ECH（Encrypted Client Hello）
ClientHello内のSNI（ホスト名）を暗号化するTLS 1.3の拡張。通常のClientHelloは平文なので、ISPや中間装置に訪問先ドメインが見える。ECHはHPKEで暗号化し、ISPにはIPアドレスしか見えなくなる。
Cloudflareは2023年に導入した。Firefox 118以降（2023年9月）は、DNSでECH設定が取得できればデフォルトで有効にする。ECHとDoHを組み合わせれば、ISPは実際の接続先についてIP以外何も分からない。中国やロシアが歴史的にSNIでドメインを遮断してきたような検閲も、多くの場合は回避できる。普及にはサーバー側（Cloudflare経由なら自動的にインターネットの大半が対応）とブラウザ側（FirefoxとChrome）の両方の対応が要る。対抗策として、ECHを使うTLSハンドシェイクそのものを国家が遮断する可能性もあり、DPIとの軍拡競争の様相だ。