سناتور هشدار داد خط اطلاعات FBI و سایت بحران سربازان کهنه سربازان در میان 350 آدرس وب فدرال که بازدیدکنندگان را در معرض جاسوسان شبکه قرار می دهد.

سناتور ران وایدن از CISA و OMB می خواهد که در وب سایت های فدرال به Client Hello رمزگذاری شده نیاز داشته باشند و آن را به شرط قرارداد فدرال تبدیل کنند.

فهرست او از 350 آدرس میزبان CDN بدون ECH شامل پورتال راهنمایی FBI، خط بحران VA، و خطوط تلفن برای افشاگران و شکایات حقوق مدنی است.

ECH نام سایت را فقط در کنار DNS رمزگذاری شده پنهان می کند، هیچ کاری برای نقض سرور انجام نمی دهد، و در حال حاضر در روسیه مسدود شده است، جایی که برخی از صفحات فهرست شده سفارت را هدف قرار می دهد. سناتور ایالات متحده ران وایدن (D-Ore.) از دولت فدرال می‌خواهد تا یک ویژگی حفظ حریم خصوصی را که مرورگرهای وب اصلی به مدت سه سال از آن پشتیبانی کرده‌اند را فعال کند و هشدار می‌دهد که صدها آدرس وب آژانس هنوز نام سایتی را که هر بازدیدکننده استفاده می‌کند برای هر کسی که در طول مسیر شبکه را تماشا می‌کند، پخش می‌کند.

ویدن در نامه‌ای به نیک اندرسن، مدیر موقت CISA و توماس فلگ، معاون رئیس اطلاعات فدرال، از دو آژانس درخواست کرد که به Client Encrypted Hello (ECH) در وب‌سایت‌های فدرال نیاز داشته باشند و پشتیبانی ECH را شرطی برای فروشندگان ابری و شبکه‌ای قرار دهند که به دنبال قراردادهای فدرال هستند.

این نامه فهرستی از 350 آدرس وب شعبه اجرایی را ضمیمه می‌کند که از شبکه‌های تحویل محتوا (CDN) استفاده می‌کنند، اما از ECH استفاده نمی‌کنند، در حالی که درخواست پاسخ طبقه‌بندی‌نشده و برنامه اقدام تا 20 نوامبر 2026 را دارند.

تنها چیزی که HTTPS باز می گذارد، شکافی است که در اینجا به آن پرداخته می شود

تقریبا هر سایت فدرال اکنون صفحاتی را که مردم می خوانند و فرم هایی را که ارسال می کنند رمزگذاری می کند. HTTPS استاندارد نام میزبان را پنهان نمی کند. هنگامی که یک مرورگر یک اتصال امن را باز می کند، قبل از شروع رمزگذاری، سایت مورد نظر خود را در فیلدی به نام نشانگر نام سرور به صورت متنی ساده اعلام می کند.

بنابراین، یک ارائه‌دهنده اینترنت، یک شبکه Wi-Fi متخاصم، یا یک شرکت مخابراتی در معرض خطر می‌تواند گزارش کند که یک اتصال به tips.fbi.gov بدون خواندن کلمه‌ای از این نکته وارد شده است.

ECH آن قسمت از دست دادن را رمزگذاری می کند. این بهترین عملکرد را در پشت یک CDN بزرگ دارد، جایی که هزاران سایت نامرتبط در ورودی یکسانی دارند. برای مثال، پیاده‌سازی Cloudflare، هر سایت محافظت‌شده با ECH را تحت یک نام مشترک به شبکه ارائه می‌کند، بنابراین یک ناظر می‌تواند به بازدیدکننده بگوید که به یک سایت میزبانی شده توسط Cloudflare می‌رسد، اما نه به کدام یک.

نامه وایدن دو خدمت را مشخص می کند. سرویس آنلاین پیشگیری از خودکشی وزارت امور کهنه سربازان به آدرس veteranscrisisline.net در وب سرویس آمازون میزبانی می شود، که در نامه می گوید در حال حاضر از ECH پشتیبانی نمی کند. پورتال راهنمایی FBI در tips.fbi.gov بر روی Cloudflare اجرا می شود، اما اداره هنوز آن را روشن نکرده است، همانطور که ویدن خاطرنشان کرد: "برای دامنه های فدرال که از یک ارائه دهنده CDN با پشتیبانی ECH مانند Cloudflare استفاده می کنند، روشن کردن حفاظت دامنه صرفا نیاز به به روز رسانی پیکربندی دارد."

191 از 350 آدرس، یا 54.6 درصد، دیپلماتیک هستند: 174 سایت سفارت، سه کنسولگری، و 14 نمایندگی، عمدتا به نهادهای بین المللی مانند ناتو و سازمان ملل. 53 مورد دیگر زیر دامنه‌های bie.edu، حوزه اداره آموزش هند، هستند که به نظر می‌رسد سایت‌های مدرسه‌ای جداگانه باشند. 12 مورد دیگر میزبان تست، آموزش یا مرحله‌بندی هستند، از جمله چندین زیردامنه تست پذیرش کاربر برای خدمات بدهی وزارت آموزش.

94 آدرس خارج از آن گروه‌ها باقی می‌ماند و مشکل‌سازترین ورودی‌ها در آنجا هستند. آنها شامل خط تلفن شکایت بازرس کل DHS، پورتال گزارش حقوق مدنی وزارت دادگستری، سایت درخواست شغل جامعه اطلاعاتی، فرم راهنمایی USCIS، سایت جوایز وزارت امور خارجه برای عدالت، یک ناوبر درمان الکل NIH، یک سایت Doxy-PEP CDC، چندین سایت اطلاعات فدرال اچ آی وی و بازداشتی ICE است.

اسناد Cloudflare می گوید که ECH به طور پیش فرض در مناطق آزاد فعال است، در حالی که مشتریان در برنامه های دیگر باید خودشان آن را روشن کنند. این با یافته های سخنگوی مطابقت دارد: یک مشتری دولتی که پول پرداخت می کند باید شرکت کند. برای FBI، راه حل واقعا یک تنظیم است.

برای VA، اینطور نیست. اگر CDN آمازون ECH را ارائه ندهد، آژانس باید ارائه دهندگان را تغییر دهد یا منتظر بماند. اینجاست که درخواست دوم Wyden، که پشتیبانی ECH را شرط قراردادهای فدرال قرار می دهد، پیچیده می شود.

یک قانون تدارکاتی که امروز نوشته می‌شود، در عمل، به نفع گروه بسیار کوچکی از ارائه‌دهندگان است تا زمانی که دیگران به عقب برسند. ممکن است این هدف باشد، زیرا آمازون و رقبای آن را تحت فشار قرار می دهد، اما ممکن است به همان اندازه که یک اصلاح امنیتی، حداقل در کوتاه مدت، یک اهرم بازار باشد.

با این حال، ECH محدودیت‌های خود را دارد: مشخصات خود پروتکل هشدار می‌دهد که مقصد همچنان می‌تواند از طریق جستجوهای DNS متن ساده یا آدرس IP سرور نشت کند. هنگامی که Android 17 در ماه آگوست ECH سراسر سیستم را اضافه کرد، گوگل به همین نکته اشاره کرد و گفت این ویژگی "همراه با DNS خصوصی برای پنهان کردن نام دامنه هایی که بازدید می کنید" کار می کند.

برای تاکید مجدد، آژانس‌ها می‌توانند ECH را در کنار خود فعال کنند، اما نمی‌توانند از DNS رمزگذاری‌شده استفاده از پهنای باند خانگی را کهنه کار بسازند، بنابراین در را برای بهره‌برداری توسط شخصی که در شبکه جاسوسی می‌کند باز می‌گذارند.

مشکل بزرگتر نیز پوشش بین المللی است. بسیاری از URL های برجسته شده سفارتخانه هایی مانند ru.usembassy.gov، by.usembassy.gov، cn.usembassy.gov، و ir.usembassy.gov هستند، که مسلما همه آنها دارای کاربرانی هستند که از شبکه های نسبتا متخاصم متصل می شوند.

روسیه از نوامبر سال 2024 ECH Cloudflare را مسدود کرده است، و رگولاتور Roskomnadzor در آن زمان اعلام کرد که استفاده از آن ناقض قوانین روسیه است. ارائه‌دهندگان روسی اتصالاتی را مسدود می‌کنند که هم دارای یک پسوند ECH و هم نام بیرونی مشترک Cloudflare هستند، که باعث شد مشتریان Cloudflare بین غیرفعال کردن ECH و انتقال به CDN داخلی انتخاب کنند.

برای یک صفحه سفارت، فعال کردن ECH می تواند به معنای معامله یک نام میزبان قابل مشاهده برای یک سایت غیرقابل دسترس در کشوری باشد که نام میزبان مهم ترین است، و آن را به یک معامله دشوار تنها با یک راه حل واقعی تبدیل می کند: فعلا حذف ECH.

هیچ یک از اینها قلمرو جدیدی برای وایدن نیست. در اکتبر 2018، او به کریس کربس از DHS نامه نوشت و از آژانس ها خواست که DNS رمزگذاری شده و SNI رمزگذاری شده، سلف ECH را اتخاذ کنند و از DHS خواست تا با GSA همکاری کند تا ESNI را برای فروشندگان CDN که به دولت بفروشند، کار کند.

او آن را «گام منطقی بعدی» پس از دستورالعمل HTTPS 2017 DHS، BOD 18-01 نامید. در نامه 2026 به همین دستورالعمل اشاره شده و درخواست های آن به عنوان «گام های منطقی بعدی» توصیف شده است. سابقه او در مورد این نامه ها به جای ناامید کننده، مختلط است. یک نامه HTTPS در سال 2018 به پنتاگون با طرح وزارت دفاع برای ایمن سازی وب سایت هایش دنبال شد.

سمت سرویس گیرنده آماده است: اکثر مرورگرهای اصلی از اکتبر 2023 به هر حرف از ECH پشتیبانی می کنند و اندروید 17 اکنون آن را در سراسر سیستم اعمال می کند. تعمیر FBI ارزان و دیر شده است. اما ECH آنچه را که یک استراق سمع منفعل می‌آموزد به جای نامرئی کردن یک بازدید محدود می‌کند، و اینکه آیا این درخواست بیشتر از آخرین مورد است، ممکن است کمتر به CISA و OMB بستگی داشته باشد تا اینکه آیا آمازون و دیگران به Cloudflare بپیوندند.