Encrypted ClientHello test

Mida see test näitab

Encrypted ClientHello ehk ECH peidab vastuvõtmisel sisemise TLS-käepigistuse teabe, sealhulgas soovitud serverinime. ECH-sätteid avaldav domeen on ainult üks nõue. See tööriist eristab ettevalmistust selgesõnalisest signaalist praegu kasutatava brauseriühenduse kohta.

Kuidas testi teha

1. Uurige praeguse lehe hosti või sisestage DNS-konfiguratsiooni päringuks muu hostinimi.
2. Käivitage kontroll ja lugege DNS-i avaldamist ning ühenduse tõendeid kahe eraldi tulemusena.
3. Enne signaali vastuvõtmise tõendina käsitlemist veenduge, millist hosti ja ühenduse osa see kirjeldab.

Kuidas mõõtmine toimib

Server uurib DNS-i HTTPS-kirjeid ja parsib nende ECH-konfiguratsiooni. See eristab olemasolu, struktuurilist kehtivust ja konfiguratsioone, millest parser aru saab.

Praeguse ühenduse tõendid pärinevad selgesõnalistest TLS-i lõpetamise signaalidest, heakskiidetud servasignaalist või võimaluse korral päritoluga seotud jäljest. DNS-päringud võtavad ühendust seadistatud DNS-over-HTTPS-i pakkujaga ja võivad kasutada ajutist vahemälu.

Tulemuste mõistmine

ECH võeti selles ühenduses vastu

Selgesõnaline brauseripoolne signaal kinnitab vastuvõtmist praeguse päritolu jaoks. See on tugevam tõend kui DNS-konfiguratsioon või brauseri võimekus.

Konfiguratsioon avaldatud ilma vastuvõtmise tõendita

Domeen avaldab ECH-sätted, kuid avaldamine üksi ei tõesta kasutust teie ühenduses. Samuti ei pruugi parser konfiguratsiooni toetada.

Lihttekst, varuvariant või määramatu

Usaldusväärne ühendussignaal võib teatada mittevastuvõtmisest. Puuduvad või määratlemata ulatusega signaalid jätavad brauseri tulemuse teadmata; GREASE on ühilduvuse peibutis, mitte edukas ECH.

Võrrelge enne ja pärast

1. Salvestage päritolu, DNS-konfiguratsiooni olek ja brauseripoolne ühendussignaal.
2. Muutke üht asjakohast brauseri- või DNS-sätet ja looge sama päritoluga uus ühendus.
3. Võrrelge selgesõnalist vastuvõtmist DNS-i avaldamisest eraldi. Teise hostinime päring ei saa pärida selle lehe ühenduse tõendeid.

Testi piirangud

• TLS 1.3, värske brauser või ECH-parameeter üksi ei tõenda ECH kasutamist.
• ECH ei varja sihtkoha IP-d, kõiki liikluse metaandmeid ega teavet, mille pärast ühendamist esitate.

Mida vajaduse korral muuta

Konfiguratsioon on olemas, kuid ECH-d ei võeta vastu

Kontrollige brauseri tuge ja soovitud DNS-teed ning proovige uut ühendust, säilitades varuvariandi üksikasjad.

Ühendussignaal pole saadaval

Jätke tulemus määramatuks; VPN-i muutmine ei saa tekitada puuduvat serveripoolset vastuvõtusignaali.

Korduma kippuvad küsimused

Allikad ja tehnilised viited

• RFC 9849 · ECH