Зашифрованный SNI (ESNI)

Зашифрованный SNI (ESNI) устраняет тонкую утечку в HTTPS. Во время рукопожатия TLS клиент обычно отправляет имя хоста назначения в открытом виде в поле Server Name Indication, чтобы сервер, размещающий множество сайтов, знал, какой сертификат предъявить. Это означает, что наблюдатель в сети может видеть, какой сайт вы посещаете, даже несмотря на то что содержимое страницы зашифровано. ESNI и его более полный преемник Encrypted Client Hello (ECH) шифруют это поле, поэтому имя хоста больше не раскрывается при передаче.

Это важно, потому что устраняет один из последних сигналов в открытом виде в в целом зашифрованном сеансе, дополняя зашифрованный DNS: DoH скрывает запрос, а ESNI/ECH скрывает имя хоста в рукопожатии, поэтому вместе они убирают простые способы увидеть, куда вы направляетесь. Поддержка зависит от браузера, сервера и CDN перед ним, и распространение до сих пор неравномерное, причём ECH теперь является направлением развития. Для повседневной приватности это ещё один слой, а не самостоятельный инструмент — наиболее полезный в сочетании с VPN и зашифрованным DNS, а не тогда, когда полагаются только на него.

Поддержка ESNI и ECH зависит от вашего браузера, сервера и CDN перед ним, и распространение до сих пор неравномерное, причём ECH является направлением развития. Воспринимайте это как один слой среди нескольких: сочетайте его с зашифрованным DNS, чтобы скрыть запрос, и VPN, чтобы скрыть ваш IP-адрес, поэтому имя хоста, запрос и происхождение будут охвачены. Само по себе сокрытие поля SNI закрывает единственную утечку, а не обеспечивает сквозную анонимность.