#ech — Public Fediverse posts

Один запрос, пять наблюдателей: что сайт, провайдер, DNS и VPN узнают, когда вы открываете страницу

Пока я собирал материал для этой статьи, мне казалось, что логика будет простой: без VPN сайт видит мой обычный IP, с VPN — адрес сервера выхода; cookies при этом никуда не деваются. На практике даже такой маленький эксперимент сразу подкинул вопросы. В DevTools при подключении через VPN на странице Хабра появился ещё один домен с Google-cookies. Значит ли это, что VPN начал собирать обо мне больше данных? Нет. Он меняет маршрут и IP, а сайт, рекламная сеть или аналитика могут из-за нового адреса отдать браузеру другую конфигурацию страницы. С интернет-приватностью постоянно происходит то же самое. Фраза «провайдер всё видит» смешивает в одну кучу название сайта, содержимое страницы, IP-адрес и личность пользователя. А совет «включи VPN» часто звучит так, будто после этого исчезнут авторизация, cookies и браузерный отпечаток. Они не исчезают. В статье я пройду путь одного запроса от адресной строки до сервера и обратно. Разберу, какие данные в этот момент остаются у браузера, что видят DNS-резолвер и провайдер, что получает сам сайт и какую новую роль берёт на себя VPN-сервис. Заодно покажу, почему HTTPS скрывает далеко не всё, а смена IP ещё не означает анонимность.

https://habr.com/ru/articles/1067672/

#VPN #HTTPS #DNS #TLS #ECH #SNI #cookies #браузерный_отпечаток #приватность_в_интернете #отслеживание_пользователей

I thought encrypted #DNS protected my privacy, until I saw what my #ISP could still see (spoiler Encrypted Client Hello #ECH "almost" close the gap)

https://www.xda-developers.com/thought-encrypted-dns-protected-privacy-until-saw-what-isp-could-see/

I thought encrypted #DNS protected my privacy, until I saw what my #ISP could still see (spoiler Encrypted Client Hello #ECH "almost" close the gap)

https://www.xda-developers.com/thought-encrypted-dns-protected-privacy-until-saw-what-isp-could-see/

ECH village residents get their gardening gloves out https://www.allforgardening.com/1880000/ech-village-residents-get-their-gardening-gloves-out/ #AgedCare #AlanMorrison #BGSH #BotanicGardensAndStateHerbariumOfSouthAustralia #ech #garden #gardening #HeroSlider #MichaelHarvey #ProjectEden #TherapeuticHorticultureProgram

ECH village residents get their gardening gloves out https://www.allforgardening.com/1880000/ech-village-residents-get-their-gardening-gloves-out/ #AgedCare #AlanMorrison #BGSH #BotanicGardensAndStateHerbariumOfSouthAustralia #ech #garden #gardening #HeroSlider #MichaelHarvey #ProjectEden #TherapeuticHorticultureProgram

Shocked that it has taken me so long, thanks to a heads-up from a friend & #nixos via #claudecode, to see that I should have set up:
(1) #ECH on my #reverseproxy serving my sites
(2) #DoT on my daily driver.
#DNS url names (web addresses) are *not* #encrypted by default even on sensible operating systems!
The incessant leakage to #ISP & intermediaries of site names visited in 99.9% of cases is an egregious #privacy issue I never knew of. Using #DoH is next? All fixes rely on #CloudFlare OMG

Shocked that it has taken me so long, thanks to a heads-up from a friend & #nixos via #claudecode, to see that I should have set up:
(1) #ECH on my #reverseproxy serving my sites
(2) #DoT on my daily driver.
#DNS url names (web addresses) are *not* #encrypted by default even on sensible operating systems!
The incessant leakage to #ISP & intermediaries of site names visited in 99.9% of cases is an egregious #privacy issue I never knew of. Using #DoH is next? All fixes rely on #CloudFlare OMG

Revision 709: HTTP/3 und WebTransport, mit Max Inden | Working Draft

https://workingdraft.de/709/

Das war ein echt schöner Überblick über QUIC, HTTP/3, DoH und ECH. Auch immer mit einem "warum" mit schwingend.

Danke @mxinden 🙏

#http3 #ECH #quic #internet

Ah #OpenSSL 4.0.0 est sorti la semaine dernière. Je note :

- Le support de SSLv3 dégage pour de bon
- Arrivée des salutations chiffrées (#ECH)
- Plus de crypto du turfu (post-quantique)

https://github.com/openssl/openssl/releases/tag/openssl-4.0.0

Ah #OpenSSL 4.0.0 est sorti la semaine dernière. Je note :

- Le support de SSLv3 dégage pour de bon
- Arrivée des salutations chiffrées (#ECH)
- Plus de crypto du turfu (post-quantique)

https://github.com/openssl/openssl/releases/tag/openssl-4.0.0

OpenSSL 4.0: privacy rafforzata e addio ai protocolli vecchi

https://yoota.it/openssl-4-0-privacy-rafforzata-e-addio-ai-protocolli-vecchi/

#OpenSSL 4.0.0 ported and we have #curl #ECH

#OpenSSL 4.0.0 ported and we have #curl #ECH

https://blog.gslin.org/archives/2026/04/15/12990/openssl-4-0-0-%e6%94%af%e6%8f%b4-ech/

OpenSSL 4.0.0 支援 ECH

#client #ech #encrypted #hello #openssl #privacy

https://blog.gslin.org/archives/2026/04/15/12990/openssl-4-0-0-%e6%94%af%e6%8f%b4-ech/

OpenSSL 4.0.0 支援 ECH

#client #ech #encrypted #hello #openssl #privacy

I pushed curl-rustls-8.19.0-3-x86_64.pkg.tar.zst to Arch Linux, with this version it's now possible to encrypt the TLS client hello:

curl-rustls -sSv --ech hard --doh-url='https://dns.mullvad.net/dns-query' 'https://defo.ie/ech-check.php'

Should display:

<p>SSL_ECH_OUTER_SNI: cover.defo.ie <br />
SSL_ECH_INNER_SNI: defo.ie <br />

The --doh-url is mandatory, otherwise curl won't query the `https` dns records (dig +short https defo.ie).

For opportunistic ECH use `--ech true`.

#archlinux #curl #ech

I pushed curl-rustls-8.19.0-3-x86_64.pkg.tar.zst to Arch Linux, with this version it's now possible to encrypt the TLS client hello:

curl-rustls -sSv --ech hard --doh-url='https://dns.mullvad.net/dns-query' 'https://defo.ie/ech-check.php'

Should display:

<p>SSL_ECH_OUTER_SNI: cover.defo.ie <br />
SSL_ECH_INNER_SNI: defo.ie <br />

The --doh-url is mandatory, otherwise curl won't query the `https` dns records (dig +short https defo.ie).

For opportunistic ECH use `--ech true`.

#archlinux #curl #ech

One Open-source Project Daily

Multi-platform auto-proxy client, supporting Sing-box, X-ray, TUIC, Hysteria, Reality, Trojan, SSH etc. It’s an open-source, secure and ad-free.

https://github.com/hiddify/hiddify-app

#1ospd #opensource #clash #clashmeta #ech #hysteria #hysteria2 #proxy #reality #shadowsocks #shadowtls #singbox #singbox #ssh #tuic #v2ray #vless #vmess #wireguard #xray

One Open-source Project Daily

Multi-platform auto-proxy client, supporting Sing-box, X-ray, TUIC, Hysteria, Reality, Trojan, SSH etc. It’s an open-source, secure and ad-free.

https://github.com/hiddify/hiddify-app

#1ospd #opensource #clash #clashmeta #ech #hysteria #hysteria2 #proxy #reality #shadowsocks #shadowtls #singbox #singbox #ssh #tuic #v2ray #vless #vmess #wireguard #xray

Yay, #OpenSSL 4.0, set to be released in April, will add support for Encrypted Client Hello (RFC 9849) #ECH

https://github.com/openssl/openssl/blob/openssl-4.0.0-alpha1/CHANGES.md

Yay, #OpenSSL 4.0, set to be released in April, will add support for Encrypted Client Hello (RFC 9849) #ECH

https://github.com/openssl/openssl/blob/openssl-4.0.0-alpha1/CHANGES.md

He notado cierto cierto regustillo y felicidad en los comentarios de @ecollado en su último podcast sobre #ECH https://overcast.fm/+AAV0zD9mEpQ

He notado cierto cierto regustillo y felicidad en los comentarios de @ecollado en su último podcast sobre #ECH https://overcast.fm/+AAV0zD9mEpQ

So the version of cURL distributed on Termuz disabled ECH support for whatever reason. Bloody awesome when you want to rely on readily-available tools for tests.

Edit: The version bundled in Windows also doesn't offer such support. Seems like it's disabled by default.

#curl #Termux #ECH #ESNI

So the version of cURL distributed on Termuz disabled ECH support for whatever reason. Bloody awesome when you want to rely on readily-available tools for tests.

Edit: The version bundled in Windows also doesn't offer such support. Seems like it's disabled by default.

#curl #Termux #ECH #ESNI

ECH se convierte en estándar oficial: cómo mejora la seguridad de las conexiones HTTPS

📰 Título original: ECH, la mejora del cifrado web creada por Cloudflare y Apple que enfadó a LaLiga, ya es un estándar oficial

🤖 IA: Es clickbait ⚠️
👥 Usuarios: Es clickbait ⚠️

Ver resumen IA completo: https://killbait.com/es/ech-se-convierte-en-estandar-oficial-como-mejora-la-seguridad-de-las-conexiones-https/?redirpost=937b5ea4-aa39-4cc8-a9d2-e74d3662dc3e

#tecnología #ech #cifrado #tls

ECH se convierte en estándar oficial: cómo mejora la seguridad de las conexiones HTTPS

📰 Título original: ECH, la mejora del cifrado web creada por Cloudflare y Apple que enfadó a LaLiga, ya es un estándar oficial

🤖 IA: Es clickbait ⚠️
👥 Usuarios: Es clickbait ⚠️

Ver resumen IA completo: https://killbait.com/es/ech-se-convierte-en-estandar-oficial-como-mejora-la-seguridad-de-las-conexiones-https/?redirpost=937b5ea4-aa39-4cc8-a9d2-e74d3662dc3e

#tecnología #ech #cifrado #tls

RFC 9934: Privacy-Enhanced Mail (PEM) File Format for Encrypted ClientHello (ECH)

La technique #ECH permet de boucher une faille de #TLS, la transmission en clair du nom du serveur demandé. Elle est normalisée dans le RFC 9849 mais il y manquait la description d'un format standard pour envoyer les données nécessaires à ECH. C'est désormais fait (et vous reconnaitrez le classique format #PEM).

https://www.bortzmeyer.org/9934.html (avec ma clé privée dans l'article)

RFC 9934: Privacy-Enhanced Mail (PEM) File Format for Encrypted ClientHello (ECH)

La technique #ECH permet de boucher une faille de #TLS, la transmission en clair du nom du serveur demandé. Elle est normalisée dans le RFC 9849 mais il y manquait la description d'un format standard pour envoyer les données nécessaires à ECH. C'est désormais fait (et vous reconnaitrez le classique format #PEM).

https://www.bortzmeyer.org/9934.html (avec ma clé privée dans l'article)

It’s finally out! Encrypted Client Hello (ECH) for encrypting web-site domains when connecting to a server. https://datatracker.ietf.org/doc/rfc9849/ #ECH #HTTPS #TLS #RFC9849

https://blog.gslin.org/archives/2026/03/04/12913/ech-%e8%ae%8a%e6%88%90-standards-track-%e4%ba%86/

ECH 變成 Standards Track 了

#client #clienthello #ech #encrypted #encryption #esni #header #hello #https #rfc #ssl #standards #tls #track

https://blog.gslin.org/archives/2026/03/04/12913/ech-%e8%ae%8a%e6%88%90-standards-track-%e4%ba%86/

ECH 變成 Standards Track 了

#client #clienthello #ech #encrypted #encryption #esni #header #hello #https #rfc #ssl #standards #tls #track

RFC 9848: Bootstrapping TLS Encrypted ClientHello with DNS Service Bindings

Le protocole #ECH (Encrypted Client Hello, normalisé dans le RFC 9849) permet de chiffrer la salutation #TLS (le ClientHello), notamment le nom du serveur auquel on se connecte. Mais pour cela, il faut la clé publique du serveur. Un des moyens de la récupérer est dans le #DNS, comme normalisé dans notre #RFC.

https://www.bortzmeyer.org/9848.html

RFC 9848: Bootstrapping TLS Encrypted ClientHello with DNS Service Bindings

Le protocole #ECH (Encrypted Client Hello, normalisé dans le RFC 9849) permet de chiffrer la salutation #TLS (le ClientHello), notamment le nom du serveur auquel on se connecte. Mais pour cela, il faut la clé publique du serveur. Un des moyens de la récupérer est dans le #DNS, comme normalisé dans notre #RFC.

https://www.bortzmeyer.org/9848.html

@vitriolix The RFC about #ECH has just been published: https://www.rfc-editor.org/info/rfc9849

@vitriolix The RFC about #ECH has just been published: https://www.rfc-editor.org/info/rfc9849

RFC 9849: TLS Encrypted Client Hello

En cryptographie, il y a parfois un problème d'œuf et de poule : quand un client #TLS se connecte, il envoie en clair au serveur le nom utilisé. Cet envoi pose un problème de vie privée, et est utilisé pour la censure. Il faut chiffrer ce nom, ce #SNI. Mais avec quelle clé, puisqu'on a besoin du nom pour avoir une clé ? Ce #RFC fournit un mécanisme, #ECH (Encrypted Client Hello), qu'on pourrait traduire par « salutation chiffrée ».

https://www.bortzmeyer.org/9849.html

RFC 9849: TLS Encrypted Client Hello

En cryptographie, il y a parfois un problème d'œuf et de poule : quand un client #TLS se connecte, il envoie en clair au serveur le nom utilisé. Cet envoi pose un problème de vie privée, et est utilisé pour la censure. Il faut chiffrer ce nom, ce #SNI. Mais avec quelle clé, puisqu'on a besoin du nom pour avoir une clé ? Ce #RFC fournit un mécanisme, #ECH (Encrypted Client Hello), qu'on pourrait traduire par « salutation chiffrée ».

https://www.bortzmeyer.org/9849.html

The Alps are warming rapidly, and winter as we know it is fading. Why are plants, people and the ski industry struggling to adapt? Can artificial snow buy enough time, and what is needed to maintain quality of life in the mountains? 🏔️❄️

Research by #ECH members Valentina Ausserladscheider and Stefan Dullinger offers some answers. ⤵️

https://ech.univie.ac.at/story/melting-certainties-ecology-and-tourism-in-the-alps

The Alps are warming rapidly, and winter as we know it is fading. Why are plants, people and the ski industry struggling to adapt? Can artificial snow buy enough time, and what is needed to maintain quality of life in the mountains? 🏔️❄️

Research by #ECH members Valentina Ausserladscheider and Stefan Dullinger offers some answers. ⤵️

https://ech.univie.ac.at/story/melting-certainties-ecology-and-tourism-in-the-alps

Nueva entrada en la página sobre cómo endurecer nuestra privacidad en la red. Se agradece difusión ->
https://alt43.es/endurecimiento-de-la-privacidad-en-red/
#vpn #ech #dot #doh

Nueva entrada en la página sobre cómo endurecer nuestra privacidad en la red. Se agradece difusión ->
https://alt43.es/endurecimiento-de-la-privacidad-en-red/
#vpn #ech #dot #doh

Day in the Life of Buffalo Sabres Draft Pick Stiven Sardarian | Michigan Tech Hockey https://www.rawchili.com/4873446/ #BuffaloSabres #BuffaloSabres #CollegeHockey #CollegeHockeyPodcast #ECH #EverythingCollegeHockey #GameDay #GameDayExperience #hockey #HockeyPucks #MensCollegeHockey #NHL #pucks #PucksInDeep #PucksInDeepPodcast #Women'sCollegeHockey

Moin. Am Dienstag geht‘s nach seeehr langer Zeit endlich wieder an den „Turm“ (Pferdeturm) zum #Eishockey. Das bedarf natürlich gründlicher Vorbereitung. Die engere Wahl fiel dann auf diese beiden ebenfalls seeehr alten Trikots. Jetzt wird‘s knifflig. Das ältere (links), oder das personalisierte (Namen und Geburtsjahr) rechts? 🤔
#ECH #Hannover #ECHannoverIndians

Moin. Am Dienstag geht‘s nach seeehr langer Zeit endlich wieder an den „Turm“ (Pferdeturm) zum #Eishockey. Das bedarf natürlich gründlicher Vorbereitung. Die engere Wahl fiel dann auf diese beiden ebenfalls seeehr alten Trikots. Jetzt wird‘s knifflig. Das ältere (links), oder das personalisierte (Namen und Geburtsjahr) rechts? 🤔
#ECH #Hannover #ECHannoverIndians

Обновил web-сервер Angie до версии 1.11.0.

Список изменений довольно большой. Больше всего меня заинтересовало внедрение поддержки ECH (Encrypted Client Hello). Осталось дождаться официальной поддержки шифрования заголовка со стороны OpenSSL.

#linux #nixos #angie #ech

Обновил web-сервер Angie до версии 1.11.0.

Список изменений довольно большой. Больше всего меня заинтересовало внедрение поддержки ECH (Encrypted Client Hello). Осталось дождаться официальной поддержки шифрования заголовка со стороны OpenSSL.

#linux #nixos #angie #ech

Эпоха «белых списков»: почему ваши конфиги в декабре 2025 года начали превращаться в тыкву, и что нас ждет…

Всем привет, декабрь 2025-го принес нам не только предновогоднюю суету, но и явное ощущение того, что гайки закручиваются на новый уровень. Если раньше блокировки напоминали стрельбу по площадям, то сейчас мы видим признаки внедрения концепции Default Deny (запрещено всё, что не разрешено). Пока это не тотальный «белый список» на всю страну, но в отдельных регионах и на мобильных сетях тенденция налицо: если твой трафик не похож на типичный поход за хлебом в Яндекс или ВК, то с большой вероятностью он будет придушен Сразу скажи, это статья по факту является выжимкой всей инфы, которую мне удалось раскопать, общаясь в чатах с ребятами и админами из разных регионов, и тестом разных конфигов, на разных провайдерах, и естественно где то я могу ошибаться Картина вырисовывается интересная и местами печальная:

https://habr.com/ru/articles/979128/

#VLESS #Reality #xHTTP #Xraycore #gRPC #XTLSvision #Shadowsocks #TLS_13 #ECH

So while debugging problems establishing #TLS v1.3 connection to servers, I noticed that #Fortinet, once again, plays a**hole by giving Enterprise admins (the worst kind) the option to sabotage TLS v1.3 #ECH (Encrypted Client Hello) connection setups. They do this by destroying the records needed to set up ECH in DNS response packets. Time to make ECH compulsory instead of optional, I guess. #DevOps @ietf https://community.fortinet.com/t5/FortiGate/Technical-Tip-How-to-block-TLS-1-3-Encrypted-Client-Hello-ECH-in/ta-p/328324

Investors are pushing for “progress on—or increased investment in—Apple Intelligence.”

Apple has also faced lawsuits claiming Apple’s AI (based on its advertising) does not meet consumer expectations.

/2
#ech #AI #Apple

~ What Analysts Think of Apple Stock Ahead of Earnings~

https://www.investopedia.com/what-analysts-think-of-apple-stock-ahead-of-earnings-11780160

Automatic HTTPS with Encrypted ClientHello (ECH)
https://caddyserver.com/docs/automatic-https#encrypted-clienthello-ech #caddy #docs #ech #infosec

Caddy 2.10 has been released, featuring fully-automated Encrypted ClientHello (ECH), post-quantum key exchange (x25519mlkem768), ACME profiles (6-day certs!), and many improvements/fixes. Please verify it works for you and deploy away! #caddy #ech
https://github.com/caddyserver/caddy/releases/tag/v2.10.0