Cloudflare 开始部署 TLS ECH

[leiakun]

ECH 真的能够解决 SNI 屏蔽问题吗？
会不会防火墙直接把 ECH 流量给屏蔽掉，我看文章说 ECH 流量还是很明显的。
还请大神解答，这个 ECH 是怎么和 DoH 配合隐藏 SNI 的？
https://blog.cloudflare.com/handshake-encryption-endgame-an-ech-update/

[eason1874]

发送请求之前需要先知道域名对应的服务器 IP，常规 DNS 是明文的，会泄露解析记录。如果泄露了解析域名，接近泄露 SNI 了。所以保护 SNI 首先要用加密 DNS，而 DNS over HTTPS 是其一，确保访问的域名不会泄露。

ECH 是 ESNI 的改进版。ESNI 只能通过 DNS TXT 记录分发证书，而 DNS 可能被缓存（不利于证书定期更新），也不灵活，因为只有一个记录，多个服务器节点需要确保用同一个证书，否则对不上。

ECH 在 ESNI 的基础上，添加了服务器分发证书来兜底。如果 DNS 记录里的证书加密的内容解不开，就提供服务器自己的证书给客户端去重试。ECH 有两个 ClientHello，一个加密的有真实的 SNI，一个明文的有 innocuous SNI （好像是用于失败验证和忽悠中间人？不太懂这个 innocuous 的意思）

[Livid]

Chrome 的支持状态：

https://bugs.chromium.org/p/chromium/issues/detail?id=1091403

[viberconnection]

理論上只要有特徵那就可以 Block，即便是一個 Flag 也可以。

[hronro]

好耶

不过感觉很有可能在国内最终的下场和 ESNI 一样

[yqs112358]

原理 cf 有个博客写的挺清楚的
https://blog.cloudflare.com/encrypted-client-hello/