Encrypted ClientHello (ECH) testi

Bu test ne gösterir?

ECH, Encrypted ClientHello, TLS el sıkışmasının iç ClientHello mesajını ve istenen sunucu adını şifreler. Bir alan adının ECH ayarı yayımlaması yalnızca hazırlık adımıdır. TLS 1.3, yeni tarayıcı veya DNS kaydı tek başına kullanım kanıtı değildir. Araç DNS hazırlığı ile açık sayfanızın mevcut bağlantısına ilişkin işareti ayrı gösterir.

Test nasıl yapılır?

1. Bağlantıyı incelemek için bu sayfanın adını koruyun. Başka alan adı girerseniz onun yalnızca DNS yayınının incelendiğini not edin.
2. Testi başlatıp mevcut DNS ve bağlantı yanıtlarını bekleyin. Yapılandırmanın sadece bulunduğunu mu yoksa ayrıştırıcı tarafından kullanılabilir olduğunu mu kontrol edin.
3. DNS sonucunu ve bağlantı kanıtını ayrı okuyun. Bu sayfaya ait kabul işaretini elle girilen başka alan adına atfetmeyin.

Ölçüm nasıl çalışır?

Sunucu DNS HTTPS kayıtlarında ECH yapılandırması arar ve yapısını denetler. Kullanılabilir, geçersiz ve desteklenmeyen biçimleri birbirinden ayırır; sorgulanan ad çözümleyiciye iletilir.

Gerçek kullanım, TLS bağlantısını sonlandıran sunucunun veya onaylı ön ucun açık işaretine, uygun olduğunda ilgili iz kaydına dayanır. Sunucumuz tek başına ilk TLS mesajını göremeyebilir.

Sonuçları anlama

Bu bağlantıda ECH kabul edilmiş

Açık işaret, sayfanın adına yapılan bağlantıda kabulü destekliyor. Yalnızca yayımlanmış DNS yapılandırması bu sonuca yeterli değildir.

Yayın var veya bağlantı ECH kullanmıyor

DNS yayını bir ECH ayarının bulunduğunu gösterir; biçimin kullanılabilirliği ve bağlantıda kabul ayrı denetlenir. Ret veya geri dönüş işareti farklı durumdur. Hazırlık ile mevcut bağlantı davranışını ayrı değerlendirin.

Kullanım belirsiz

Güvenilir tarayıcı tarafı kanıt yok veya yapılandırma yorumlanamıyor. Uyumluluk amacıyla ECH teklifini taklit eden GREASE, ECH kabulünü doğrulamaz.

Öncesini ve sonrasını karşılaştırma

1. Aynı cihaz, tarayıcı ve test sayfasında adı, DNS işaretlerini ve bağlantı kanıtının kapsamını kaydedin.
2. Tek ilgili tarayıcı veya DNS ayarını değiştirip yeni bağlantı açın. Aynı ad için incelemeyi tekrarlayın.
3. Aynı kapsamın kanıtlarını karşılaştırın. Aynı DNS kaydı, bağlantının aynı biçimde ECH kullandığını garanti etmez.

Testin sınırları

• Uygulama sunucusu ilk TLS alışverişini görmeyebilir. Bu nedenle işaret yokluğu ECH'nin kullanılmadığını kanıtlamaz.
• ECH bütün meta verileri gizlemez. Hedef IP, trafik hacmi ve bağlantının başka özellikleri gözlenebilir kalabilir.

Neleri değiştirebilirsiniz?

Yapılandırma var, ancak bağlantı ECH'yi doğrulamıyor.

Tarayıcı desteğini, ayarlarını ve kullanılan DNS yolunu kontrol edin. Açık bağlantı kanıtı yoksa yeniden testte de belirsiz sonucu koruyun.

Alan adı kullanılabilir ECH ayarı yayımlamıyor.

Alanı yönetiyorsanız ön uç desteğini ve DNS kayıtlarını denetleyin. VPN ayarı tek başına sunucuya bu desteği kazandırmaz.

Sık sorulan sorular

Kaynaklar ve teknik açıklamalar

• RFC 9849 · ECH