ECH (Encrypted Client Hello)
Расширение TLS 1.3, шифрующее поле SNI (имя хоста) в ClientHello. Обычный ClientHello передаётся открытым текстом, поэтому провайдер и промежуточные узлы видят посещаемые домены. ECH шифрует его через HPKE — провайдер видит только IP-адрес.
Cloudflare внедрила ECH в 2023 году. Firefox 118+ (сентябрь 2023) включает его по умолчанию, если конфигурация ECH доступна через DNS. Выигрыш для приватности: ECH вместе с DoH означает, что провайдер не знает ничего о реальном назначении, кроме IP. Во многих случаях обходит цензуру по SNI (Китай и Россия исторически блокировали домены именно так). Для внедрения нужны серверы (Cloudflare — это большая часть интернета автоматически) и браузеры (Firefox и Chrome). Контрмера: государства могут блокировать TLS-рукопожатия с ECH — гонка вооружений вокруг DPI.