בדיקת Encrypted ClientHello

מה הבדיקה הזאת מגלה

Encrypted ClientHello, או ECH, מסתיר את פרטי לחיצת היד הפנימית של TLS, כולל שם השרת המיועד, כשהוא מתקבל. פרסום הגדרות ECH בידי שם מתחם הוא רק דרישה אחת. הכלי מפריד בין ההכנה הזאת לבין אות מפורש לגבי חיבור הדפדפן שבו אתם משתמשים כעת.

איך לבצע את הבדיקה

1. בדקו את המארח של הדף הנוכחי או הזינו שם מארח אחר לבדיקת תצורת DNS.
2. הריצו את הבדיקה וקראו את פרסום ה-DNS ואת ראיית החיבור כשתי תוצאות נפרדות.
3. ודאו איזה מארח ומקטע חיבור מתאר האות לפני שתתייחסו אליו כהוכחת קבלה.

איך המדידה פועלת

השרת בודק רשומות DNS HTTPS ומנתח את תצורת ECH שלהן. הוא מבחין בין נוכחות, תקינות מבנית ותצורות שהמנתח שלו מבין.

ראיות החיבור הנוכחי מגיעות מאותות מפורשים של סיום TLS, מאות קצה מאושר או ממעקב המקושר לשרת המקור, כשזמין. שאילתות DNS פונות לספק DNS-over-HTTPS שהוגדר ועשויות להשתמש במטמון זמני.

הבנת התוצאות

ECH התקבל בחיבור זה

אות מפורש המופנה לדפדפן מאשר קבלה עבור המקור הנוכחי. זוהי ראיה חזקה יותר מתצורת DNS או מיכולת דפדפן.

פורסמה תצורה ללא הוכחת קבלה

שם המתחם מפרסם הגדרות ECH, אך הפרסום לבדו אינו יכול לקבוע שהן משמשות בחיבור שלכם. ייתכן גם שהמנתח אינו תומך בתצורה.

טקסט גלוי, נסיגה או תוצאה לא חד-משמעית

אות חיבור אמין עשוי לדווח על אי-קבלה. אותות חסרים או ללא היקף מוגדר משאירים את תוצאת הדפדפן לא ידועה; GREASE הוא אמצעי דמה לתאימות ולא ECH מוצלח.

השוואה לפני ואחרי

1. שמרו את המקור, מצב תצורת ה-DNS ואות החיבור המופנה לדפדפן.
2. שנו הגדרת דפדפן או DNS רלוונטית אחת וצרו חיבור חדש לאותו מקור.
3. השוו קבלה מפורשת בנפרד מפרסום DNS. בדיקה של שם מארח אחר אינה יכולה לרשת את ראיות החיבור של הדף הזה.

מגבלות הבדיקה

• TLS 1.3, דפדפן עדכני או פרמטר ECH לבדם אינם מוכיחים שימוש ב-ECH.
• ECH אינו מסתיר את כתובת ה-IP של היעד, את כל המטא-נתונים של התעבורה או את המידע שאתם שולחים לאחר החיבור.

מה לשנות, אם צריך

התצורה קיימת אך ECH אינו מתקבל

בדקו את תמיכת הדפדפן ואת מסלול ה-DNS המיועד, ואז נסו חיבור חדש תוך שמירת פרטי הנסיגה.

אות החיבור אינו זמין

השאירו את התוצאה לא חד-משמעית; שינוי VPN אינו יכול ליצור אות קבלה חסר בצד השרת.

שאלות נפוצות

מקורות ואסמכתאות טכניות

• RFC 9849 · ECH