O HTTPS protege o conte\u00fado da p\u00e1gina, mas nem sempre oculta o nome do site que um navegador est\u00e1 tentando acessar. Essa lacuna \u00e9 importante em redes Wi-Fi p\u00fablicas, escolas, hot\u00e9is, locais de trabalho e redes restritivas onde o acesso pode ser filtrado por meio de metadados de conex\u00e3o.<\/p>\n
Cliente criptografado Hello, ou ECH, reduz essa exposi\u00e7\u00e3o. Ele protege partes confidenciais do TLS ClientHello, incluindo o nome do host que costumava ser vis\u00edvel atrav\u00e9s da indica\u00e7\u00e3o do nome do servidor. ECH n\u00e3o \u00e9 um recurso VPN, n\u00e3o torna os usu\u00e1rios an\u00f4nimos e n\u00e3o garante acesso. Ele preenche uma lacuna importante de metadados, enquanto VPNs, DNS criptografado, configura\u00e7\u00f5es do navegador e h\u00e1bitos cuidadosos de conta permanecem em camadas separadas.<\/p>\n
Um navegador geralmente procura um dom\u00ednio por meio de DNS e, em seguida, inicia um handshake TLS. O TLS ajuda a criptografar o conte\u00fado da p\u00e1gina, senhas, mensagens e arquivos. Por muitos anos, o nome do host nesse handshake permaneceu vis\u00edvel como SNI. O SNI existe porque muitos sites compartilham um endere\u00e7o IP e o servidor precisa saber qual certificado apresentar.<\/p>\n
Esse valor TLS SNI vis\u00edvel pode revelar qual dom\u00ednio um dispositivo est\u00e1 tentando visitar, mesmo quando o conte\u00fado da p\u00e1gina permanece criptografado.<\/p>\n
A filtragem SNI significa permitir, bloquear ou interromper conex\u00f5es HTTPS com base no nome do host vis\u00edvel no handshake TLS inicial. Um operador de rede pode inspecionar o SNI, compar\u00e1-lo com uma lista e redefinir ou bloquear a conex\u00e3o sem descriptografar a sess\u00e3o HTTPS completa. Para os usu\u00e1rios, o resultado pode parecer uma vaga falha de conex\u00e3o.<\/p>\n
O Client Hello criptografado criptografa o ClientHello interno sens\u00edvel com uma chave p\u00fablica do servidor. O navegador envia um ClientHello externo menos revelador e um ClientHello interno criptografado que somente a infraestrutura pretendida do lado do servidor pode ler. O observador pode ver uma conex\u00e3o com a infraestrutura de hospedagem, mas n\u00e3o deve ver diretamente o nome do host protegido.<\/p>\n
Esse \u00e9 o valor pr\u00e1tico do client hello criptografado: ele reduz o vazamento direto do nome do host durante handshakes TLS suportados. Tamb\u00e9m explica a mudan\u00e7a al\u00e9m do SNI criptografado. SNI criptografado foi a ideia anterior de criptografar apenas SNI; ECH protege mais ClientHello, incluindo SNI e outros par\u00e2metros confidenciais.<\/p>\n
ECH n\u00e3o \u00e9 privacidade total. As consultas DNS podem revelar dom\u00ednios se o DNS criptografado n\u00e3o for usado. Os endere\u00e7os IP permanecem vis\u00edveis para roteamento. O tempo e o volume do tr\u00e1fego ainda podem fornecer pistas. Contas conectadas, cookies, impress\u00f5es digitais do navegador e comportamento do aplicativo ainda podem identificar ou rastrear usu\u00e1rios. O ECH s\u00f3 funciona quando o navegador, o caminho DNS e o servi\u00e7o de destino o suportam.<\/p>\n
A filtragem SNI tornou-se \u00fatil para os censores porque era precisa. Se o nome do host estivesse vis\u00edvel, um filtro poderia direcionar um dom\u00ednio sem bloquear todos os sites no mesmo endere\u00e7o IP. A ECH pode tornar esse atalho menos confi\u00e1vel quando \u00e9 totalmente suportado. Ainda assim, n\u00e3o derrota a censura por si s\u00f3. As redes podem usar bloqueio de DNS, bloqueio de IP, controles de endpoint, an\u00e1lise de tr\u00e1fego ou bloqueio direto de tr\u00e1fego relacionado ao ECH.<\/p>\n
Para leitores de sat\u00e9lites VPN, o uso de ECH e VPN responde a diferentes partes do problema de privacidade. ECH reduz a exposi\u00e7\u00e3o do nome do host em handshakes HTTPS suportados. Uma VPN altera a rota do tr\u00e1fego local enviando tr\u00e1fego atrav\u00e9s de um t\u00fanel criptografado para um servidor VPN. Com o VPN Unlimited da KeepSolid, a rede Wi-Fi local ou ISP geralmente deve ver uma conex\u00e3o VPN em vez de conex\u00f5es diretas separadas para cada site.<\/p>\n
Uma VPN pode ser \u00fatil em redes Wi-Fi p\u00fablicas, redes de hot\u00e9is, redes de campus, apartamentos compartilhados e outras redes que voc\u00ea n\u00e3o controla. Ele n\u00e3o torna voc\u00ea an\u00f4nimo em sites onde voc\u00ea faz login, remove cookies, garante acesso a todos os servi\u00e7os, decide se um site oferece suporte a ECH ou substitui a higiene do navegador e o conhecimento da legisla\u00e7\u00e3o local.<\/p>\n
\u00c9 mais prov\u00e1vel que os navegadores modernos incluam melhorias de privacidade TLS mais recentes, embora o suporte varie de acordo com a plataforma e as configura\u00e7\u00f5es.<\/p>\n
HTTPS protege o conte\u00fado. A privacidade dos metadados est\u00e1 relacionada, mas separada, e o SNI foi uma das lacunas que a ECH pretende reduzir.<\/p>\n
A ECH geralmente depende de registros DNS. Se o DNS for bloqueado, modificado ou vis\u00edvel em texto simples, parte do benef\u00edcio da privacidade poder\u00e1 ser enfraquecido.<\/p>\n
Uma VPN \u00e9 mais relevante quando a rede local \u00e9 a principal preocupa\u00e7\u00e3o. Pode reduzir a visibilidade direta dessa rede, mas \u00e9 uma camada, n\u00e3o uma solu\u00e7\u00e3o de privacidade completa.<\/p>\n
Instale e teste ferramentas de privacidade antes de entrar em uma rede restritiva. Verifique as regras locais, pois este artigo \u00e9 uma educa\u00e7\u00e3o t\u00e9cnica e n\u00e3o um aconselhamento jur\u00eddico.<\/p>\n
N\u00e3o. ECH \u00e9 um mecanismo de privacidade TLS para conex\u00f5es HTTPS suportadas. Uma VPN roteia o tr\u00e1fego do dispositivo atrav\u00e9s de um t\u00fanel criptografado para um servidor VPN.<\/p>\n
N\u00e3o. Ele pode reduzir a utilidade da filtragem baseada em SNI quando suportada, mas as redes podem usar outros m\u00e9todos de filtragem.<\/p>\n
O servidor precisava saber qual certificado apresentar antes que a sess\u00e3o criptografada fosse totalmente estabelecida.<\/p>\n
ECH protege um peda\u00e7o de metadados da web que ficou exposto por muito tempo. A li\u00e7\u00e3o pr\u00e1tica \u00e9 a privacidade em camadas: o HTTPS protege o conte\u00fado, o ECH ajuda a proteger o handshake, o DNS criptografado reduz o vazamento de DNS e uma VPN reduz o que a rede local v\u00ea sobre a rota do tr\u00e1fego.<\/p>\n","protected":false},"excerpt":{"rendered":"
Encrypted Client Hello ajuda a ocultar uma parte dos metadados HTTPS exposta por muito tempo: o nome do host enviado durante o handshake TLS. Veja o que o ECH muda, o que ele n\u00e3o oculta e como usu\u00e1rios de VPN devem pensar em privacidade e resist\u00eancia \u00e0 censura.<\/p>\n","protected":false},"author":0,"featured_media":51,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[10],"tags":[75,79,77,18,76,78,59],"class_list":["post-50","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-online-privacy","tag-encrypted-client-hello","tag-encrypted-dns","tag-https-privacy","tag-internet-censorship","tag-sni-filtering","tag-tls","tag-vpn-privacy"],"yoast_head":"\n