服务器名称指示 SNI 为何不实现加密？

[bclerdx]

服务器名称指示 SNI 为何不实现加密？以阻止墙的窥探？

[villivateur]

eSNI 了解一下

[NewYear]

eSNI 实现了对域名的加密。
于是墙直接在加密建立连接时打断施法。

所以……你还有什么好建议吗，放心，墙的程序员也潜伏在 V2EX 并不是什么不可能的事情，可以加入到新的特征库中。

[makelove]

@NewYear 那万一 eSNI 流行后墙有本事把全世界的网站都 ban 了？

[NewYear]

@makelove

百度都能搜索到，2020 年就开始屏蔽了，我只是在叙述一件已经发生的事情。

[INTEL2333]

https://datatracker.ietf.org/doc/html/draft-ietf-tls-esni

[qwvy2g]

@NewYear 是的，早期对 ipv6 的阻断就是 sni 阻断，后来火狐浏览器带了 esni ，但是很快发现只要加密 sni ，某个东西检测不到就直接阻断了。

[bclerdx]

@qwvy2g 太孙吧，检测到要阻止，检测不到也要阻止，变态！

[AlphaTauriHonda]

可以实现加密。用的是 Encrypted Client Hello (ECH)，大部分浏览器都支持，不过很多网站不支持。v2ex.com 就不支持 ECH 。

用这个测试你有没有开启 ECH 。
https://www.cloudflare.com/ssl/encrypted-sni/

[gamekiller0010]

现在 esni 升级了，叫 ech 了
原来的 esni 已经被墙识别并阻断了

[AlphaTauriHonda]

@villivateur
@makelove
@INTEL2333
@qwvy2g
ESNI 被弃用了，现在浏览器支持的是 ECH 。

@bclerdx 有几个测试网站，可以测试 ECH 有没有开启成功。除此之外好像没有其他网站支持 ECH 。
https://crypto.cloudflare.com/cdn-cgi/trace
https://defo.ie
https://tls-ech.dev

Cloudflare 除了 crypto.cloudflare.com 应该都不支持 ECH ，所以 V2EX 也没有 ECH 。
访问 https://crypto.cloudflare.com/cdn-cgi/trace
如果开启成功会显示
tls=TLSv1.3
sni=encrypted

[julyclyde]

@makelove 当然有本事全 ban 了
互联网主权五个字，他们可不是说说而已

[INTEL2333]

@AlphaTauriHonda 要不你点进去链接看看里面什么内容...