnel naar een VPN-server.<\/p>\n
Nee. Het kan het nut van op SNI gebaseerde filtering verminderen als het wordt ondersteund, maar netwerken kunnen andere filtermethoden gebruiken.<\/p>\n
De server moest weten welk certificaat hij moest presenteren voordat de gecodeerde sessie volledig tot stand was gebracht.<\/p>\n
ECH beschermt een stukje webmetagegevens dat te lang zichtbaar is gebleven. De praktische les is gelaagde privacy: HTTPS beschermt inhoud, ECH helpt de handshake te beschermen, gecodeerde DNS vermindert DNS-lekken en een VPN vermindert wat het lokale netwerk ziet over de verkeersroute.<\/p>\n","protected":false},"excerpt":{"rendered":"
Encrypted Client Hello helpt een lang zichtbare laag HTTPS-metadata te verbergen: de hostname die tijdens de TLS handshake wordt verzonden. Dit is wat ECH verandert, wat het niet verbergt en hoe VPN-gebruikers het moeten plaatsen.<\/p>\n","protected":false},"author":0,"featured_media":51,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[75,79,77,18,76,78,59],"class_list":["post-50","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-online-privacy","tag-encrypted-client-hello","tag-encrypted-dns","tag-https-privacy","tag-internet-censorship","tag-sni-filtering","tag-tls","tag-vpn-privacy"],"yoast_head":"\n