Mozilla ha estado desarrollando esta nueva tecnología de privacidad en Internet durante casi media década

Encrypted Client Hello mejor conocido por sus siglas (ECH) es la nueva funcionalidad que Mozilla ha anunciado como parte del nuevo soporte para los usuarios de la rama estable de Firefox.

ECH, es una nueva tecnología que está diseñada para cifrar información sobre los parámetros de las sesiones TLS, como el nombre de dominio solicitado, ya que este utiliza un esquema de distribución de claves diferente para el cifrado: la información de la clave pública se guarda en registros DNS HTTPSSVC en lugar de registros TXT.

Para obtener y cifrar la clave se utiliza cifrado autenticado de extremo a extremo basado en el mecanismo HPKE. ECH también admite la retransmisión segura de claves desde el servidor, que se puede utilizar en caso de rotación de claves en el servidor y para resolver problemas al recuperar claves obsoletas del caché DNS.

Este diagrama muestra cómo un navegador establece una conexión segura con un servidor web mediante ECH

Dado que, además de conectarse al servidor, la información sobre los dominios solicitados se filtra a través de DNS, para una protección completa, además de ECH, es necesario utilizar tecnología DNS sobre HTTPS o DNS sobre TLS para cifrar el tráfico DNS. Firefox no utilizará ECH sin DNS sobre HTTPS habilitado en la configuración. Puede consultar el soporte de ECH en su navegador en esta página.

Gran parte de nuestros datos compartidos a través de sitios web, como nuestras contraseñas, números de tarjetas de crédito y cookies, están protegidos con protocolos criptográficos como Transport Layer Security (TLS). ECH es una nueva extensión TLS que también protege la identidad de los sitios web que visitamos, llenando la brecha de privacidad en nuestra infraestructura de seguridad en línea existente.

Mozilla menciona que uno de los factores fundamentales para la integración de ECH de manera predetermina en Firefox fue la inclusión del soporte ECH por parte de Cloudflare en su red de entrega de contenido hace unos días. Desde el punto de vista práctico, dado que los datos sobre los hosts solicitados cuando se usa ECH están ocultos para el análisis, filtrar y bloquear sitios no deseados usando Cloudflare CDN ahora requerirá bloquear toda la red de Cloudflare, bloquear todas las solicitudes de ECH u organizar la interceptación HTTPS usando certificados raíz falsos. en el sistema del usuario.

Inicialmente, para organizar el trabajo en una dirección IP de varios sitios HTTPS, se utilizó la extensión TLS SNI, en la que el nombre del host solicitado se indicaba en el mensaje ClientHello transmitido antes de establecer un canal de comunicación cifrado.

Se menciona que gracias a esta característica se hizo posible el poder distribuir las solicitudes entre hosts virtuales en una etapa temprana del procesamiento de la conexión, pero también hizo posible que el ISP filtrara selectivamente el tráfico HTTPS y analizara qué sitios abre el usuario, lo que no permitió lograr una total confidencialidad al usar HTTPS.

Para solucionar este problema y evitar la filtración de información sobre el sitio solicitado, posteriormente se propuso una extensión ESNI que implementa el cifrado de datos con el nombre del host.

Durante la implementación de ESNI, se reveló que el mecanismo propuesto no cubre todas las fuentes posibles de fuga de datos del host y su uso no es suficiente para garantizar la total confidencialidad de las sesiones HTTPS. En particular, al reanudar una sesión previamente establecida, el nombre de dominio en texto claro seguía estando especificado entre los parámetros de la extensión TLS PSK. Además, los esfuerzos para implementar ESNI han identificado problemas de compatibilidad y escalamiento que han impedido la adopción generalizada de ESNI.

Con ECH en Firefox, los usuarios pueden estar seguros de que sus patrones de navegación son más privados.

Finalmente cabe mencionar que el código para trabajar con ECH se agregó originalmente en la versión Firefox 85, pero estaba deshabilitado de forma predeterminada y Google por su parte comenzó incluir de manera gradual en Chrome el soporte ECH a partir del lanzamiento de Chrome 115.

Si estás interesado en poder conocer más al respecto, puedes consultar los detalles en el siguiente enlace.