- Το παραδοσιακό HTTPS λουκέτο στον browser δεν προστατεύει το hostname, το οποίο εκτίθεται σε plain text μέσω του SNI (Server Name Indication) κατά το TLS handshake.
- Το πρότυπο ECH (Encrypted Client Hello) κρυπτογραφεί πλήρως τη διεύθυνση προορισμού, κλείνοντας ένα κρίσιμο κενό ιδιωτικότητας στο σύγχρονο διαδίκτυο.
- Στις δικές μας δοκιμές στο εργαστήριο του TechNoid, η ενεργοποίηση απαιτεί ταυτόχρονη υποστήριξη τόσο από τον browser όσο και από τον πάροχο υποδομής του εκάστοτε ιστότοπου.
Το κενό ασφαλείας του SNI
Αυτό που πιστεύουν οι περισσότεροι χρήστες είναι ότι το HTTPS και το κλασικό λουκέτο στον browser αποτελούν αδιαπέραστη ασπίδα. Και όντως προστατεύουν τα δεδομένα σου μέσα στον ιστότοπο, όμως αφήνουν ακάλυπτη την ίδια την ταυτότητα του προορισμού σου.
Στις δικές μας δοκιμές σε δίκτυα παρόχων στην Ελλάδα, διαπιστώσαμε ότι κατά το αρχικό στάδιο της σύνδεσης, το γνωστό TLS Handshake, ο browser στέλνει το hostname σε καθαρό κείμενο. Αυτή η τεχνολογία ονομάζεται SNI (Server Name Indication) και λειτουργεί σαν μια ανοιχτή ταμπέλα πάνω στον φάκελο της αλληλογραφίας.
Όποιος παρακολουθεί την κίνηση στο δίκτυο —από έναν πάροχο μέχρι έναν κακόβουλο κόμβο Wi-Fi— μπορεί εύκολα να δει ακριβώς σε ποιο site συνδέεσαι, ακόμα κι αν δεν μπορεί να διαβάσει τι ακριβώς κάνεις μέσα σε αυτό. Σου θυμίζει λίγο τις παλιές, ανασφαλείς εποχές του plain text internet, ε;
https://pagead2.googlesyndication.com/pagead/js/adsbygoogle.js?client=ca-pub-9816651697894810
(adsbygoogle = window.adsbygoogle || []).push({});
Πώς λειτουργεί το ECH
Τη λύση σε αυτό το σοβαρό ζήτημα ιδιωτικότητας δίνει πλέον το ECH, δηλαδή το Encrypted Client Hello. Η αρχιτεκτονική του σχεδιάστηκε ειδικά για να κρύψει το hostname από τα αδιάκριτα βλέμματα των ενδιάμεσων δικτύων.
Για να το καταλάβεις με απλά λόγια, σκέψου ότι στέλνεις ένα γράμμα σε έναν φίλο. Χωρίς το ECH, η διεύθυνση του παραλήπτη αναγράφεται εξωτερικά στον φάκελο, έρμαιο σε όποιον ταχυδρόμο ή ενδιάμεσο περάσει από πάνω του.
Με την εφαρμογή του Encrypted Client Hello, η διεύθυνση του προορισμού μπαίνει μέσα σε έναν επιπλέον, απόρρητο φάκελο προστασίας. Έτσι, ο ISP σου γνωρίζει μόνο ότι συνδέεσαι σε μια γενική υποδομή (όπως Cloudflare), αλλά όχι το ακριβές subdomain ή domain που επισκέπτεσαι.
Οι προϋποθέσεις στην πράξη
Δεν αρκεί μια απλή,μονόπλευρη ρύθμιση στον δικό σου browser για να θωρακιστείς πλήρως. Απαιτείται μια αλυσίδα εμπιστοσύνης που ξεκινά από τη συσκευή σου και φτάνει μέχρι τον server του εκάστοτε ιστότοπου.
Πιο συγκεκριμένα, τόσο ο browser που χρησιμοποιείς όσο και η υποδομή φιλοξενίας του site πρέπει να υποστηρίζουν ενεργά το πρότυπο ECH. Αν λείπει έστω και ένας κρίκος από αυτή την αλυσίδα, η επικοινωνία πέφτει αυτόματα πίσω στο παλιό, ευάλωτο SNI.
Μπορείς να το ελέγξεις άμεσα μέσω της επίσημης σελίδας trace του Cloudflare. Αν κατά τη δοκιμή διαπιστώσεις ότι το πεδίο SNI εμφανίζεται ως plaintext, σημαίνει ότι το hostname σου εξακολουθεί να ταξιδεύει ακάλυπτο στο τοπικό σου δίκτυο.
https://pagead2.googlesyndication.com/pagead/js/adsbygoogle.js?client=ca-pub-9816651697894810
(adsbygoogle = window.adsbygoogle || []).push({});
Η άποψή μας στο TechNoid
Στο TechNoid παρακολουθούμε στενά την εξέλιξη των δικτυακών πρωτοκόλλων και θεωρούμε το ECH ένα τεράστιο βήμα προς τη σωστή κατεύθυνση. Για χρόνια, το HTTPS κάλυπτε τα μάτια των χρηστών δίνοντας μια ψευδή αίσθηση απόλυτης ανωνυμίας, την ίδια στιγμή που το SNI πρόδιδε τα πάντα στους παρόχους και στους κρατικούς μηχανισμούς λογοκρισίας.
Το γεγονός ότι η υιοθέτησή του εξαπλώνεται αργά αλλά σταθερά είναι ενθαρρυντικό, αν και η βιομηχανία web hosting και οι πάροχοιCDN καθυστερούν να το ενεργοποιήσουν μαζικά εξαιτίας παλαιότερων ασυμβατοτήτων. Αν θες πραγματική ψηφιακή υγιεινή, τσέκαρε αν οι αγαπημένοι σου ιστότοποι έχουν προχωρήσει σε αναβάθμιση των TLS ρυθμίσεών τους.
Συχνές Ερωτήσεις για το Encrypted Client Hello (ECH)
Τι ακριβώς είναι το Encrypted Client Hello;
Είναι μια επέκταση του πρωτοκόλλου TLS που κρυπτογραφεί το hostname (SNI) κατά την αρχική σύνδεση με έναν server, κρύβοντας το site που επισκέπτεσαι από τους παρόχους δικτύου.
Χρειάζεται να κάνω κάποια ρύθμιση στον browser μου;
Συνήθως οι σύγχρονοι browsers το ενεργοποιούν αυτόματα, αρκεί να χρησιμοποιείς την πιο πρόσφατη ενημερωμένη έκδοσή τους.
Γιατί δεν το υποστηρίζουν όλα τα sites ακόμα;
Απαιτείται ειδική διαμόρφωση στους servers και στους DNS παρόχους των ιστοτόπων, κάτι που αρκετές επιχειρήσεις δεν έχουν ολοκληρώσει ακόμη.
Μπορεί ο πάροχος διαδικτύου μου να δει ποιες σελίδες επισκέπτομαι με το ECH;
Μπορεί να δει τη γενική διεύθυνση του CDN (π.χ. Cloudflare), αλλά όχι το ακριβές domain ή subdomain στο οποίο προσπαθείς να συνδεθείς.
