ECH
ECH прячет то, что раньше было видно всем: имя сайта. В России соединения с ECH к адресам Cloudflare режут.
В обычном соединении имя сайта передаётся открытым текстом (SNI), и по нему принимает решение оборудование на пути (DPI). ECH (Encrypted Client Hello) шифрует это приветствие целиком. Наружу остаётся только имя общего «входа» — внешнее SNI, например сервиса, за которым спрятаны тысячи сайтов.
Если большой провайдер включит ECH для всех клиентов, блокировать по имени станет сложнее: нужно резать весь вход целиком. Поэтому технология неудобна цензорам.
Пример из атласа
По работе FOCI 2025, ТСПУ блокируют соединения с ECH к префиксам Cloudflare — с мая 2024, полностью с ноября 2024. Решение принимается по внешнему SNI. ECH вне Cloudflare, по той же работе, продолжал работать.1 В июне 2025 года Cloudflare сообщил и о другом ограничении: операторы режут соединения к его сетям примерно до 16 КБ.2
Как блокировка складывается с замедлением, см. Блокировка и замедление, а базовая цепочка — Как работает блокировка. Протокол QUIC читается отдельно: QUIC. Если имя сайта зашифровано, остаётся блокировать по IP-адресу, а это задевает и соседей по хостингу.
Все термины: Словарь.
Примечания
- измерение FOCI 2025: ТСПУ режут ECH к адресам Cloudflare. FOCI 2025, работа об ECH и обходе цензуры, 2025.
- измерение Cloudflare: с 9 июня 2025 соединения к его сетям режутся примерно на 16 КБ. Cloudflare Blog, 2025-06-09.