ما فائدة ECH وكيف تمنع المشغل الخاص بك من حظر الوصول إلى مواقع الويب؟

وُلد بروتوكول HTTPS بهدف جعل تصفح الإنترنت أكثر خصوصية وأمانًا، وقد ذهب تطور بروتوكول DNS في نفس الاتجاه، سواء مع DNS عبر TLS (DoT) وأيضًا DNS عبر HTTPS (DoH) ، وكلاهما يسمحان يمكننا تقديم طلبات DNS بطريقة مشفرة وخاصة تمامًا ، حتى لا يتمكن أي شخص في منتصف الاتصال من التجسس علينا. عندما نحاول الدخول إلى موقع ويب، يتم إرسال النطاق الذي نريد الوصول إليه بنص عادي من خلال SNI (إشارة اسم الخادم) ، ومع ذلك، وصلت ECH لحل هذه المشكلة وجعل التصفح أكثر أمانًا.
في بداية أكتوبر 2023، قامت Cloudflare بتنشيط ملحق ECH (Encrypted Client Hello) عبر شبكتها، مما يجعل تصفح المستخدم أكثر أمانًا وخصوصية، حيث لن يتمكن أحد من معرفة مواقع الويب التي نصل إليها، وهو الأمر الذي كان ممكنًا من قبل. كان يحدث. ومع ذلك، بعد أسبوعين فقط، قرر عملاق الإنترنت تعطيل هذه الوظيفة ، على الأقل مؤقتًا، نظرًا لأنهم واجهوا العديد من المشكلات غير المتوقعة في تنقل المستخدم. في الأساس، لم تتمكن المتصفحات من الدخول إلى جميع مواقع الويب بشكل صحيح، وكانت تعمل في بعض الأحيان ولكنها لا تعمل في أحيان أخرى، والسبب هو تطبيق ECH الذي قاموا به. سنشرح لك اليوم في RedesZone ما هي ECH، وكيفية تنشيطها في متصفحات الويب وكيفية التحقق مما إذا كانت مفعلة بالفعل أم لا.

ما هو امتداد ECH

يحتوي بروتوكول TLS على امتداد يسمى SNI (إشارة اسم الخادم) والذي يتم إرساله دائمًا بنص واضح حتى يعرف خادم الويب الوجهة موقع الويب الذي نريد الوصول إليه، لأنه من الطبيعي أن يستضيف نفس الخادم عشرات الصفحات في وقت واحد. وهذا يمثل مشكلة حقيقية للخصوصية لأنه يمكن التقاطها بسهولة شديدة، وفي الواقع، يعتمد الحجب الذي يقوم به المشغلون حاليًا بدقة على التحقق من حقل SNI لبروتوكول TLS. تم الآن إصلاح هذه المشكلة باستخدام ملحق TLS المسمى ECH .

يتيح لنا امتداد TLS المسمى Encrypted Client Hello (ECH) تشفير أول “مرحب” يقوم به العملاء لخادم الويب، وبهذه الطريقة، ستكون المعلومات الحساسة مثل اسم موقع الويب الذي نرغب في زيارته محمية تمامًا ضد الاعتراض من قبل جزء من أطراف ثالثة، مثل مشغلي الإنترنت أو أي مجرم إلكتروني ينفذ هجوم “رجل في الوسط” علينا. يمثل إطلاق ECH ثورة حقيقية في عالم الإنترنت، بعد HTTPS وبروتوكولات حماية طلبات DNS وقراراتها التي ذكرناها سابقًا.

متصفحات الإنترنت الرئيسية مثل Mozilla و Google Chrome ، وبعض عمالقة CDN مثل Cloudflare ، وحتى منظمة IETF، تعمل على تطوير امتداد TLS هذا لعدة سنوات للحصول على اتصال مشفر من نقطة إلى نقطة من أول “مرحبًا”. يجب أن يؤخذ في الاعتبار أن محتوى تصفح الويب، والمصادقة على مواقع الويب المختلفة، وعندما نقوم بإدخال بطاقاتنا على مواقع التسوق، وغير ذلك الكثير، يتم تشفيره بالكامل من نقطة إلى نقطة بفضل بروتوكول TLS. ومع ذلك، ستسمح لنا ECH بحماية هوية مواقع الويب التي نزورها، مما يجعل من المستحيل معرفة موقع الويب الذي نريد الوصول إليه، وهو أمر يحدث إذا لم نستخدم ECH ولدينا SNI الشهير.

عندما يتصل متصفح الويب بموقع ويب، يتم إرسال الموقع في الرسالة الأولية ولا يتم تشفيره، وسيكون نظام الاتصال كما يلي:

يستطيع امتداد ECH استخدام المفتاح العام الذي تم الحصول عليه من خلال نظام DNS لتشفير هذه الرسالة الأولى بين متصفح الويب وموقع الويب، وحماية اسم موقع الوجهة لمنع الحظر وتحسين خصوصية المستخدم. في الرسم البياني التالي يمكنك أن ترى أن هذه الرسالة مشفرة بالكامل:

إذا كنت تريد معرفة المزيد من التفاصيل حول كيفية عمل ملحق TLS هذا، فنوصيك بالاطلاع على مخطط الرسالة الكامل هذا بين عميل الويب والخادم:

من خلال تنشيط ملحق ECH هذا في متصفحات الويب وأيضًا في خوادم الويب وCDN، سنتمتع بخصوصية أكبر على مستوى العالم ، مما يمنع الأطراف الثالثة من “التجسس” على اتصالاتنا. من المهم جدًا ألا تدعم متصفحات الويب هذا البروتوكول فحسب، بل تدعم أيضًا خوادم الويب وشبكات CDN. يوجد حاليًا عدد قليل جدًا من مواقع الويب التي تدعم امتداد TLS هذا، في الواقع، قامت شركة Cloudflare العملاقة بتنشيطه منذ فترة واضطرت إلى إلغاء تنشيطه نظرًا لوجود العديد من مشكلات التنقل عبر مواقع الويب المختلفة الموجودة على CDN الخاص بها، ولا يزال الأمر كذلك لم يتم “ضبطه” بالكامل ليتم نشره بشكل جماعي. في الواقع، كان لدى Cloudflare إمكانية استخدام ECH بشكل فردي على مواقع الويب التي تريدها، ونظرًا لهذه المشكلات التي واجهوها، فقد قاموا بتعطيل هذه الإمكانية ولا يمكننا حتى تمكينها يدويًا.

مع ECH، هل لن يتمكن المشغلون من حجب المواقع الإلكترونية بالنسبة لي؟

منذ سنوات مضت، قام المشغلون بحظر مواقع الويب من خلال خوادم DNS . مما يعني أنه إذا استخدم العميل خوادم DNS الخاصة به، فلن يتمكن من الدخول إلى مواقع ويب معينة. ومع انتشار خوادم Google وCloudflare DNS، تهرب المزيد والمزيد من المستخدمين من هذه القيود، إلا إذا قام عملاقا الإنترنت أيضًا بحظر المجال. وهو أمر غير شائع عادةً في حالة مشاركة الملفات المحمية بحقوق الطبع والنشر فقط. ولهذا السبب. كان على المشغلين استثمار مبالغ كبيرة في الأنظمة لفحص جميع اتصالات TLS التي أجراها عملاؤهم . نظرًا لأنها مشفرة بالكامل. يمكنهم فقط رؤية حقل SNI، وهو المجال الذي يريد المستخدم الدخول إليه يقومون بالحظر مباشرة عن طريق إرجاع خطأ في الاتصال.

الآن مع امتداد ECH أصبح هذا مستحيلًا ، نظرًا لأن الاتصال بالكامل حتى أول “مرحبًا” مشفر بالكامل من نقطة إلى نقطة، ولن يتمكن المشغلون من فك تشفير هذا الاتصال دون “قطع” اتصال TLS. مما يؤدي إلى وضع اتصال رقمي الشهادة بينهما، مما قد يتسبب في قيام هذا المشغل بالتجسس على جميع الاتصالات بعملائه. حيث أنهم “سيرفعون” اتصال HTTPS.

من المهم جدًا أيضًا استخدام DNS الذي يضمن الأمان والخصوصية

في هذه الحالة، يتعين علينا استخدام كل من DNS عبر HTTPS (DoH) الذي قمنا بدمجه بالفعل في المتصفحات الرئيسية مثل Chrome أو Firefox، وحتى DNS عبر TLS الذي يمكننا التهيئة مباشرة على جهاز التوجيه الخاص بنا حتى يتمكن العملاء على الشبكة المحلية من تقديم الطلبات وتلقي قرارات DNS بخصوصية تامة. عند استخدام DoH أو DoT. لا يمكن اعتراض رسائل DNS أو تعديلها بسرعة.

بالطبع، يمكن دمج كل هذه البروتوكولات مع شبكات VPN (الشبكة الخاصة الافتراضية) لإضافة طبقة أخرى من الخصوصية والأمان، خاصة وأن شبكات VPN تسمح لنا بإخفاء عنوان IP العام للمستخدم، وتشفير كل حركة المرور بالكامل. في هذه الحالات، يكون من المنطقي أيضًا استخدام ECH. لأننا سنحمي هويات مواقع الويب التي نزورها أثناء اتصالنا بموفر VPN.

بديل لـ ECH لتجنب الأعطال

على الرغم من أنه بديل بسيط جدًا وقد لا يعمل دائمًا، إلا أن استخدام بيانات الهاتف المحمول للتصفح مع جهاز الكمبيوتر الخاص بك المتصل به يعد خيارًا قد يكون مفيدًا في بعض الأحيان. خاصة إذا كان المشغل مختلفًا عن شبكة WiFi التي نتصل بها. تعتمد معظم هذه الكتل على الشركة. وبالتالي فإن استخدام أخرى يمكن أن يكون حلاً فعالاً في وقت محدد، مما يساعدنا أيضًا على تغيير عنوان IP وتجنب أنواع الحظر الأخرى.

وماذا عن الضوابط الأبوية؟

على المستوى المحلي والمهني أيضًا. لدينا أنواع مختلفة من التقنيات لتصفية مواقع الويب التي يمكن أو لا يمكن زيارتها عبر أجهزة مختلفة. في الوقت الحالي. تستخدم المتصفحات مثل Chrome أو Firefox DNS عبر HTTPS لتشفير طلبات DNS، لذلك إذا كان لدينا نظام DNS في المنزل مثل PiHole أو AdGuard Home لتصفية هذه الطلبات، فلن نتمكن من حظر الطلبات الضارة أو الإعلانية. ويحدث نفس الشيء في حالة تفعيل ECH. فقد لا تتمكن الشركات من حظر نطاقات معينة إذا استخدمناها.

في هذه الحالات. يسمح لك كل من Mozilla وGoogle بتكوين تفعيل أو إلغاء تنشيط ملحق TLS هذا في المتصفحات. للسماح باستخدام هذه الميزة أو عدم السماح بها. وفي حالة أردنا تنفيذ خيارات إلغاء الاشتراك على مستوى الشبكة. فيمكننا القيام بذلك دون مشاكل.

كيفية تفعيله في متصفح موزيلا فايرفوكس

أول شيء يجب علينا التحقق منه هو أن لدينا إصدار Mozilla Firefox 118 أو إصدار أحدث، وسيتعين علينا تمكين DNS عبر HTTPS حتى يعمل، وإلا فلن يكون متاحًا. حتى لو تم تنشيطه. في الوقت الحالي، يسمح Firefox باستخدامه فقط في حالة تمكين DoH.

إذا دخلنا إلى قائمة تكوين Firefox المتقدمة عن طريق إدخال ” about:config ” في شريط العناوين وبحثنا عن السلسلة “echconfig”، يمكننا أن نرى أن كل شيء مضبوط على “true”، مما يعني أنه ممكّن. بالإضافة إلى ذلك، قمنا بتعطيل الخيار الاحتياطي لتحقيق أقصى قدر من الأمان.

لتمكين DNS عبر HTTPS إذا لم تكن قد قمت بتمكينه بالفعل. فيجب عليك الانتقال إلى قسم ” الأدوات / الإعدادات ” وفي قائمة ” الخصوصية والأمان ” يمكنك رؤيته في الأسفل. في هذه القائمة. يجب عليك تنشيط الحماية الافتراضية أو المتزايدة أو القصوى، لتتمكن من استخدام DoH ولكي تكون ECH متاحة.

بمجرد قيامنا بتنشيط DNS عبر HTTPS. فعندما ندخل إلى موقع ويب يدعم هذه الوظيفة. فسنستخدمه. ومع ذلك، لا تزال ECH اليوم “خضراء” إلى حد ما. لذا قد تواجه مشكلات في الاتصال.

قم بتنشيطه في متصفح Chrome

إذا كنت تستخدم متصفح Google Chrome وتريد استخدام ملحق TLS هذا لحماية خصوصيتك. فيمكنك استخدامه بدءًا من الإصدار 117 من المتصفح. الشيء الطبيعي هو أن يتم تحديث المتصفح دائمًا إلى الإصدار الأحدث، لذلك لن تواجه مشكلات، ولكن تحقق من الإصدار من قائمة النقاط الرأسية الثلاثة ” مساعدة / معلومات Google Chrome ” وسترى شيئًا مثل هذا:

بمجرد التأكد من الإصدار

نضع في شريط العناوين ما يلي ليأخذنا مباشرة إلى التكوين: “chrome://flags/#encrypted-client-hello” وسنرى القائمة التالية:

في الخيار الأول، سيتعين علينا الانتقال من «افتراضي» إلى « تمكين ». والنقر على زر « إعادة التشغيل » لتطبيق التغييرات بشكل صحيح. التكوين سيكون على النحو التالي:

في هذه الحالة. من الضروري أيضًا تمكين DNS عبر HTTPS وتشغيله. نذهب إلى قسم « الإعدادات / الخصوصية والأمان » أو ندخل مباشرة عنوان URL التالي من المتصفح: « chrome://settings/security «. بمجرد الدخول، يجب عليك تمكين DNS الآمن وتحديد Cloudflare أو أي مزود آخر مدمج في المتصفح:

بمجرد الانتهاء من ذلك، سيكون لدينا كل من DoH وECH يعملان لتصفح الويب. على الرغم من أنه من المنطقي أن يعملا فقط على خوادم الويب التي تدعمه.

تحقق مما إذا كان لديك تفعيل ECH

بمجرد قيامنا بتنشيط ECH في متصفحات الويب. من الضروري التحقق من تمكينها بالفعل لتجنب مشاكل الخصوصية. توجد حاليًا أدوات مختلفة عبر الإنترنت للتحقق من ذلك. والمفضلة لدينا هي تلك التي تقدمها Cloudflare مجانًا. يمكنك الوصول مباشرة إلى هذا الرابط وإجراء الاختبار. ويستغرق الأمر بضع ثوان للتحقق مما إذا كان لدينا ممكّنًا ويعمل:

يجب أن يظهر شيء مثل هذا. مما يشير إلى أن لدينا DNS و DNSSEC و TLS 1.3 آمنًا وأيضًا “Secure SNI” وهو ECH:

يسمح لنا Cloudflare أيضًا بالوصول إلى أداة عبر الإنترنت في الوضع النصي. وهذا مثالي للتحقق منها دون الحاجة إلى الانتقال إلى صفحة ويب معينة. وحتى لأتمتة البرامج النصية.

يجب أن نحصل على شيء مثل هذا:

في قسم “SNI” يظهر “مشفر” لذلك نحن نستخدم ملحق TLS 1.3 هذا دون مشاكل.

وأخيرا، هناك موقع آخر يمكننا استخدامه وهو ما يلي:

في هذه الحالة يجب أن نحصل على شيء مثل هذا:

يجب أن يظهر الخيار الأخير “SSL_ECH_STATUS” على أنه “Success”. وهذا يشير إلى أن ملحق TLS يعمل بشكل صحيح وبدون مشاكل.

كما ترون، من السهل جدًا تمكين هذه الوظيفة المهمة لحماية خصوصيتنا. ومن السهل جدًا التحقق من أنها تعمل بشكل صحيح. أحد الجوانب المهمة للغاية هو أنه قد تكون هناك حالة لا يتم فيها تحميل موقع الويب بشكل صحيح بسبب تمكين هذه الوظيفة. في الواقع. قررت Cloudflare تعطيلها على جميع مواقع الويب بشكل افتراضي لأنها اكتشفت العديد من مشكلات التنقل.

عيوب تفعيل ECH

ورغم أنه يمكن استخدامه لتجنب حجب الصفحات بالإضافة إلى فوائد أخرى، إلا أن له أيضًا عيوب يجب أن ندركها:

• عدم التوافق والحاجة إلى التحديثات: قد لا تدعم العديد من الخوادم والعملاء الحاليين ECH، مما قد يؤدي إلى مشكلات التوافق. وبنفس الطريقة، لكي يظل فعالًا. فيما يمكننا استخدامه، هناك حاجة إلى تحديثات دورية له، لذلك لن يكون الأمر بسيطًا مثل تمكينه ونسيانه.
• تحميل المعالجة وزمن الوصول: استخدام هذا الامتداد يعني أنه سيتعين على كل من العميل والخادم العمل بجدية أكبر، وهو ما يمكن أن يمثل مشكلة على الأنظمة التي لا تحتوي على الكثير من الموارد. بالإضافة إلى ذلك، قد يكون إنشاء اتصال آمن أبطأ قليلاً عند استخدام ECH.
• محدود: لا يزال اعتماد ECH في مراحله الأولى. وقد لا تكون العديد من الخدمات والمكتبات والأدوات جاهزة لدعم هذه التكنولوجيا، مما قد يحد من نشرها وفعاليتها على المدى القصير.

قد تكون هناك عيوب أخرى. على الرغم من أن أهمها ستكون هذه، لذا إذا لم تؤثر عليك، فاستمر في تكوين الامتداد دون خوف واستمتع بالمزايا.