Cliente criptografado Hello e filtragem SNI: o que os usuários de VPN preocupados com a privacidade devem saber
O HTTPS protege o conteúdo da página, mas nem sempre oculta o nome do site que um navegador está tentando acessar. Essa lacuna é importante em redes Wi-Fi públicas, escolas, hotéis, locais de trabalho e redes restritivas onde o acesso pode ser filtrado por meio de metadados de conexão.
Cliente criptografado Hello, ou ECH, reduz essa exposição. Ele protege partes confidenciais do TLS ClientHello, incluindo o nome do host que costumava ser visível através da indicação do nome do servidor. ECH não é um recurso VPN, não torna os usuários anônimos e não garante acesso. Ele preenche uma lacuna importante de metadados, enquanto VPNs, DNS criptografado, configurações do navegador e hábitos cuidadosos de conta permanecem em camadas separadas.
A lacuna de privacidade HTTPS: SNI
Um navegador geralmente procura um domínio por meio de DNS e, em seguida, inicia um handshake TLS. O TLS ajuda a criptografar o conteúdo da página, senhas, mensagens e arquivos. Por muitos anos, o nome do host nesse handshake permaneceu visível como SNI. O SNI existe porque muitos sites compartilham um endereço IP e o servidor precisa saber qual certificado apresentar.
Esse valor TLS SNI visível pode revelar qual domínio um dispositivo está tentando visitar, mesmo quando o conteúdo da página permanece criptografado.
O que a filtragem SNI faz
A filtragem SNI significa permitir, bloquear ou interromper conexões HTTPS com base no nome do host visível no handshake TLS inicial. Um operador de rede pode inspecionar o SNI, compará-lo com uma lista e redefinir ou bloquear a conexão sem descriptografar a sessão HTTPS completa. Para os usuários, o resultado pode parecer uma vaga falha de conexão.
O que o cliente criptografado Hello muda
O Client Hello criptografado criptografa o ClientHello interno sensível com uma chave pública do servidor. O navegador envia um ClientHello externo menos revelador e um ClientHello interno criptografado que somente a infraestrutura pretendida do lado do servidor pode ler. O observador pode ver uma conexão com a infraestrutura de hospedagem, mas não deve ver diretamente o nome do host protegido.
Esse é o valor prático do client hello criptografado: ele reduz o vazamento direto do nome do host durante handshakes TLS suportados. Também explica a mudança além do SNI criptografado. SNI criptografado foi a ideia anterior de criptografar apenas SNI; ECH protege mais ClientHello, incluindo SNI e outros parâmetros confidenciais.
O que a ECH não esconde
ECH não é privacidade total. As consultas DNS podem revelar domínios se o DNS criptografado não for usado. Os endereços IP permanecem visíveis para roteamento. O tempo e o volume do tráfego ainda podem fornecer pistas. Contas conectadas, cookies, impressões digitais do navegador e comportamento do aplicativo ainda podem identificar ou rastrear usuários. O ECH só funciona quando o navegador, o caminho DNS e o serviço de destino o suportam.
Por que é importante para a resistência à censura
A filtragem SNI tornou-se útil para os censores porque era precisa. Se o nome do host estivesse visível, um filtro poderia direcionar um domínio sem bloquear todos os sites no mesmo endereço IP. A ECH pode tornar esse atalho menos confiável quando é totalmente suportado. Ainda assim, não derrota a censura por si só. As redes podem usar bloqueio de DNS, bloqueio de IP, controles de endpoint, análise de tráfego ou bloqueio direto de tráfego relacionado ao ECH.
Onde o uso de VPN se encaixa
Para leitores de satélites VPN, o uso de ECH e VPN responde a diferentes partes do problema de privacidade. ECH reduz a exposição do nome do host em handshakes HTTPS suportados. Uma VPN altera a rota do tráfego local enviando tráfego através de um túnel criptografado para um servidor VPN. Com o VPN Unlimited da KeepSolid, a rede Wi-Fi local ou ISP geralmente deve ver uma conexão VPN em vez de conexões diretas separadas para cada site.
Uma VPN pode ser útil em redes Wi-Fi públicas, redes de hotéis, redes de campus, apartamentos compartilhados e outras redes que você não controla. Ele não torna você anônimo em sites onde você faz login, remove cookies, garante acesso a todos os serviços, decide se um site oferece suporte a ECH ou substitui a higiene do navegador e o conhecimento da legislação local.
Lista de verificação prática
Mantenha seu navegador atualizado
É mais provável que os navegadores modernos incluam melhorias de privacidade TLS mais recentes, embora o suporte varie de acordo com a plataforma e as configurações.
Use HTTPS, mas entenda os metadados
HTTPS protege o conteúdo. A privacidade dos metadados está relacionada, mas separada, e o SNI foi uma das lacunas que a ECH pretende reduzir.
Trate o DNS criptografado como parte da imagem
A ECH geralmente depende de registros DNS. Se o DNS for bloqueado, modificado ou visível em texto simples, parte do benefício da privacidade poderá ser enfraquecido.
Use uma VPN em redes nas quais você não confia
Uma VPN é mais relevante quando a rede local é a principal preocupação. Pode reduzir a visibilidade direta dessa rede, mas é uma camada, não uma solução de privacidade completa.
Prepare-se antes de viajar
Instale e teste ferramentas de privacidade antes de entrar em uma rede restritiva. Verifique as regras locais, pois este artigo é uma educação técnica e não um aconselhamento jurídico.
Perguntas frequentes
O Encrypted Client Hello é o mesmo que VPN?
Não. ECH é um mecanismo de privacidade TLS para conexões HTTPS suportadas. Uma VPN roteia o tráfego do dispositivo através de um túnel criptografado para um servidor VPN.
O ECH interrompe toda a filtragem de SNI?
Não. Ele pode reduzir a utilidade da filtragem baseada em SNI quando suportada, mas as redes podem usar outros métodos de filtragem.
Por que o SNI estava visível se o HTTPS estava criptografado?
O servidor precisava saber qual certificado apresentar antes que a sessão criptografada fosse totalmente estabelecida.
O resultado final
ECH protege um pedaço de metadados da web que ficou exposto por muito tempo. A lição prática é a privacidade em camadas: o HTTPS protege o conteúdo, o ECH ajuda a proteger o handshake, o DNS criptografado reduz o vazamento de DNS e uma VPN reduz o que a rede local vê sobre a rota do tráfego.