जब कई लोग सोचते थे कि HTTPS पूरी तरह से सुरक्षित है, तब AdGuard ने 7.5 सीरीज़ के अपडेट (Windows 7.17, Android और Mac पर CoreLibs अपग्रेड के साथ) के साथ गोपनीयता सुरक्षा पहेली का एक और टुकड़ा जोड़ा: **Encrypted ClientHello (ECH)** का प्रयोगात्मक समर्थन एक बड़ा कदम आगे बढ़ गया, साथ ही DNS-over-HTTPS की तुरंत फ़िल्टरिंग सभी डिवाइसों पर ला दी गई। अगर आप इस बात से परेशान हैं कि "आपका ऑपरेटर देख सकता है कि आप किन वेबसाइटों पर जा रहे हैं", तो यह अपडेट पाँच मिनट के लायक है।
ECH आखिर क्या है? इसे गोपनीयता का आखिरी टुकड़ा क्यों कहा जाता है
हर बार जब आप कोई HTTPS वेबसाइट खोलते हैं, तो ब्राउज़र पहले सर्वर से बातचीत करता है – यह TLS हैंडशेक में
ClientHello संदेश होता है। समस्या यह है कि भले ही पेज की सामग्री पूरी तरह एन्क्रिप्टेड हो, इस शुरुआती "नमस्ते" में **साफ़-साफ़ वह डोमेन नाम लिखा होता है जिस पर आप जा रहे हैं** (Server Name Indication, संक्षेप में SNI)। आपका ऑपरेटर, हवाई अड्डे का WiFi एडमिन, या गलियारे में लगा निगरानी उपकरण आसानी से देख सकता है कि आप `example.com` पर जा रहे हैं। भले ही पता न हो कि अंदर क्या कर रहे हैं, लेकिन "कहाँ गए" यह कोई रहस्य नहीं रहता।
ECH इसी शर्मनाक स्थिति को हल करता है। यह पूरे ClientHello को एन्क्रिप्ट कर देता है, जिसे केवल आप और लक्ष्य सर्वर ही खोल सकते हैं। बीच में कोई केवल यह देख सकता है कि आप किसी ECH-सक्षम CDN नोड से जुड़े हैं, लेकिन कौन सी वेबसाइट – अंदाज़ा लगाइए। दूसरे शब्दों में, ECH HTTPS को पहले पैकेट से लेकर आखिरी पैकेट तक पूरी तरह एन्क्रिप्टेड बना देता है।
AdGuard 7.5 यह कैसे करता है? ग्लोबल ECH, ब्राउज़र पर निर्भर नहीं
पहले ECH केवल ब्राउज़र पर निर्भर था, जैसे Chrome या Firefox में प्रयोगात्मक विकल्प चालू करना पड़ता था, और वह भी वेबसाइट की मर्ज़ी पर। AdGuard का दृष्टिकोण बिल्कुल अलग है: यह सीधे सिस्टम लेवल पर ट्रैफ़िक को संभालता है।
Android संस्करण के चेंजलॉग में, डेवलपर्स ने मज़ाक भी किया – "ECH को सपोर्ट करने का पहला कदम, उसे 'दबाना' सीखना है।" ऐसा इसलिए क्योंकि AdGuard के अंदर एक `pref.dns.block.ech` स्विच है, जो `pref.https.redirect.doh` के साथ मिलकर पहले मूल ECH अनुरोधों को रोकता है, फिर AdGuard खुद एक नया कनेक्शन बनाता है जो वास्तव में ECH को सपोर्ट करता है। इस तरह **फ़ोन पर कोई भी ऐप, कोई भी ब्राउज़र, जब तक ट्रैफ़िक AdGuard से होकर गुज़रता है, ECH की गोपनीयता का लाभ उठा सकता है** – ऐप डेवलपर के अनुकूलन का इंतज़ार किए बिना।
Windows संस्करण 7.17 और Mac संस्करण 2.10 में भी यह प्रयोगात्मक सुविधा शामिल है। और ECH को सही ढंग से काम करने के लिए, AdGuard ने पहली बार
DNS फ़िल्टरिंग को डिफ़ॉल्ट रूप से चालू किया है। कारण सरल है: ECH के लिए आवश्यक एन्क्रिप्शन पैरामीटर DNS HTTPS रिकॉर्ड के ज़रिए प्राप्त होते हैं। अगर AdGuard का अपना DNS सुरक्षा मॉड्यूल इस्तेमाल नहीं किया जाए, तो ये पैरामीटर स्थानीय रूप से प्राप्त नहीं किए जा सकते और ग्लोबल एन्क्रिप्शन संभव नहीं होगा।
तीन चरणों में जाँचें कि आपका ECH वास्तव में काम कर रहा है या नहीं
AdGuard एक बेहद आसान परीक्षण विधि प्रदान करता है:
- एडवांस्ड सेटिंग्स में सुनिश्चित करें कि Block ECH बंद है, और DNS सुरक्षा चालू है।
- Use Encrypted ClientHello प्रयोगात्मक विकल्प चालू करें (Windows/Android पर "एडवांस्ड सेटिंग्स" में, Mac पर "नेटवर्क" से संबंधित कॉन्फ़िगरेशन में)।
crypto.cloudflare.com/cdn-cgi/trace पर जाएँ – अगर sni=encrypted दिखे; या www.cloudflare.com/ssl/encrypted-sni/ पर जाएँ और SSL_ECH_STATUS: success देखें, तो ECH सफलतापूर्वक चल रहा है।
अगर परीक्षण पास नहीं होता, तो घबराएँ नहीं। फिलहाल ECH के लिए सर्वर-साइड समर्थन भी ज़रूरी है (Cloudflare की अधिकांश साइटें पहले से ही इसे चालू कर चुकी हैं)। और चूँकि यह एक प्रयोगात्मक सुविधा है, कभी-कभी ब्राउज़िंग गति पर थोड़ा प्रभाव पड़ सकता है; कंपनी इस पर प्रदर्शन सुधार पर काम कर रही है।
सिर्फ ECH नहीं: DoH तुरंत फ़िल्टरिंग और बड़ा इंजन अपग्रेड
AdGuard 7.5 सीरीज़ में गोपनीयता में सुधार सिर्फ ECH तक सीमित नहीं है। CoreLibs फ़िल्टरिंग इंजन को v1.12.80 से v1.14.59 तक अपडेट किया गया है, जिसमें कई कठोर सुधार शामिल हैं:
- On-the-fly DNS-over-HTTPS फ़िल्टरिंग: पहले DoH अनुरोधों की फ़िल्टरिंग निष्क्रिय थी। इस अपडेट के बाद AdGuard सुरक्षित DNS अनुरोधों को रीयल-टाइम में रोक सकता है और उन्हें स्थानीय प्रॉक्सी पर रीडायरेक्ट कर सकता है, जिससे DoH के ज़रिए फ़िल्टर को बायपास करने की कोशिश करने वाले किसी भी ऐप को पकड़ा जा सकता है।
- ECH GREASE और पैरामीटर निष्कर्षण: इंटरसेप्ट किए गए DNS HTTPS क्वेरी से ECH कॉन्फ़िगरेशन निकालकर ट्रैफ़िक में GREASE मान इंजेक्ट किए जाते हैं, ताकि ECH को सपोर्ट न करने वाले मिडलवेयर बीच में रुकावट न डालें, और ECH-सक्षम कनेक्शन सुचारू रूप से काम करें।
