SNI chiffré (ESNI)

Le SNI chiffré (ESNI) aborde une fuite subtile dans HTTPS. Pendant le handshake TLS, le client envoie normalement le nom d'hôte de destination en clair dans le champ d'indication du nom du serveur, afin qu'un serveur hébergeant de nombreux sites sache quel certificat présenter. Cela signifie qu'un observateur du réseau peut voir quel site vous visitez même si le contenu de la page est chiffré. L'ESNI, et son successeur plus complet le Chiffrement du Client Hello (ECH), chiffrent ce champ afin que le nom d'hôte ne soit plus exposé sur le réseau.

Cela importe car cela ferme l'un des derniers signaux en texte clair dans une session autrement chiffrée, complétant DNS chiffré : DoH cache la recherche, et ESNI/ECH cache le nom d'hôte dans la poignée de main, donc ensemble, ils suppriment les moyens faciles de voir où vous allez. Le support dépend du navigateur, du serveur et du CDN devant lui, et l'adoption est encore inégale, avec ECH maintenant comme direction de voyage. Pour la vie privée quotidienne, c'est une couche de plus plutôt qu'un outil autonome — le plus utile combiné avec un VPN et DNS chiffré plutôt que de s'y fier seul.

Le support pour ESNI et ECH dépend de votre navigateur, du serveur et du CDN qui le précède, et l'adoption reste encore inégale, avec ECH comme direction à suivre. Considérez-le comme une couche parmi plusieurs : combinez-le avec DNS chiffré pour cacher la recherche et un VPN pour masquer votre IP, de sorte que le nom d'hôte, la requête et l'origine soient tous couverts. À lui seul, cacher le champ SNI ferme une seule fuite plutôt que de fournir une anonymat de bout en bout.