Ujian ECH

Apa yang ujian ini tunjukkan

ECH, Encrypted ClientHello, melindungi bahagian dalaman mesej permulaan TLS. Penerbitan konfigurasi DNS menunjukkan sesuatu ditawarkan, bukan digunakan. Bukti penerimaan memerlukan isyarat jelas daripada nod yang memproses TLS pada segmen pelayar. TLS 1.3 atau GREASE sahaja tidak membuktikan kejayaan. Penerimaan boleh disahkan walaupun carian DNS alat ini tidak menemui penerbitan.

Cara menjalankan ujian

1. Tentukan nama domain dan buka halaman yang sambungannya ingin diperiksa dalam pelayar sama.
2. Jalankan pemeriksaan DNS dan isyarat sambungan, kemudian baca sumber setiap pemerhatian.
3. Bezakan penerbitan ditemui, tidak diperhatikan atau tidak diketahui daripada penggunaan disahkan atau tidak diketahui.

Cara ukuran dibuat

Alat memeriksa rekod konfigurasi ECH dalam DNS. Penerimaan segmen pelayar dilaporkan melalui isyarat jelas dan sah daripada nod TLS, iaitu pelayan atau nod pinggir diluluskan, atau trace boleh digunakan.

Pertanyaan DNS dan permintaan sambungan dibuat kepada titik berkaitan. Jika TLS tamat di nod pinggir, pemerhatian pelayan belakang tidak semestinya menerangkan sambungan pelayar ke nod itu.

Fahami keputusan

Penerimaan segmen pelayar disahkan

Nod pemproses TLS memberikan bukti jelas ECH diterima untuk sambungan ini. Penemuan konfigurasi dalam carian DNS alat bukan syaratnya.

Penerbitan ada, penggunaan tidak diketahui

Konfigurasi ditemui tetapi isyarat penerimaan tidak mencukupi. Jangan menganggap penerbitan sebagai penggunaan sebenar.

Penerbitan tidak diperhatikan atau tidak diketahui

DNS berjaya tanpa ECH bermakna penerbitan tidak diperhatikan; DNS gagal bermakna tidak diketahui. Tiada isyarat TLS menjadikan penggunaan tidak diketahui, bukan terbukti tidak aktif.

Bandingkan sebelum dan selepas

1. Rekod domain, pelayar, sumber DNS dan isyarat sambungan asas.
2. Ubah satu tetapan pelayar atau laluan DNS berkaitan yang didokumenkan dan ulang domain sama.
3. Bandingkan penerbitan dan penerimaan berasingan. Menukar VPN tidak secara automatik menambahkan sokongan ECH.

Had ujian

• ECH melindungi ClientHello dalaman, bukan semua metadata, IP destinasi atau kandungan DNS.
• GREASE menjaga keserasian rangkaian dan tidak membuktikan penerimaan sebenar ECH.

Perubahan yang sesuai, jika perlu

Konfigurasi diterbitkan tetapi penerimaan tidak diketahui

Semak sokongan pelayar serta destinasi yang didokumenkan; kekalkan penggunaan tidak diketahui tanpa isyarat sah.

Penerbitan tidak diperhatikan

Jika mengurus domain, semak penerbitan yang dijangka dalam dokumentasi perkhidmatan; jika tidak, rujuk pengurus domain.

Soalan lazim

Sumber dan rujukan teknikal

• RFC 9849 · ECH