Verschlüsseltes SNI (ESNI)

Verschlüsseltes SNI (ESNI) adressiert ein subtiler Leak in HTTPS. Während des TLS-Handschlags sendet der Client normalerweise den Ziel-Hostnamen im Klartext im Server Name Indication-Feld, damit ein Server, der viele Seiten hostet, weiß, welches Zertifikat er präsentieren soll. Das bedeutet, dass ein Netzwerkbeobachter sehen kann, welche Seite Sie besuchen, obwohl der Seiteninhalt verschlüsselt ist. ESNI und sein umfassenderer Nachfolger Encrypted Client Hello (ECH) verschlüsseln dieses Feld, sodass der Hostname nicht mehr im Netzwerk sichtbar ist.

Das ist wichtig, weil es eines der letzten unverschlüsselten Signale in einer ansonsten verschlüsselten Sitzung schließt und damit verschlüsseltes DNS ergänzt: DoH verbirgt die Abfrage, und ESNI/ECH verbirgt den Hostnamen im Handshake, sodass sie zusammen die einfachen Möglichkeiten entfernen, zu sehen, wohin Sie gehen. Die Unterstützung hängt vom Browser, dem Server und dem CDN davor ab, und die Akzeptanz ist immer noch ungleichmäßig, wobei ECH jetzt die Richtung ist, in die es geht. Für den täglichen Datenschutz ist es eine weitere Schicht und kein eigenständiges Werkzeug – am nützlichsten in Kombination mit einem VPN und verschlüsseltem DNS, anstatt sich allein darauf zu verlassen.

Die Unterstützung für ESNI und ECH hängt von Ihrem Browser, dem Server und dem CDN davor ab, und die Akzeptanz ist noch ungleichmäßig, wobei ECH die Richtung ist, in die es geht. Betrachten Sie es als eine von mehreren Schichten: Kombinieren Sie es mit verschlüsseltem DNS, um die Abfrage zu verbergen, und einem VPN, um Ihre IP zu verbergen, sodass der Hostname, die Abfrage und der Ursprung alle abgedeckt sind. Für sich allein genommen schließt das Verbergen des SNI-Feldes einen einzelnen Leak, anstatt End-to-End-Anonymität zu bieten.