Проверка поддержки Encrypted SNI
Jun. 10th, 2021 09:53 am![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
victor_sudakovПроверить свой браузер на поддержку Encrypted SNI
Также проверяет поддержку DNSSEC и др.
victor_sudakovvictor_sudakovProfile
Виктор Судаков
Navigation
Page Summary
Style Credit
- Style: Night Sea for Tranquility III by branchandroot
Expand Cut Tags
No cut tags
no subject
Date: 2021-06-10 11:53 am (UTC)ps Как по мне, лучше использовать dnscrypt и сервера-анонимайзеры к нему.
no subject
Date: 2021-06-11 02:24 am (UTC)DNS это другой вопрос, мне было интересно проверить поддержку ESNI в браузере, и оказалось что ни Firefox ни Chrome на моем десктопе (свежий Manjaro Linux) не поддерживают его.
Как это? Мне как раз интересно было, можно ли скрыть доменное имя посещаемого сайта от слишком любопытных глаз.
Я что-то не очень понял, как там посмотреть, поддерживает ли мой браузер ESNI. Сайт ответил:
Successfully connected TLS 1.3 OK; HelloRetryRequest used;значит ESNI не работает?no subject
Date: 2021-06-11 03:10 am (UTC)==
Successfully connected
TLS 1.3 OK; ESNI OK;
Detailed description:
v.0.21.8-k
(This TLS-1.3-only server supports ESNI, HelloRetryRequest, KeyUpdate, ECDHE, FFDHE, etc.)
Using ESNI
Hostname from encrypted SNI:
tls13.1d.pw
ESNI nonce: 0x38B8842F8B0A8544F11375101D2F281E
ESNI key share group: 0x0018 (Secp384r1)
ESNI cipher: 0x1301 (TLS_AES_128_GCM_SHA256)
IV: 0x7074A29EE6370D3410CE9DA0
Symmetric key: 0x063D35F7C2E5BEC5691C07371A57231E
==
И в конце будут нарисованы два кота, а не один текстовыми символами. Но, может быть, вам нужно с настройками разобраться, esni работает только с включенным и настроенным doh.
Но это ж был черновой вариант - на смену esni пришел или собирался придти ech - подробности
(https://www.opennet.ru/opennews/art.shtml?num=54384)
Ну и здесь как раз более свежие версии ФФ и хрома могут уже не поддерживать esni (честно говоря, я не проверял, есть ли эти настройки на свежайших).
no subject
Date: 2021-06-11 05:12 am (UTC)Похоже выкинули, в about:config уже нет ничего про esni.
DoH у меня работает неуверенно, тот же тест от CloudFlare через раз показывает то успех, то неудачу. Надо наверное где-то гайки потуже закрутить, например поставить
network.trr.mode=3no subject
Date: 2021-06-11 05:48 am (UTC)https://dns.adguard.com/dns-query
и другие adguard.
Nextdns.io мне понравился - там большая квота бесплатных запросов и куча гибких настроек. И тоже неплохо уживается и с ФФ и с Вивальди-андроид на основе хромиум. Но там надо создавать свою учётку (это бесплатно и не сложно в общем-то).
А так - да, если doh работает нормально, то режим 3.
no subject
Date: 2021-06-11 10:16 am (UTC)Ага, спасибо, посмотрю на другие. Если найду надёжный, я вообще собирался в Микротике подключить его.
no subject
Date: 2021-06-11 03:14 am (UTC)Попробуйте покопаться в настройках.
no subject
Date: 2021-06-11 10:15 am (UTC)Обычно на подобных тестовых сайтах если тестируемое не работает, об этом тоже принято написать явно.
no subject
Date: 2021-06-11 09:25 pm (UTC)В общем, я попробовал поставить на свой андроид свежий IceRaven, основанный на ночнушке ФФ 89. Включил там поддержку ECH. Не, по-моему, не работает, но я даже не понимаю пока как проверить, если только не снимать дамп траффика (мне чуть леньки). Но я прочёл, что ECH как бы до работающего состояния пока не довели в принципе, и Мозилла советует пользоваться старыми esr-версиями ФФ и esni, а он не защищает по-настоящему, отсюда и потребность в новом ECH. Вот у меня и стоит старый ФФ 68.12esr с esni. Если хотите, вы можете найти под линукс сборку старого ФФ, поддерживающего esni и пользоваться. Я не знаю, какая версия там была последней поддерживающей, но нагуглить можно. Собственно, я не уверен, что на момент сегодня можно увидеть практическую пользу от esni/ech, но, может быть, вы знаете способ. Я узнал, например, что этот сайт поддерживает esni.
no subject
Date: 2021-06-13 02:18 pm (UTC)Когда делаешь для себя и друзей - такой подход оправдан, не спорю. Я вот сделал http://admin.sibptus.ru/w и http://ipv6.sibptus.ru/w для себя и пары знакомых, смотреть через кого выходишь в Интернет - ни к чему не обязывает.
А если делаешь с расчетом на хоть какую-то публику, IMHO надо делать по-другому.
По поводу же шифрования SNI - грустно что ESNI уже убрали, а то что должно его заменить -не внедрили.
no subject
Date: 2021-06-13 03:01 pm (UTC)https://statdom.ru/tld/ru/report/esnitotal/#64
То есть, в принципе, есть смысл найти, настроить и пользоваться, это работает, но насколько это полезно обычному человеку практически, а не для ачивки так сказать - бог весть.
Ну а я пользуюсь старым ФФ 68 потому что это последняя версия со старым и удобным мне интерфейсом и любое расширение можно поставить, включая не опубликованные официально, потом это всё поменяли/убрали/сломали. А esni настроил... несколько лет назад это была модная тема, вот и настроил. На практике разницы я не чувствую.
no subject
Date: 2021-06-13 03:08 pm (UTC)Скажем, я, наоборот, предпочитаю сугубо техническую информацию, подробности, а не "крестики и галочки", но - дело вкуса.
no subject
Date: 2021-06-13 03:41 pm (UTC)Да, у ipv6.sibptus.ru только AAAA запись, это такая "жесткая" проверка на наличие IPv6.
Первая ссылка имеет как A, так и AAAA запись, т.е. будет показан адрес (и whois по нему) того протокола, который предпочтет браузер.
no subject
Date: 2021-06-11 09:32 pm (UTC)https://dxdt.ru/2019/07/18/8811/