ECH (Encrypted Client Hello)
Extension de TLS 1.3 qui chiffre le champ SNI (le nom d'hôte) dans le ClientHello. Par défaut, le ClientHello est en clair : fournisseur d'accès et équipements intermédiaires voient les domaines visités. ECH le chiffre via HPKE : le FAI ne voit plus que l'adresse IP, pas le domaine.
Déployé par Cloudflare en 2023. Firefox 118+ (septembre 2023) l'active par défaut lorsqu'une configuration ECH est publiée via le DNS. Gain de confidentialité : ECH combiné à DoH, et le FAI ne sait plus rien de la destination réelle (uniquement l'IP). Cela contourne dans bien des cas la censure fondée sur le SNI (la Chine et la Russie ont historiquement filtré les domaines ainsi). L'adoption suppose un déploiement côté serveur (Cloudflare, c'est automatiquement une grande partie d'Internet) et côté navigateur (Firefox, Chrome). Contre-mesure possible : des États peuvent bloquer les poignées de main TLS qui utilisent ECH — une course aux armements de l'inspection profonde de paquets (DPI).