Czy Encrypted Client Hello oślepia monitoring sieci?

Częściowo. Przy ECH czujnik nie widzi już prawdziwej nazwy serwera w handshake'u, więc reguły oparte na nazwach, filtry WWW i proste listy shadow IT tracą precyzję dla stron, które go używają. Zostaje jednak sporo: docelowy adres IP i jego operator, zewnętrzna nazwa publiczna, zwykle dużej sieci CDN, odpowiedzi DNS, jeśli DNS nie jest szyfrowany od końca do końca, czas, ilość danych i kierunek każdego przepływu oraz odcisk klienta. Detekcje behawioralne, takie jak beaconing, skanowanie, ruch lateralny i nietypowe wysyłki, nie zależą od nazwy serwera i działają dalej. Ruch wewnętrzny rzadko jest dotknięty, bo serwery wewnętrzne rzadko publikują klucze ECH. Na urządzeniach zarządzanych masz wpływ: skieruj je na własny resolwer DNS i użyj polityk korporacyjnych przeglądarki, które pozwalają kontrolować ECH i szyfrowany DNS. Widoczność usług AI czy wymiany plików po nazwie z dowolnego czujnika sieciowego, także NetSenX, staje się mniej pełna dla stron za ECH.

Ta odpowiedź, z szerszym kontekstem, jest też tutaj: Szyfrowanie i ruch szyfrowany

← Wszystkie pytania (40): Szyfrowanie i ruch szyfrowanyWszystkie tematy