ECH: Cara Melindungi Privasi Online Anda dari Operator

HTTPS diciptakan untuk membuat penjelajahan internet lebih pribadi dan aman. Evolusi protokol DNS mengikuti jejak yang sama dengan pengenalan DNS over TLS (DoT) dan DNS over HTTPS (DoH). Kedua metode ini memungkinkan kita membuat permintaan DNS dengan enkripsi total, menjaga privasi kita tanpa ada orang yang bisa memata-matai komunikasi kita.

Saat kita mengakses suatu situs web, domain yang kita tuju dikirim dalam bentuk teks biasa melalui Server Name Indication (SNI). Namun, hadirnya ECH memecahkan masalah ini dan meningkatkan keamanan penjelajahan internet.

Pada awal Oktober 2023, Cloudflare mulai menggunakan ekstensi ECH (Encrypted Client Hello) di seluruh jaringannya. Awalnya, ini membuat pengalaman penjelajahan menjadi lebih aman dan pribadi karena tidak ada yang bisa tahu situs web yang kita akses – sesuatu yang pernah terjadi sebelumnya. Namun, hanya dalam dua minggu, mereka memutuskan untuk menonaktifkan fitur ini, setidaknya untuk sementara.

Keputusan ini diambil karena Cloudflare menghadapi sejumlah masalah tak terduga dalam penggunaan ECH. Browser tidak dapat konsisten mengakses semua situs web dengan benar; kadang berfungsi, kadang tidak. Masalah ini dipicu oleh implementasi ECH yang mereka buat. Hari ini, di TrikPonsel, kami akan menjelaskan apa itu ECH, cara mengaktifkannya di browser web, dan cara memeriksa apakah fitur ini benar-benar diaktifkan.

Apa itu ECH?

Protokol TLS punya ekstensi yang namanya SNI (Server Name Indication). SNI ini selalu dikirimkan dalam bentuk teks terbuka, sehingga server web yang kita tuju tahu situs mana yang ingin kita akses. Ini masalahnya, terutama karena server yang sama bisa meng-host puluhan halaman sekaligus. Privasi kita bisa terganggu dengan mudah, bahkan pemblokiran yang dilakukan oleh operator seringkali berdasarkan pengecekan bidang SNI di protokol TLS.

Namun, sekarang ada solusi dengan ekstensi TLS yang disebut ECH. Ekstensi ini membantu mengatasi masalah tersebut dan meningkatkan privasi dalam proses penjelajahan internet kita.

Ekstensi TLS bernama Encrypted Client Hello (ECH) memberikan kita kemampuan untuk mengamankan “halo” pertama yang dikirimkan klien ke server web. Dengan cara ini, informasi sensitif seperti nama situs web yang ingin kita kunjungi dapat sepenuhnya terlindungi dari intersepsi oleh pihak ketiga, seperti operator Internet atau penjahat siber yang mencoba melakukan serangan Man in the Middle terhadap kita.

Peluncuran ECH ini seakan menjadi revolusi sejati dalam dunia internet, mengikuti langkah-langkah HTTPS dan protokol perlindungan permintaan serta resolusi DNS yang telah kita bahas sebelumnya.

Browser besar seperti Mozilla dan Google Chrome, bersama dengan CDN utama seperti Cloudflare dan organisasi IETF, telah bekerja keras mengembangkan ekstensi TLS selama beberapa tahun. Tujuannya adalah menciptakan koneksi terenkripsi point-to-point yang aman dari awal.

Penting diingat bahwa segala sesuatu, mulai dari konten penjelajahan web hingga otentikasi di situs-situs yang berbeda, termasuk saat kita memasukkan informasi kartu di situs belanja, sepenuhnya dienkripsi berkat protokol TLS.

ECH hadir sebagai inovasi yang memungkinkan kita melindungi identitas situs web yang kita kunjungi. Ini berarti kita dapat menyembunyikan informasi tentang situs yang ingin kita akses. Keuntungan ini sangat relevan jika kita tidak menggunakan ECH dan bergantung pada SNI yang umum digunakan.

Saat browser web terhubung ke situs web, informasi situs tersebut dikirimkan dalam pesan awal tanpa dienkripsi. Skema komunikasinya sederhana seperti ini:

ECH bisa menggunakan kunci publik dari sistem DNS untuk mengamankan pesan pertama antara browser web dan situs web. Ini membantu melindungi nama situs tujuan, mencegah pemblokiran, dan meningkatkan privasi pengguna. Dalam diagram berikut, terlihat bahwa pesan ini sepenuhnya dienkripsi:

Jika ingin memahami lebih rinci cara kerja ekstensi TLS ini, disarankan untuk melihat diagram pesan yang menunjukkan komunikasi antara klien web dan server secara menyeluruh:

Dengan mengaktifkan ekstensi ECH di browser web dan server web, serta CDN, kita bisa memperoleh privasi yang lebih baik secara global. Ini mencegah pihak ketiga dari upaya “memata-matai” koneksi kita. Pentingnya tidak hanya browser web yang mendukung protokol ini, tapi juga server web dan CDN. Saat ini, sedikit situs web yang mendukung ekstensi TLS ini. Sebagai contoh, Cloudflare mencobanya beberapa waktu lalu, tetapi harus menonaktifkannya karena menghadapi masalah dengan navigasi di berbagai situs web di CDN-nya. Sayangnya, implementasi ECH belum sepenuhnya siap untuk digunakan secara massal. Cloudflare, misalnya, memiliki opsi untuk menggunakan ECH secara individual di situs web yang diinginkan, tetapi karena kendala yang mereka hadapi, opsi ini telah dinonaktifkan, dan bahkan pengaktifannya secara manual tidak memungkinkan.

Bagaimana ECH Mengamankan Koneksi Anda dari Intervensi Operator

Beberapa tahun lalu, operator sering kali memblokir akses ke situs web melalui server DNS. Artinya, jika klien menggunakan server DNS dari operator tersebut, mereka bisa terhalang untuk mengakses beberapa situs web. Namun, dengan popularitas server DNS dari Google dan Cloudflare, banyak pengguna dapat menghindari pembatasan ini – kecuali jika kedua raksasa internet tersebut juga memutuskan untuk memblokir domain tertentu. Ini tidak terlalu umum terjadi, kecuali jika yang dibagikan adalah file berhak cipta.

Sebagai tanggapan, operator harus mengeluarkan sejumlah besar uang untuk membangun sistem yang dapat memeriksa semua koneksi TLS yang dibuat oleh kliennya. Karena koneksi ini sepenuhnya terenkripsi, operator hanya dapat melihat bidang SNI, yang merupakan domain yang ingin diakses pengguna. Oleh karena itu, mereka memblokir langsung dengan mengembalikan kesalahan koneksi.

Saat menggunakan ekstensi ECH, skenario ini tidak lagi mungkin terjadi. Seluruh koneksi, bahkan hingga tahap “halo” pertama, sepenuhnya dienkripsi point-to-point. Operator tidak bisa mendekripsi koneksi ini tanpa harus “memutus” koneksi TLS dan memasang digital sertifikat di tengahnya. Hal ini tentu akan mengakibatkan operator tersebut memantau semua koneksi ke kliennya karena mereka harus “menaikkan” koneksi HTTPS.

Perlu juga memastikan penggunaan DNS yang menjamin keamanan dan privasi. Untuk itu, kita bisa memanfaatkan DNS over HTTPS (DoH), yang sudah terintegrasi dalam browser utama seperti Chrome atau Firefox. Alternatifnya, kita dapat mengonfigurasi DNS over TLS (DoT) langsung di router, memungkinkan klien di jaringan lokal untuk membuat permintaan dan menerima resolusi DNS dengan privasi sepenuhnya. Dengan menggunakan DoH atau DoT, pesan DNS tidak dapat disadap atau diubah dengan cepat.

Tentu saja, semua protokol ini bisa dipadukan dengan VPN (virtual private network) untuk menambahkan lapisan privasi dan keamanan. VPN sangat berguna karena dapat menyembunyikan alamat IP publik pengguna dan mengenkripsi seluruh lalu lintas dengan sempurna. Dalam situasi ini, menggunakan ECH juga masuk akal karena akan melindungi identitas situs web yang kita kunjungi saat terhubung melalui penyedia VPN.

Lalu bagaimana dengan kontrol orang tua?

Di tingkat domestik dan profesional, kita menggunakan berbagai teknologi untuk memfilter situs web pada perangkat yang berbeda. Browser seperti Chrome atau Firefox saat ini menggunakan DNS melalui HTTPS untuk mengamankan permintaan DNS.

Jika kita memakai sistem DNS di rumah seperti PiHole atau AdGuard Home untuk menyaring permintaan ini, kita mungkin tidak dapat memblokir permintaan berbahaya atau iklan. Ini juga berlaku dalam kasus aktivasi ECH, di mana perusahaan mungkin tidak dapat memblokir domain tertentu ketika teknologi ini digunakan.

Dalam situasi ini, baik Mozilla maupun Google memberi Anda kontrol penuh untuk mengonfigurasi pengaktifan atau penonaktifan ekstensi TLS di browser. Ini memungkinkan Anda menentukan apakah ingin mengizinkan atau melarang penggunaan fitur tersebut. Jika kita ingin menerapkan opsi penyisihan di tingkat jaringan, tidak ada masalah untuk melakukannya.

Cara mengaktifkannya di browser Mozilla Firefox

Pertama, pastikan kita menggunakan Mozilla Firefox versi 118 atau yang lebih baru. Setelah itu, aktifkan DNS melalui HTTPS, karena tanpa itu, DNS mungkin tidak berfungsi meskipun sudah diaktifkan. Saat ini, Firefox hanya mendukung penggunaan DNS melalui HTTPS jika opsi DoH diaktifkan.

Untuk melakukannya, masuk ke menu konfigurasi lanjutan Firefox dengan memasukkan “about:config” di bilah alamat. Cari string “echconfig”, dan pastikan semuanya disetel ke “true”, yang menunjukkan bahwa fitur ini diaktifkan. Kami juga menonaktifkan fallback untuk meningkatkan keamanan secara maksimal.

Aktifkan DNS melalui HTTPS di bagian “Alat/Pengaturan” dan pilih “Privasi & Keamanan” di menu bawah. Di sana, nyalakan proteksi default, peningkatan, atau maksimal untuk menggunakan DoH dan ECH.

Setelah mengaktifkan DNS melalui HTTPS, ketika kita mengunjungi situs web yang mendukung fitur ini, otomatis kita akan menggunakannya. Tapi, saat ini, status ECH masih tergolong “hijau,” jadi mungkin kita akan mengalami beberapa masalah konektivitas.

Aktifkan di browser Chrome

Jika Anda menggunakan Google Chrome dan ingin melindungi privasi dengan menggunakan ekstensi TLS, Anda bisa mengaktifkannya mulai dari versi 117 browser. Sebagai kebiasaan, browser biasanya secara otomatis diperbarui ke versi terbaru, jadi Anda seharusnya tidak mengalami masalah. Namun, untuk memastikan, Anda dapat memeriksa versi dari menu tiga titik vertikal dengan pergi ke “Bantuan / Informasi Google Chrome.” Di sana, Anda akan melihat informasi versi yang terlihat seperti ini:

Setelah memeriksa versinya, cukup masukkan “chrome://flags/#encrypted-client-hello” di bilah alamat untuk langsung menuju ke konfigurasi. Di sana, Anda akan menemukan menu berikut:

Di opsi pertama, ubah dari “Default” menjadi “Aktifkan“, lalu klik tombol “Luncurkan Ulang” untuk memastikan perubahan diterapkan dengan benar. Konfigurasinya seperti berikut:

Dalam kasus ini, kita perlu mengaktifkan DNS melalui HTTPS. Buka bagian “Pengaturan / Privasi dan Keamanan” atau langsung kunjungi URL “chrome://settings/security” dari browser. Setelah masuk, aktifkan opsi DNS aman dan pilih penyedia seperti Cloudflare atau yang lain yang tersedia di dalam browser:

Setelah kita melakukannya, DoH dan ECH akan aktif untuk penjelajahan web. Namun, secara logis, hal ini hanya berlaku pada server web yang mendukung fitur ini.

Periksa apakah Anda telah mengaktifkan ECH

Setelah mengaktifkan ECH di browser web, langkah penting selanjutnya adalah memastikan bahwa ECH benar-benar diaktifkan untuk menghindari masalah privasi. Saat ini, ada berbagai alat online yang dapat digunakan untuk melakukan pemeriksaan ini. Salah satu yang kami sukai adalah yang disediakan oleh Cloudflare secara gratis. Cukup akses tautan ini dan lakukan tes. Hanya butuh beberapa detik untuk memeriksa apakah kita telah mengaktifkan dan semuanya berfungsi dengan baik:

PERIKSA ECH DI CLOUDFLARE

https://www.cloudflare.com/id-id/ssl/encrypted-sni/

Ketika Anda melihat tampilan seperti ini, itu menunjukkan bahwa kita memiliki secure DNS, DNSSEC, TLS 1.3, dan juga “Secure SNI,” yang merupakan ECH:

Cloudflare juga menyediakan akses ke alat online dalam mode teks, yang sangat praktis untuk memeriksanya tanpa harus membuka halaman web khusus. Bahkan, ini dapat diotomatiskan menggunakan skrip.

PERIKSA ECH DALAM MODE TEKS CLOUDFLARE

https://crypto.cloudflare.com/cdn-cgi/trace

Hasil yang diinginkan seharusnya terlihat seperti ini:

Di bagian “SNI” tertulis “Terenkripsi” jadi kami menggunakan ekstensi TLS 1.3 ini tanpa masalah.

Terakhir, website lain yang bisa kita gunakan adalah sebagai berikut:

PERIKSA ECH DI DEFO.IE

https://defo.ie/ech-check.php

Dalam situasi ini, yang akan kita lihat adalah seperti ini:

Opsi terakhir, yaitu “SSL_ECH_STATUS,” akan menunjukkan “Sukses,” menandakan bahwa ekstensi TLS berfungsi tanpa masalah.

Seperti yang terlihat, mengaktifkan fitur penting ini untuk melindungi privasi cukup mudah, dan memeriksanya pun tidak sulit. Harap diperhatikan bahwa terkadang mungkin ada kasus di mana situs web tidak dimuat dengan benar setelah fungsi ini diaktifkan. Sebenarnya, Cloudflare telah memutuskan untuk menonaktifkannya secara default di semua situs web karena mereka mendeteksi banyak masalah navigasi.

Kesimpulan

Dalam beberapa tahun terakhir, terjadi banyak kemajuan dalam keamanan dan privasi saat menjelajah internet. Sebagai contoh, protokol TLS 1.3 tidak hanya memberikan tingkat keamanan yang tinggi, tetapi juga meningkatkan kecepatan koneksi secara signifikan dibandingkan dengan TLS 1.2. Kecepatan penjelajahan juga ditingkatkan melalui protokol QUIC, yang saat ini didukung oleh ribuan situs web, memberikan kombinasi keamanan dan kinerja yang optimal.

Tentu saja, fitur seperti DNS melalui HTTPS dan DNS melalui TLS menjadi penting untuk memeriksa bahwa permintaan dan respon DNS sepenuhnya terenkripsi. Tanpa ini, koneksi kita tidak akan sepenuhnya terlindungi.

Elemen terbaru yang ditambahkan ke dalam setiap koneksi adalah ECH, sebuah ekstensi TLS yang memungkinkan kita menghindari mengirimkan SNI domain dalam teks biasa. Ini menjadi langkah terakhir bagi operator atau penjahat dunia maya untuk mengetahui situs web yang kita kunjungi, membuatnya lebih sulit bagi mereka untuk melacak aktivitas online kita. Meskipun demikian, masih diperlukan waktu sebelum semua server web mendukung teknologi ini sepenuhnya, mengingat kemungkinan masalah yang mungkin muncul dalam penggunaannya yang masih terbilang baru.

Dalam beberapa bulan terakhir, Cloudflare memberikan opsi untuk mengaktifkan ECH sebagai uji coba di situs web kami. Namun, setelah beberapa minggu penggunaan yang tidak konsisten, Cloudflare memutuskan untuk tidak menjadikannya opsi default untuk semua situs web. Alasan di balik keputusan ini belum sepenuhnya jelas, namun diduga terkait dengan masalah yang timbul saat ECH diaktifkan di seluruh infrastruktur.

Jika Anda tertarik untuk menguji ekstensi TLS ini, Anda dapat menerapkannya di server web Anda sendiri dan memeriksa apakah ada masalah atau apakah semuanya berfungsi dengan baik. Pastikan untuk melakukan uji coba di lingkungan lokal sebelum menerapkannya pada bagian produksi untuk menghindari potensi gangguan layanan jika terjadi masalah dengan klien web.