Firefox 118: улучшенная безопасность с поддержкой Encrypted Client Hello (ECH)

Mozilla выпустила Firefox 118 Stable в конце сентября. Это крупный релиз, который поставляется с долгожданным нативным переводчиком (который пока, к сожалению, не поддерживает перевод на русский язык).

Однако, локальный перевод сайтов — не единственная функция конфиденциальности, которая представлена в данной версии браузера. Firefox 118 также получил поддержку функции Encrypted Client Hello (ECH), которая защищает данные от сетевого шпионажа. В качестве шпиона может выступать как интернет-провайдер, так и любое лицо, прослушивающее трафик в сети.

При обычном подключении к сайту обычно используется безопасный протокол HTTPS. Это означает, что данные трафика зашифровываются и, следовательно, защищены от мониторинга. Однако адрес сайта, скажем comss.one, не зашифровывается, т.е. при мониторинге трафика происходит его утечка. Технология Encrypted Client Hello решает эту проблему, зашифровывая в том числе и адрес сайта.

Работа Encrypted Client Hello базируется на системе доменных имен и, в частности, на DNS over HTTPS (DoH). DNS поверх HTTPS зашифровывает данные поиска домена и используется для получения ключа сервера, который ECH использует для шифрования всего трафика к данному серверу и сайту.

Чтобы использовать Encrypted Client Hello пользователям Firefox необходимо убедиться, что в браузере используется DNS поверх HTTPS. Для этого выполните следующие действия:

• Перейдите на страницу about:preferences#privacy, чтобы открыть раздел настроек Приватность и Защита.
• Прокрутите страницу вниз до раздела DNS через HTTPS.
• По умолчанию Firefox сам решает, когда использовать безопасный DNS. Вы можете переключить на Повышенную защиту или Максимальную защиту, чтобы всегда использовать безопасный DNS. Разница между повышенной и максимальной защитой заключается в том, что усиленная защита предусматривает откат к обычному DNS, а максимальная защита не будет загружать сайты, если безопасный DNS недоступен.
• Выберите одного из доступных провайдеров или добавьте в Firefox собственного провайдера.

При включении DNS через HTTPS Firefox будет автоматически использовать Encrypted Client Hello, если веб-сервер сайта поддерживает эту функцию. Пользователи, желающие убедиться в этом, могут проверить функциональность на тестовом сайте Cloudflare Browser Check.

Изменение внедряется постепенно для всех пользователей Firefox. Но вы можете включить Encrypted Client Hello (ECH) врунчую уже сейчас следующим образом:

• Загрузите страницу about:config в адресной строке Firefox.
• Подтвердите, что будете осторожны.
• Введите network.dns.echconfig.enabled в строку поиска и измените значение на True.
• Перезапустите браузер.

Mozilla объявила о поддержке Encrypted Client Hello в официальном блоге. На странице поддержки собрана дополнительная информация и ссылки на ресурсы.

Браузеры на базе Chromium также поддерживают Encrypted Client Hello, в частности актуальная версия Chrome 117.