L'Encrypted Client Hello rend-il la surveillance réseau aveugle ?

En partie. Avec ECH, un capteur ne voit plus le vrai nom du serveur dans la négociation : les règles fondées sur les noms, les filtres web et les listes simples de shadow IT perdent en précision pour les sites qui l'utilisent. Il reste beaucoup : l'adresse IP de destination et son exploitant, le nom public extérieur, en général celui d'un grand réseau de diffusion de contenu, les réponses DNS quand le DNS n'est pas chiffré de bout en bout, le moment, le volume et le sens de chaque flux, et l'empreinte du client. Les détections comportementales comme le beaconing, les balayages, les mouvements latéraux et les envois inhabituels ne dépendent pas du nom du serveur et continuent de fonctionner. Le trafic interne est rarement concerné, car les serveurs internes publient rarement des clés ECH. Sur les appareils gérés, vous avez la main : faites-leur utiliser votre propre résolveur DNS et appliquez les politiques d'entreprise du navigateur, qui permettent de contrôler ECH et le DNS chiffré. La visibilité par nom des services d'IA ou de partage de fichiers devient moins complète pour les sites derrière ECH, pour tout capteur réseau, NetSenX compris.

← Les 40 questions sur Chiffrement et trafic chiffréTous les thèmes