بررسی ECH

این آزمایش چه چیزی نشان می‌دهد؟

ECH، ClientHello رمزگذاری‌شده، بخش داخلی پیام آغاز TLS را پنهان می‌کند. انتشار تنظیم در DNS فقط امکان استفاده را نشان می‌دهد؛ استفادهٔ واقعی نیاز به نشانهٔ صریح سرور یا لبهٔ مورد اعتماد در اتصال مرورگر دارد. TLS 1.3 یا GREASE به‌تنهایی موفقیت ECH را ثابت نمی‌کند.

روش اجرای آزمایش

1. دامنه و مسیر اتصال را مشخص کنید و صفحه را در همان مرورگر باز کنید.
2. بررسی انتشار DNS و نشانهٔ پذیرش را اجرا کنید؛ منبع هر مشاهده را بخوانید.
3. انتشار موجود یا غایب را از پذیرش تأییدشده یا استفادهٔ نامشخص جدا کنید.

روش اندازه‌گیری

ابزار رکوردهای پیکربندی ECH را در DNS بررسی می‌کند. پذیرش روی بخش اتصال مرورگر با سیگنال صریح و معتبر نودی که TLS را پردازش می‌کند، یعنی سرور یا لبهٔ تأییدشده، یا ردگیری قابل استفاده گزارش می‌شود.

پرس‌وجوی DNS و درخواست اتصال به نقاط مرتبط انجام می‌شوند. اگر TLS در لبه خاتمه یابد، مشاهدهٔ بک‌اند لزوماً بخش مرورگر تا لبه را توصیف نمی‌کند. پذیرش اتصال می‌تواند مستقل از یافتن انتشار در همین جست‌وجو تأیید شود.

تفسیر نتایج

پذیرش روی بخش مرورگر تأیید شده است

نود پردازش‌کنندهٔ TLS نشانهٔ صریح و معتبر پذیرش ECH برای این اتصال داده است. یافتن پیکربندی در جست‌وجوی DNS همین ابزار شرط این نتیجه نیست.

انتشار موجود، استفاده نامشخص

پیکربندی در DNS دیده شده، اما نشانهٔ کافی از پذیرش اتصال نداریم. انتشار را استفادهٔ واقعی ننامید.

انتشار مشاهده نشده یا نامشخص است

پاسخ موفق DNS بدون ECH یعنی انتشار مشاهده نشد؛ شکست DNS یعنی انتشار نامشخص است. نبود سیگنال TLS هم استفاده را نامشخص می‌گذارد، نه غیرفعال.

مقایسهٔ قبل و بعد

1. دامنه، مرورگر، منبع DNS و نشانهٔ اتصال پایه را ثبت کنید.
2. یک تنظیم مرتبط و مستند مرورگر یا مسیر DNS را تغییر دهید و همان دامنه را تکرار کنید.
3. انتشار و پذیرش را جدا مقایسه کنید. تغییر وی‌پی‌ان خودبه‌خود پشتیبانی ECH ایجاد نمی‌کند.

محدودیت‌های آزمایش

• ECH بخش داخلی ClientHello را محافظت می‌کند؛ همهٔ فرادادهٔ اتصال، IP مقصد یا محتوای DNS را پنهان نمی‌کند.
• GREASE آزمون سازگاری است و به معنای پذیرش واقعی ECH نیست.

تغییرات لازم در صورت نیاز

انتشار موجود ولی پذیرش نامشخص است

پشتیبانی مستند مرورگر و مقصد را بررسی کنید؛ بدون نشانهٔ معتبر، نتیجه را نامشخص نگه دارید.

انتشار DNS غایب است

اگر دامنه را مدیریت می‌کنید، انتشار مورد انتظار را با مستندات سرویس بررسی کنید؛ وگرنه از مدیر دامنه بپرسید.

پرسش‌های رایج

منابع و ارجاع‌های فنی

• RFC 9849 · ECH