Cloudflare активировала ECH на своих серверах

[vaspvort]

На прошлой неделе известная сеть доставки контента (CDN) Cloudflare активировала поддержку расширения TLS

Для просмотра ссылки необходимо нажать Вход или Регистрация

на своих серверах. ECH - современная реализация идеи eSNI (Encrypted SNI), предназначенная для сокрытия от сторонних наблюдателей с помощью шифрования метаданных при установлении TLS-соединения, таких как имя сайта (SNI) к которому подключается клиент. В 2023 году Cloudflare на короткий срок уже включала ECH на своих серверах, а с октября 2024 года он доступен снова, в том числе для сайтов, использующих бесплатный тариф.

Чтение и анализ SNI использует в том числе Роскомнадзор для выборочных блокировок сайтов на своем оборудовании "ТСПУ", и таким образом активный ECH делает невозможными точечные блокировки сайтов, расположенных за CDN Cloudflare (если у вас есть сайт, который по каким-то причинам заблокирован, вы можете прикрыть его Cloudflare - базовый тариф у них бесплатный и не требует привязки карты).

Проверить, доступен ли ECH для подключения к конкретному сайту можно используя

Для просмотра ссылки необходимо нажать Вход или Регистрация

: введя имя домена и выбрав HTTPS, в выданных данных должна быть строчка типа "ech=XXXXX", где XXXXX это ключ шифрования для ECH.

Поскольку для работы ECH важно наличие определенных данных в DNS-информации, рекомендуется в браузерах активировать DoH (DNS-over-HTTP) или DoT (DNS-over-TLS) для того, чтобы защитить их от подмены.

Как включить DoH
Как это сделать в браузерах на базе Chromium:
«Настройки» (Settings) -> «Конфиденциальность и безопасность» (Privacy and security) -> «Безопасность» (Security) -> «Использовать безопасный DNS-сервер» (Use secure DNS) и выбрать любого из доступных провайдеров (возможно придется поэкспериментировать с разными вариантами).
Для Firefox:
«Настройки» (Settings) -> «Приватность и защита» (Privacy & Security) -> «DNS через HTTPS» (DNS over HTTPS) ->«Повышенная защита» (Increased Protection) или «Максимальная защита» (Max Protection).

Проверить работу ECH (при отключенных средствах обхода DPI типа GoodbyeDPI и без прокси/VPN) можно, например, на сайте известного русскоязычного СМИ из 6 букв в зоне .io

Теперь же нам остается наблюдать, что будет дальше. Весьма вероятно РКН будет пробовать подменять нешифрованные DNS-ответы, чтобы сломать работу ECH, заблокировать популярные DoH/DoT-провайдеры (он уже это делал), и пытаться

Для просмотра ссылки необходимо нажать Вход или Регистрация

подключения с ECH. Либо возможен более радикальный и менее ресурсоемкий вариант - полная блокировка любых HTTPS/TLS-подключений, для которых не удалось достоверно прочитать SNI.

Для просмотра ссылки необходимо нажать Вход или Регистрация