Chrome 已启用 TLS Encrypted Client Hello（ECH），Mozilla 与 Cloudflare 即将跟进。ECH 将完整加密 Client Hello，仅在 ClientHelloOuter 暴露 CDN 面向客户端的服务器名，真实目标域名藏于加密的 ClientHelloInner 中。这将削弱依赖 TLS 明文 SNI 的中间设备威胁检测能力，运维需尽快评估现有防护体系的有效性。
ECH 部署现状与协议机制：
Cloudflare 覆盖约 70% 网站，原定 2023 年 10 月测试遇阻，计划 2024 年初恢复 Beta 支持。ECH 将 ClientHello 拆分为外层与内层：外层 ClientHelloOuter 仅含 CDN 服务器名，供中间设备路由；内层 ClientHelloInner 携带真实目标域名，仅浏览器与 CDN 可见。DNS 查询流程不变，域名解析拦截类服务不受影响。
对中间设备检测能力的冲击：
依赖 TLS 会话中明文 SNI 做恶意域名特征匹配的中间设备，将失去对真实目标的可见性，威胁检测效力预期下降。部分厂商可能已部署替代技术（如 JA3 指纹、流量行为分析、终端侧代理），原文未给出具体数据。建议在未来数周持续监控安全产品拦截率、误报率，若出现下滑应立即联系厂商确认是否引入补偿方案。
防护策略的演进方向：
加密普及推动防护重心从网络边界转向终端。零信任架构下，内置于浏览器、操作系统或 EDR 的原生防护可直接访问解密后的会话上下文，逐步替代传统中间设备。运维应同步梳理：哪些控制点因 ECH 失效、哪些可由终端侧能力覆盖、哪些需保留并升级为解密检测，形成分层防御新基线。
ECH 落地倒逼安全架构从「看得见流量」转向「信任终端状态」。工程师需先量化现有设备在无 SNI 场景下的检测缺口，再按零信任路线图补齐终端侧能力，避免盲区在加密流量中扩大。
原文: APNIC Blog（2023-11-15）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog