ไคลเอนต์ที่เข้ารหัสสวัสดีและการกรอง SNI: สิ่งที่ผู้ใช้ VPN ที่คำนึงถึงความเป็นส่วนตัวควรรู้

HTTPS ปกป้องเนื้อหาของหน้า แต่ไม่ได้ซ่อนชื่อไซต์ที่เบราว์เซอร์พยายามเข้าถึงเสมอไป ช่องว่างดังกล่าวมีความสำคัญกับ Wi-Fi สาธารณะ โรงเรียน โรงแรม ที่ทำงาน และเครือข่ายที่มีข้อจำกัดซึ่งสามารถกรองการเข้าถึงผ่านเมตาดาต้าการเชื่อมต่อได้

Encrypted Client Hello หรือ ECH จะลดความเสี่ยงดังกล่าว ปกป้องส่วนที่ละเอียดอ่อนของ TLS ClientHello รวมถึงชื่อโฮสต์ที่เคยมองเห็นได้ผ่านการบ่งชี้ชื่อเซิร์ฟเวอร์ ECH ไม่ใช่คุณสมบัติ VPN ไม่ทำให้ผู้ใช้ไม่ระบุชื่อ และไม่รับประกันการเข้าถึง มันปิดช่องว่างเมตาดาต้าที่สำคัญอย่างหนึ่งในขณะที่ VPN, DNS ที่เข้ารหัส, การตั้งค่าเบราว์เซอร์และพฤติกรรมบัญชีที่ระมัดระวังยังคงเป็นชั้นที่แยกจากกัน

ช่องว่างความเป็นส่วนตัว HTTPS: SNI

โดยปกติเบราว์เซอร์จะค้นหาโดเมนผ่าน DNS จากนั้นจึงเริ่มการจับมือ TLS TLS ช่วยเข้ารหัสเนื้อหาเพจ รหัสผ่าน ข้อความ และไฟล์ เป็นเวลาหลายปีแล้วที่ชื่อโฮสต์ในการจับมือนั้นยังคงปรากฏเป็น SNI SNI มีอยู่เนื่องจากเว็บไซต์หลายแห่งแชร์ที่อยู่ IP เดียว และเซิร์ฟเวอร์จำเป็นต้องทราบว่าจะต้องแสดงใบรับรองใด

ค่า TLS SNI ที่มองเห็นนั้นสามารถเปิดเผยโดเมนที่อุปกรณ์พยายามเข้าชม แม้ว่าเนื้อหาของหน้าจะยังคงเข้ารหัสอยู่ก็ตาม

การกรอง SNI ทำหน้าที่อะไร

การกรอง SNI หมายถึงการอนุญาต การบล็อก หรือการแทรกแซงการเชื่อมต่อ HTTPS ตามชื่อโฮสต์ที่มองเห็นได้ในแฮนด์เชค TLS ยุคแรกๆ ผู้ให้บริการเครือข่ายสามารถตรวจสอบ SNI เปรียบเทียบกับรายการ และรีเซ็ตหรือบล็อกการเชื่อมต่อโดยไม่ต้องถอดรหัสเซสชัน HTTPS แบบเต็ม สำหรับผู้ใช้ ผลลัพธ์อาจดูเหมือนความล้มเหลวในการเชื่อมต่อที่คลุมเครือ

ไคลเอนต์ที่เข้ารหัสสวัสดีมีการเปลี่ยนแปลงอะไร

Encrypted Client Hello เข้ารหัส ClientHello ภายในที่ละเอียดอ่อนด้วยรหัสสาธารณะของเซิร์ฟเวอร์ เบราว์เซอร์จะส่ง ClientHello ภายนอกที่เปิดเผยน้อยกว่าและ ClientHello ภายในที่เข้ารหัสซึ่งมีเพียงโครงสร้างพื้นฐานฝั่งเซิร์ฟเวอร์เท่านั้นที่สามารถอ่านได้ ผู้สังเกตการณ์อาจเห็นการเชื่อมต่อกับโครงสร้างพื้นฐานโฮสติ้ง แต่ไม่ควรเห็นชื่อโฮสต์ที่ได้รับการป้องกันโดยตรง

นั่นคือคุณค่าในทางปฏิบัติของ Hello ไคลเอนต์ที่เข้ารหัส: ลดการรั่วไหลของชื่อโฮสต์โดยตรงระหว่างการจับมือ TLS ที่รองรับ นอกจากนี้ยังอธิบายการเคลื่อนไหวนอกเหนือจาก SNI ที่เข้ารหัสด้วย SNI ที่เข้ารหัสเป็นแนวคิดก่อนหน้านี้ในการเข้ารหัส SNI เท่านั้น ECH ปกป้อง ClientHello ได้มากขึ้น รวมถึง SNI และพารามิเตอร์ที่ละเอียดอ่อนอื่นๆ

สิ่งที่ ECH ไม่ได้ซ่อนไว้

ECH ไม่ใช่ความเป็นส่วนตัวทั้งหมด การสืบค้น DNS สามารถเปิดเผยโดเมนได้หากไม่ได้ใช้ DNS ที่เข้ารหัส ที่อยู่ IP ยังคงมองเห็นได้สำหรับการกำหนดเส้นทาง ระยะเวลาและปริมาณการจราจรยังสามารถให้เบาะแสได้ บัญชีที่เข้าสู่ระบบ คุกกี้ ลายนิ้วมือของเบราว์เซอร์ และพฤติกรรมของแอปยังคงสามารถระบุหรือติดตามผู้ใช้ได้ ECH ใช้งานได้เฉพาะเมื่อเบราว์เซอร์ เส้นทาง DNS และบริการปลายทางรองรับเท่านั้น

เหตุใดจึงสำคัญสำหรับการต่อต้านการเซ็นเซอร์

การกรอง SNI มีประโยชน์ต่อเซ็นเซอร์เนื่องจากมีความแม่นยำ หากมองเห็นชื่อโฮสต์ได้ ตัวกรองสามารถกำหนดเป้าหมายโดเมนได้โดยไม่ต้องบล็อกทุกไซต์บนที่อยู่ IP เดียวกัน ECH สามารถทำให้ทางลัดนั้นน่าเชื่อถือน้อยลงได้เมื่อได้รับการรองรับอย่างสมบูรณ์ ถึงกระนั้น มันก็ไม่สามารถเอาชนะการเซ็นเซอร์ได้ด้วยตัวเอง เครือข่ายอาจใช้การบล็อก DNS, การบล็อก IP, การควบคุมอุปกรณ์ปลายทาง, การวิเคราะห์การรับส่งข้อมูล หรือการบล็อกโดยตรงของการรับส่งข้อมูลที่เกี่ยวข้องกับ ECH

ตำแหน่งที่ VPN ใช้พอดี

สำหรับผู้อ่าน VPN Satelites ECH และ VPN จะใช้คำตอบส่วนต่างๆ ของปัญหาความเป็นส่วนตัว ECH ลดการเปิดเผยชื่อโฮสต์ในการแฮนด์เชค HTTPS ที่รองรับ VPN เปลี่ยนเส้นทางการรับส่งข้อมูลในพื้นที่โดยส่งการรับส่งข้อมูลผ่านอุโมงค์ที่เข้ารหัสไปยังเซิร์ฟเวอร์ VPN ด้วย VPN Unlimited โดย KeepSolid โดยทั่วไปเครือข่าย Wi-Fi ในพื้นที่หรือ ISP ควรเห็นการเชื่อมต่อ VPN แทนที่จะแยกการเชื่อมต่อโดยตรงไปยังทุกไซต์

VPN สามารถมีประโยชน์กับ Wi-Fi สาธารณะ เครือข่ายโรงแรม เครือข่ายวิทยาเขต อพาร์ทเมนท์รวม และเครือข่ายอื่นๆ ที่คุณไม่ได้ควบคุม มันไม่ได้ทำให้คุณไม่เปิดเผยชื่อไปยังเว็บไซต์ที่คุณเข้าสู่ระบบ ลบคุกกี้ รับประกันการเข้าถึงบริการทั้งหมด ตัดสินใจว่าเว็บไซต์รองรับ ECH หรือไม่ หรือแทนที่สุขอนามัยของเบราว์เซอร์และการรับรู้กฎหมายท้องถิ่น

รายการตรวจสอบการปฏิบัติ

ทำให้เบราว์เซอร์ของคุณเป็นปัจจุบันอยู่เสมอ

เบราว์เซอร์สมัยใหม่มีแนวโน้มที่จะรวมการปรับปรุงความเป็นส่วนตัว TLS ที่ใหม่กว่า แม้ว่าการสนับสนุนจะแตกต่างกันไปตามแพลตฟอร์มและการตั้งค่า

ใช้ HTTPS แต่เข้าใจข้อมูลเมตา

HTTPS ปกป้องเนื้อหา ความเป็นส่วนตัวของข้อมูลเมตามีความเกี่ยวข้องแต่แยกจากกัน และ SNI ก็เป็นหนึ่งในช่องว่างที่ ECH ตั้งใจจะลด

ถือว่า DNS ที่เข้ารหัสเป็นส่วนหนึ่งของรูปภาพ

ECH มักจะขึ้นอยู่กับบันทึก DNS หาก DNS ถูกบล็อก ปรับเปลี่ยน หรือมองเห็นเป็นข้อความธรรมดา สิทธิประโยชน์ด้านความเป็นส่วนตัวบางส่วนอาจลดลง

ใช้ VPN บนเครือข่ายที่คุณไม่เชื่อถือ

VPN จะมีความเกี่ยวข้องมากที่สุดเมื่อเครือข่ายท้องถิ่นเป็นปัญหาหลัก สามารถลดการมองเห็นโดยตรงของเครือข่ายนั้นได้ แต่เป็นชั้นเดียว ไม่ใช่โซลูชันความเป็นส่วนตัวที่สมบูรณ์

เตรียมตัวก่อนเดินทาง

ติดตั้งและทดสอบเครื่องมือความเป็นส่วนตัวก่อนที่คุณจะอยู่ในเครือข่ายที่มีข้อจำกัด โปรดตรวจสอบกฎท้องถิ่น เนื่องจากบทความนี้เป็นเพียงการศึกษาด้านเทคนิค ไม่ใช่คำแนะนำทางกฎหมาย

คำถามที่พบบ่อย

ไคลเอนต์ที่เข้ารหัส Hello เหมือนกับ VPN หรือไม่

ไม่ ECH เป็นกลไกความเป็นส่วนตัวของ TLS สำหรับการเชื่อมต่อ HTTPS ที่รองรับ VPN กำหนดเส้นทางการรับส่งข้อมูลอุปกรณ์ผ่านอุโมงค์ที่เข้ารหัสไปยังเซิร์ฟเวอร์ VPN

ECH หยุดการกรอง SNI ทั้งหมดหรือไม่

ไม่ สามารถลดประโยชน์ของการกรองแบบ SNI ได้เมื่อได้รับการสนับสนุน แต่เครือข่ายสามารถใช้วิธีการกรองแบบอื่นได้

เหตุใด SNI จึงมองเห็นได้หาก HTTPS ถูกเข้ารหัส

เซิร์ฟเวอร์จำเป็นต้องทราบว่าจะต้องแสดงใบรับรองใดก่อนที่จะสร้างเซสชันที่เข้ารหัสโดยสมบูรณ์

บรรทัดล่าง

ECH ปกป้องส่วนของข้อมูลเมตาของเว็บที่ถูกเปิดเผยนานเกินไป บทเรียนเชิงปฏิบัติคือความเป็นส่วนตัวแบบหลายชั้น: HTTPS ปกป้องเนื้อหา, ECH ช่วยปกป้องการจับมือกัน, DNS ที่เข้ารหัสช่วยลดการรั่วไหลของ DNS และ VPN จะลดสิ่งที่เครือข่ายท้องถิ่นเห็นเกี่ยวกับเส้นทางการรับส่งข้อมูล