Encrypted SNI (ECH)

Encrypted SNI (ESNI) и его наследник ECH (Encrypted Client Hello) — механизмы TLS, скрывающие имя запрашиваемого сайта на этапе установки защищённого соединения. Даже при HTTPS содержимое страницы зашифровано, но раньше домен утекал в открытом виде — именно это и закрывает ECH.

Механика простыми словами. При старте TLS-соединения браузер шлёт ClientHello, где в поле SNI указан домен (например, example.com) — чтобы сервер за одним IP понял, какой сайт вы запросили. Поле передавалось открытым текстом, и любой посредник (провайдер, система DPI) видел, куда вы идёте. ECH формирует «внутренний» ClientHello с настоящим SNI, шифрует его публичным ключом из DNS-записи HTTPS/SVCB и кладёт внутрь «внешнего» ClientHello. Прочитать реальный домен способен только целевой сервер; посреднику виден лишь обёрточный публичный хост CDN.

Конкретный пример. Вы открываете сайт через провайдера, который блокирует его по имени в SNI. Без ECH фильтр видит blocked-site.com и рвёт соединение. С ECH и включённым DoH (шифрованный DNS) во внешнем ClientHello стоит нейтральное имя вроде cloudflare-ech.com, а реальный домен спрятан в зашифрованном блоке. Условие работы: сайт находится за поддерживающим ECH CDN, браузер умеет ECH (современные Chrome/Firefox), а DNS защищён — иначе имя утечёт через обычный DNS-запрос.

Почему это важно. ECH снижает утечку метаданных о том, какие ресурсы вы посещаете, — полезно для приватности при работе с биржами и кошельками. Но помните: блокчейн публичен, а IP CDN всё равно виден — это не анонимность, а лишь сокрытие домена в TLS.

Риски и нюансы:

• ECH работает, только если его одновременно поддерживают сайт (через CDN), браузер и DNS.
• Некоторые сети детектируют сам факт ECH и режут такие соединения.
• Устаревший ESNI почти не поддерживается — ориентируйтесь на ECH.