Server Name Indication (SNI) merupakan ekstensi TLS yang memberi tahu server nama domain yang ingin diakses oleh client. Teknologi ini penting karena satu server dapat melayani banyak website dengan sertifikat yang berbeda.
Namun, SNI pada TLS biasa dikirim dalam bentuk plaintext. Akibatnya, pihak yang memantau lalu lintas jaringan masih dapat mengetahui domain tujuan meskipun isi komunikasi sudah terenkripsi. RFC 9849 menjelaskan bahwa SNI merupakan salah satu informasi sensitif yang masih dapat terlihat pada TLS 1.3. (dikutip dari: RFC 9849 – TLS Encrypted Client Hello)
Untuk mengatasi masalah tersebut, hadir Encrypted Client Hello (ECH).
Apa Itu SNI?
Server Name Indication (SNI) adalah bagian dari pesan ClientHello pada proses TLS handshake.
SNI membantu server menentukan website yang ingin diakses client. Hal ini penting ketika beberapa domain menggunakan alamat IP dan server yang sama.
Sebagai contoh, sebuah server dapat melayani:
website-a.com
website-b.com
website-c.com
Client mengirimkan nama domain melalui SNI. Server kemudian dapat memilih konfigurasi TLS dan sertifikat yang sesuai.
TLS memang melindungi isi komunikasi setelah koneksi terbentuk. Namun, metadata tertentu masih dapat terlihat selama proses handshake.
Dengan SNI biasa, pengamat jaringan dapat mengetahui domain yang dituju tanpa harus membaca isi halaman.
Kondisi ini dapat memengaruhi privasi pengguna.
Sebagai contoh, seseorang menggunakan HTTPS untuk mengakses sebuah website. Isi halaman tetap terlindungi, tetapi nama domainnya masih dapat terlihat oleh pihak yang mampu memantau lalu lintas jaringan.
Apa Itu Encrypted Client Hello (ECH)?
Encrypted Client Hello (ECH) adalah ekstensi TLS yang dirancang untuk mengenkripsi bagian sensitif dari ClientHello, termasuk SNI.
Berbeda dari pendekatan lama Encrypted SNI (ESNI), ECH tidak hanya mengenkripsi SNI. ECH mengenkripsi ClientHelloInner yang berisi SNI dan parameter sensitif lainnya. RFC 9849 menetapkan ECH sebagai standar untuk TLS dan menjelaskan mekanisme tersebut secara resmi. (dikutip dari: RFC 9849 – TLS Encrypted Client Hello)
Secara sederhana, ECH menggunakan dua bagian:
ClientHelloOuter
Bagian ini tetap terlihat oleh pihak perantara. Isinya menggunakan informasi yang tidak sensitif.
ClientHelloInner
Bagian ini dienkripsi. Nama domain sebenarnya berada di dalam bagian tersebut.
Dengan demikian, pihak yang mengamati koneksi tidak dapat langsung melihat SNI sebenarnya.
Bagaimana ECH Bekerja?
Prosesnya dapat dijelaskan dalam beberapa tahap.
1. Client Mendapatkan Konfigurasi ECH
Client memperoleh konfigurasi ECH dan public key yang diperlukan untuk melakukan enkripsi.
2. Client Membuat ClientHelloInner
Client memasukkan informasi sensitif, termasuk SNI sebenarnya, ke dalam ClientHelloInner.
3. ClientHelloInner Dienkripsi
Bagian tersebut kemudian dienkripsi menggunakan mekanisme yang ditentukan oleh ECH.
4. Client Mengirim ClientHelloOuter
Client mengirimkan ClientHelloOuter yang berisi informasi publik dan bagian ECH terenkripsi.
5. Server Memproses ECH
Server yang mendukung ECH dapat mendekripsi ClientHelloInner dan melanjutkan TLS handshake dengan domain sebenarnya.
Cloudflare menjelaskan bahwa mekanisme ini membuat pengamat jaringan hanya melihat nama publik pada bagian luar, sementara nama server sebenarnya berada dalam bagian ClientHello yang terenkripsi. (dikutip dari: Cloudflare – ECH Protocol).
Istilah SNI Encryption sering digunakan untuk menjelaskan perlindungan terhadap SNI. Namun, teknologi yang digunakan saat ini adalah Encrypted Client Hello (ECH).
Perbedaannya cukup penting:
Teknologi
Perlindungan
SNI biasa
SNI terlihat
ESNI
SNI dienkripsi
ECH
ClientHello sensitif dienkripsi
ESNI merupakan pendekatan sebelumnya. ECH kemudian dikembangkan dengan desain yang lebih luas dan menjadi standar TLS yang ditetapkan melalui RFC 9849.
Apa Manfaat ECH?
ECH terutama memberikan manfaat pada sisi privasi koneksi.
Beberapa manfaatnya adalah:
Menyembunyikan SNI sebenarnya.
Mengurangi kebocoran metadata TLS.
Meningkatkan privasi saat browsing.
Mengurangi informasi yang dapat diamati oleh pihak perantara.
Melindungi parameter sensitif dalam ClientHello.
Namun, ECH bukan berarti seluruh aktivitas pengguna menjadi anonim.
Alamat IP server masih dapat terlihat. Selain itu, informasi lain seperti DNS atau pola lalu lintas juga dapat memberikan petunjuk mengenai tujuan koneksi. RFC 9849 juga menegaskan bahwa ECH sendiri tidak cukup untuk menyembunyikan identitas server dari semua sumber informasi.
Apakah ECH Menggantikan HTTPS?
Tidak.
ECH dan HTTPS memiliki fungsi yang berbeda.
HTTPS melindungi komunikasi antara client dan server.
Sementara itu, ECH membantu melindungi informasi sensitif dalam proses TLS handshake, terutama nama server yang biasanya dikirim melalui SNI.
Keduanya dapat digunakan bersama.
Dengan kombinasi tersebut, perlindungan komunikasi dan privasi metadata dapat menjadi lebih baik.
Apakah ECH Membuat Website Tidak Bisa Dilacak?
Tidak sepenuhnya.
ECH menyembunyikan informasi tertentu. Namun, jaringan masih dapat melihat beberapa karakteristik koneksi.
Contohnya:
Alamat IP.
Waktu koneksi.
Ukuran paket.
Pola lalu lintas.
Informasi DNS jika DNS tidak terenkripsi.
Karena itu, ECH sebaiknya dipahami sebagai lapisan perlindungan privasi, bukan solusi anonimitas total.
Mengapa ECH Penting untuk Keamanan Internet?
Privasi metadata semakin penting dalam komunikasi modern.
HTTPS telah membuat isi komunikasi jauh lebih sulit dibaca oleh pihak lain. Namun, informasi tentang siapa yang sedang dihubungi tetap dapat memberikan banyak petunjuk.
ECH membantu mengurangi kebocoran tersebut.
Dengan demikian, perkembangan TLS tidak hanya berfokus pada enkripsi isi komunikasi. Perlindungan metadata juga menjadi bagian penting dalam meningkatkan privasi pengguna.
Server Name Indication (SNI) membantu server menentukan domain yang ingin diakses client. Namun, SNI tradisional dikirim dalam bentuk plaintext sehingga nama domain masih dapat terlihat oleh pengamat jaringan.
Encrypted Client Hello (ECH) hadir untuk mengatasi masalah tersebut. ECH mengenkripsi ClientHelloInner, termasuk SNI sebenarnya dan informasi sensitif lainnya.
Teknologi ini meningkatkan privasi TLS. Namun, ECH tidak membuat koneksi sepenuhnya anonim karena alamat IP dan karakteristik lalu lintas masih dapat memberikan informasi.
Dengan demikian, SNI Encryption melalui ECH menjadi salah satu perkembangan penting dalam meningkatkan privasi komunikasi HTTPS modern.
Seorang Akademisi, Peneliti dan Praktisi TI, mengajar di beberapa perguruan tinggi, Authorized Training Center dan Lembaga Pengembangan SDM TI. Aktif berbagi di komunitas melalui event webinar & sharing session. aktifitas sehari-hari di isi dengan mengajar, menulis di blog, jurnal, media massa, buku dan juga membuat video tutorial. bidang ilmu yang didalami adalah cybersecurity, system administrator, programming, networking, linux, cloud computing, blockchain, data science, artificial intelligence. visit me at sulkiflysaid.com
