Macht Encrypted Client Hello die Netzwerküberwachung blind?

Teilweise. Mit ECH sieht ein Sensor den echten Servernamen im Handshake nicht mehr, namensbasierte Regeln, Webfilter und einfache Schatten-IT-Listen verlieren also bei Websites, die es nutzen, an Genauigkeit. Übrig bleibt viel: die Ziel-IP-Adresse und wer sie betreibt, der äußere öffentliche Name, meist der eines großen Content-Delivery-Netzes, DNS-Antworten, wenn DNS nicht durchgehend verschlüsselt ist, Zeitpunkt, Volumen und Richtung jedes Flows sowie der Client-Fingerprint. Verhaltensbasierte Erkennungen wie Beaconing, Scans, laterale Bewegung und ungewöhnliche Uploads hängen nicht vom Servernamen ab und funktionieren weiter. Interner Verkehr ist selten betroffen, weil interne Server kaum ECH-Schlüssel veröffentlichen. Bei verwalteten Geräten haben Sie Einfluss: Lassen Sie sie Ihren eigenen DNS-Resolver nutzen und setzen Sie die Unternehmensrichtlinien des Browsers ein, mit denen sich ECH und verschlüsseltes DNS steuern lassen. Die namensbasierte Sichtbarkeit von KI- oder Filesharing-Diensten wird für Websites hinter ECH bei jedem Netzwerksensor, auch bei NetSenX, weniger vollständig.

← Alle 40 Fragen zu Verschlüsselung und verschlüsselter VerkehrAlle Themen