И по HTTPS името на сайта, който отваряш, пътува на открито. ECH го скрива.
Пращаш писмо в запечатан плик. Никой не може да прочете какво пише вътре. Но адресът е отгоре, с големи букви, и всеки пощальон по пътя го вижда. Точно така работи HTTPS без ECH. Катинарчето в браузъра пази съдържанието: какво четеш, какво пишеш, паролата ти. Но в самото начало браузърът казва на сървъра към кой сайт отива. Казва го открито, защото на един сървър често живеят много сайтове и той трябва да знае кой от тях да ти покаже. Стандартът го казва сухо: откритото име издава сайта на всеки, който стои по пътя.
Помисли какво значи това на практика. Отваряш сайт за кредити, за лекар или за работа. Какво точно гледаш там, никой по пътя не знае. Но името на сайта се вижда, а често то само казва достатъчно.
ECH разделя първото съобщение на две. Външното е безобидно и показва общо име, обикновено на компанията, която държи сървърите. Вътрешното носи истинското име и е шифровано с ключ на сървъра. Браузърът взима този ключ от DNS, телефонния указател на интернета. При Cloudflare например всички сайтове с ECH показват отвън едно и също име: cloudflare-ech.com.
Къде свършва защитата
Номерът работи само в тълпа. Ако на един адрес стои един-единствен сайт, скритото име не помага много, защото адресът го издава. Самият стандарт го признава: сайтът може да се види и по други пътища, например по открити DNS заявки или по IP адреса на сървъра. Затова ECH има смисъл заедно с шифрован DNS.
Cloudflare обяви поддръжка на ECH през септември 2023 г., когато Chrome и Firefox тъкмо започваха да го пускат. Стандартът тогава още беше чернова. Сега има номер.
ECH не те прави невидим. Прави списъка ти със сайтове по-трудно четим за всеки по пътя. Това е малко. И е много повече от нищо.