SNI crittografato (ESNI)

L'SNI criptato (ESNI) affronta una sottile perdita in HTTPS. Durante il handshake TLS, il client normalmente invia il nome host di destinazione in chiaro nel campo Server Name Indication, in modo che un server che ospita molti siti sappia quale certificato presentare. Ciò significa che un osservatore di rete può vedere quale sito stai visitando anche se i contenuti della pagina sono criptati. L'ESNI, e il suo successore più completo Encrypted Client Hello (ECH), criptano quel campo in modo che il nome host non sia più esposto sulla rete.

Questo è importante perché chiude uno degli ultimi segnali in chiaro in una sessione altrimenti crittografata, completando DNS crittografato: DoH nasconde la ricerca, e ESNI/ECH nasconde il nome host nel handshake, quindi insieme rimuovono i modi semplici per vedere dove stai andando. Il supporto dipende dal browser, dal server e dal CDN davanti ad esso, e l'adozione è ancora irregolare, con ECH ora come direzione di viaggio. Per la privacy quotidiana è un ulteriore strato piuttosto che uno strumento autonomo — più utile combinato con un VPN e DNS crittografato piuttosto che affidarsi a esso da solo.

Il supporto per ESNI e ECH dipende dal tuo browser, dal server e dal CDN davanti ad esso, e l'adozione è ancora disomogenea, con ECH come direzione di marcia. Consideralo come uno strato tra diversi: combinatelo con DNS crittografato per nascondere la ricerca e un VPN per nascondere il tuo IP, in modo che il nome host, la query e l'origine siano tutti coperti. Da solo, nascondere il campo SNI chiude una singola perdita piuttosto che fornire anonimato end-to-end.