Começou do projeto de ato legal para modificar a Lei Federal "Sobre informações, tecnologias da informação e sobre proteção de informações", desenvolvido pelo Ministério do Desenvolvimento Digital, Comunicações e Mídia. A lei propõe a introdução de uma proibição sobre o uso no território da Federação Russa de "protocolos de criptografia que permitem ocultar o nome (identificador) da página ou site da Internet, exceto nos casos estabelecidos pela legislação da Federação Russa".
Por violar a proibição de uso dos protocolos de criptografia que permitem ocultar o nome do site, propõe-se suspender o funcionamento do recurso da Internet no prazo máximo de 1 (um) dia útil a partir da descoberta da referida violação por um órgão federal autorizado do poder executivo. O principal objetivo do bloqueio é a extensão TLS (anteriormente conhecido como ESNI), que pode ser usado em conjunto com TLS 1.3 e já na China. Como as formulações no projeto de lei são vagas e carecem de especificidade, além do ECH/ESNI, formalmente podem ser bloqueados praticamente quaisquer protocolos que garantam a criptografia total do canal de comunicação, bem como os protocolos (DoH) e (DoT).
Vale lembrar que, para organizar o funcionamento de vários sites HTTPS em um único endereço IP, na época foi desenvolvido a extensão SNI, que realiza a transmissão do nome do host em formato aberto na mensagem ClientHello, enviada antes do estabelecimento do canal de comunicação criptografado. Essa característica permite ao provedor de internet filtrar seletivamente o tráfego HTTPS e analisar quais sites o usuário acessa, o que não permite alcançar total confidencialidade ao usar HTTPS.
O ECH/ESNI elimina completamente a possibilidade de vazamento de informações sobre o site solicitado ao analisar conexões HTTPS. Em combinação com o uso de uma rede de entrega de conteúdo, o ECH/ESNI também permite ocultar do provedor o endereço IP do recurso solicitado — os sistemas de inspeção de tráfego veem apenas as solicitações para o CDN e não podem aplicar bloqueios sem modificar a sessão TLS, caso em que o navegador do usuário mostrará um aviso correspondente sobre a modificação do certificado. Se houver uma proibição do ECH/ESNI para combater essa possibilidade, somente uma restrição total ao acesso a redes de entrega de conteúdo (CDN) que suportam ECH/ESNI poderá ajudar, caso contrário, o bloqueio será ineficaz e facilmente contornado com o uso do CDN.
Ao usar ECH/ESNI, o nome do host, assim como no SNI, é transmitido na mensagem ClientHello, mas o conteúdo dos dados transmitidos nessa mensagem é criptografado. A criptografia utiliza um segredo calculado com base nas chaves do servidor e do cliente. Para descriptografar o valor capturado ou recebido no campo ECH/ESNI, é necessário conhecer a chave privada do cliente ou do servidor (mais as chaves públicas do servidor ou do cliente). As informações sobre as chaves públicas são transmitidas para a chave do servidor no DNS, e para a chave do cliente na mensagem ClientHello. A descriptografia também é possível com um segredo compartilhado acordado durante o processo de estabelecimento da conexão TLS, que é conhecido apenas pelo cliente e pelo servidor.
Fonte: opennet.ru
