Szyfrowany SNI (ESNI)

Szyfrowany SNI (ESNI) rozwiązuje subtelny problem wycieku w HTTPS. Podczas ustawienia TLS, klient zazwyczaj wysyła nazwę docelowego hosta w postaci niezaszyfrowanej w polu Wskazania Nazwy Serwera, aby serwer hostujący wiele witryn wiedział, który certyfikat przedstawić. Oznacza to, że obserwator sieci może zobaczyć którą witrynę odwiedzasz, mimo że zawartość strony jest zaszyfrowana. ESNI, a jego bardziej kompletny następca Szyfrowany Klient Hello (ECH), szyfruje to pole, dzięki czemu nazwa hosta nie jest już ujawniana w sieci.

To ma znaczenie, ponieważ zamyka jeden z ostatnich sygnałów w postaci czystego tekstu w w pełni zaszyfrowanej sesji, uzupełniając zaszyfrowany DNS: DoH ukrywa zapytanie, a ESNI/ECH ukrywa nazwę hosta w handshake'u, więc razem eliminują łatwe sposoby na zobaczenie, dokąd zmierzasz. Wsparcie zależy od przeglądarki, serwera i CDN przed nim, a adopcja wciąż jest nierówna, przy czym ECH jest teraz kierunkiem rozwoju. Dla codziennej prywatności to dodatkowa warstwa, a nie samodzielne narzędzie — najbardziej przydatne w połączeniu z VPN i zaszyfrowanym DNS, a nie polegając na nim samodzielnie.

Wsparcie dla ESNI i ECH zależy od twojej przeglądarki, serwera i CDN przed nim, a przyjęcie jest nadal nierównomierne, przy ECH jako kierunku rozwoju. Traktuj to jako jedną warstwę wśród kilku: połącz to z szyfrowanym DNS, aby ukryć zapytanie, oraz z VPN, aby ukryć swój adres IP, tak aby nazwa hosta, zapytanie i źródło były wszystkie ukryte. Same w sobie, ukrywanie pola SNI zamyka pojedynczy wyciek, a nie zapewnia anonimowości end-to-end.