encrypted

Cloudflare 正式推出 ECH (Encrypted Client Hello)

Cloudflare 宣佈所有的 Plan 都支援 ECH 了：「Encrypted Client Hello - the last puzzle piece to privacy」。

要講 ECH 之前，會先提到 Domain fronting 這個避開網路審查 (censorship) 的技巧，這是利用 CDN 服務裡對 SNI 的處理與對 HTTP header 的處理分開的特性，算是一種 side effect 的搞法，不保證會動，但蠻多 CDN 的服務都會動。

實際上的作法就是在 SNI 層的 hostname 填寫一個沒有被審查的 Hostname (像是 www.akamai.com)，然後連到 www.akamai.com:443 上，也都使用 www.akamai.com 的 SSL certificate 交換。

但在 HTTP header 上面則是送出不一樣的 hostname (但也必須是在這家 CDN 的機器上有提供服務的網域)，通常是被管制的網域名稱，像是 Host: www.cnbc.com 這樣的 HTTP header；而因為這部份被 TLS 保護，無法從外部看到內容而可以穿過網路審查。

理論上 CDN 服務是可以 reject 這樣的連線的，但大多數的 CDN 廠商並沒有阻擋這麼嚴格，於是算是一種堪用的方式。而這次 ECH 算是把這個行為標準化了，就不需要再用 side effect 的方式了。

Cloudflare 本身就很大，可以來看看後續的效應...

英國的 ISP 開始記錄使用者的連線資訊

從「Two UK Broadband ISPs Trial New Internet Snooping System」這邊看到英國的 ISP 開始記錄使用者的連線資訊，簡化後的 log 樣子像是這樣：

Two unnamed broadband or mobile ISPs are reportedly helping the UK Home Office and the National Crime Agency (NCA) to trial a new internet snooping system on their customers, which is being conducted as part of the controversial 2016 UK Investigatory Powers Act (aka – snoopers charter).

加上「T-Mobile US 打算要賣使用者的瀏覽記錄了」這篇，繼續推廣 DNS over HTTP、DNS over TLS，以及 ECH (Encrypted Client Hello)。

中國開始擋 ESNI 了...

這兩天陸陸續續都有一些新聞出來了，中國已經開始擋 ESNI 了：「China is now blocking all encrypted HTTPS traffic that uses TLS 1.3 and ESNI」。

ESNI (Encrypted SNI) 的重點就是在於把 TLS 裡 ClientHello 的 hostname 部分加密 (通常會需要配合 DNS-over-HTTPS 或是 DNS-over-TLS 的方式取得 key 相關的資料)，這個 hostname 的部分是目前 TLS 連線裡少數可以被看到的明文，也因此對於 GFW 過濾資料很有用，而 ESNI 等於是把這個洞補上，這次直接擋掉應該是預料中的事情...

但就算不管中國的部分，ESNI 對於 priavcy 的幫助還是很大，基本上 ISP 只剩下 IP 資訊可以分析，如果是有 CDN 之類的服務在前面擋住的就更看不出來了 (i.e. 許多網站用同一個 IP address)。

EC2 簡化了 Hibernation 的需求

因為在記憶體內會有各種敏感資訊，所以 EC2 的 Hibernation 當初推出時要求在寫到 snapshot 時要有加密，而 EC2 的設計需要使用 encrypted AMI 啟動，才能產生 encrypted snapshot：

Hibernation requires an EC2 instance be an encrypted EBS-backed instance. This ensures protection of sensitive contents in memory (RAM) as they get copied to the EBS upon hibernation.

這點對一般人來說就比較麻煩了，因為 AMI 裡面可能沒有敏感資訊，所以當初都是設計成 unencrypted 狀態，變成要多一些步驟...

而現在 EC2 宣佈可以可以用一般的 AMI 啟動並且產生出加密的 snapshot：「Enable Hibernation on EC2 Instances when launching with an AMI without an Encrypted EBS Snapshot」。

這樣一來省掉不少前置作業...