¿Deja ciega Encrypted Client Hello a la supervisión de red?

En parte. Con ECH, un sensor ya no ve el nombre real del servidor en el handshake, así que las reglas basadas en nombres, los filtros web y las listas sencillas de shadow IT pierden precisión con los sitios que lo usan. Queda mucho: la dirección IP de destino y quién la opera, el nombre público exterior, normalmente de una gran red de distribución de contenidos, las respuestas DNS cuando el DNS no va cifrado de extremo a extremo, el momento, el volumen y el sentido de cada flujo, y la huella del cliente. Las detecciones de comportamiento, como beaconing, escaneos, movimiento lateral y subidas inusuales, no dependen del nombre del servidor y siguen funcionando. El tráfico interno rara vez se ve afectado, porque los servidores internos casi nunca publican claves ECH. En los equipos gestionados puede influir: haga que usen su propio resolutor DNS y aplique las políticas corporativas del navegador, que permiten controlar ECH y el DNS cifrado. La visibilidad por nombre de servicios de IA o de intercambio de ficheros se vuelve menos completa para los sitios tras ECH en cualquier sensor de red, NetSenX incluido.

← Las 40 preguntas sobre Cifrado y tráfico cifradoTodos los temas