Encrypted ClientHello prüfen

Was zeigt dieser Test?

ECH, Encrypted ClientHello, verschlüsselt bei Annahme den inneren ClientHello der TLS-Verbindung, einschließlich des angefragten Servernamens. Eine veröffentlichte Konfiguration ist nur eine Voraussetzung. Dieses Werkzeug trennt sie vom ausdrücklichen Nachweis für die aktuelle Browser-Verbindung. Ein neuer Browser oder TLS 1.3 allein bestätigen keine ECH-Nutzung.

So führen Sie den Test durch

1. Untersuchen Sie den Hostnamen der geöffneten Seite oder geben Sie einen anderen Namen für dessen DNS-Konfiguration ein.
2. Starten Sie die Prüfung und lesen Sie DNS-Veröffentlichung und Verbindungsnachweis als getrennte Ergebnisse.
3. Prüfen Sie, welchen Hostnamen und welchen Verbindungsabschnitt ein Signal betrifft, bevor Sie es als Bestätigung der Annahme lesen.

So funktioniert die Messung

Der Server prüft DNS-HTTPS-Einträge und wertet deren ECH-Konfiguration aus. Er unterscheidet bloße Präsenz, gültigen Aufbau und vom Parser verstandene Konfigurationen.

Ein Nachweis kommt von ausdrücklichen Signalen der TLS-Terminierung, eines vertrauenswürdigen Frontends oder einer zur Herkunft passenden Trace-Abfrage. DNS-Abfragen kontaktieren den konfigurierten HTTPS-Resolver und können zwischengespeichert werden.

Ergebnisse verstehen

ECH auf dieser Verbindung angenommen

Ein ausdrückliches Signal für den browserseitigen Abschnitt bestätigt die Annahme auf dieser Herkunft. Das ist stärker als eine DNS-Veröffentlichung oder Browser-Fähigkeit.

Konfiguration ohne Nutzungsnachweis veröffentlicht

Die Domain bietet ECH-Einstellungen an. Das belegt nicht ihre Nutzung auf Ihrer Verbindung; möglicherweise versteht der Parser die Konfiguration nicht.

Ohne ECH, Rückfall oder unbestimmt

Ein verlässliches Signal kann fehlende Annahme melden. Fehlende oder unpassend zugeordnete Signale bleiben unbekannt. GREASE ist eine Kompatibilitätsattrappe, kein erfolgreiches ECH.

Vorher und nachher vergleichen

1. Speichern Sie Herkunft, DNS-Zustand und browserseitiges Verbindungssignal mit demselben Gerät, Profil und Werkzeug.
2. Ändern Sie eine relevante Browser- oder DNS-Einstellung und stellen Sie eine neue Verbindung zur gleichen Herkunft her.
3. Vergleichen Sie Annahme und Veröffentlichung getrennt. Eine Abfrage für einen anderen Hostnamen darf den Verbindungsnachweis dieser Seite nicht übernehmen.

Grenzen des Tests

• Ein DNS-Parameter, TLS 1.3 oder ein aktueller Browser beweisen für sich keine ECH-Nutzung.
• ECH verbirgt nicht die Ziel-IP, sämtliche Verkehrsmetadaten oder Informationen, die Sie nach dem Verbindungsaufbau übermitteln.

Was Sie gegebenenfalls ändern können

Eine Konfiguration besteht, ECH wird aber nicht angenommen.

Prüfen Sie Browser-Unterstützung und den vorgesehenen DNS-Weg. Testen Sie eine neue Verbindung und behalten Sie mögliche Rückfallsignale im Blick.

Das Verbindungssignal ist nicht verfügbar.

Lassen Sie das Ergebnis unbestimmt. Ein VPN-Wechsel erzeugt keinen fehlenden Nachweis der serverseitigen ECH-Annahme.

Häufige Fragen

Quellen und technische Hinweise

• RFC 9849 · ECH