CloudFlare推出新标准ECH，屏蔽SNI，取代ESNI，得到Chrome和Firefox支持。启用ECH后，网站不影响用户访问，运营商只知道用户访问CloudFlare和使用ECH，不知道具体网站域名。

有了 HTTPS 我们的网络访问就完美无缺了吗？TLS 在握手 Client Hello 阶段的数据包，包含客户端想访问的地址等信息，而这些信息是明文传输的，这使得第三方可以通过监听等手段知道你想访问哪些网址。本文会按照加密方式的加工流程倒序介绍，先介绍关于 TLS 握手阶段的 SNI 相关信息，再谈谈 DNS 安全层，最后会介绍下 TLS 握手指纹……

文章探讨利用CDN隐藏真实服务器地址以突破网络审查的技术。CDN按HTTP Host转发请求，但审查者可通过明文SNI监控并封锁。域名前置利用SNI与Host不一致规避，已被CDN禁止；ESNI加密SNI，却因CDN边缘节点解密而失效。作者认为中心化CDN终难逃审查，未来需依靠去中心化网络与区块链技术。

文章探讨利用CDN中继流量绕过网络审查的技术。CDN节点按HTTP请求的Host而非TLS的SNI回源，由此产生域前置技术，但主流CDN已禁止。ESNI可加密SNI，与DNS-over-HTTPS结合形成加密闭环。然而CDN边缘节点仍能解密用户数据，审查者可控制CDN。作者认为出路在于去中心化网络与密码学，以保护数据本身。

文章讨论利用CDN中继流量绕过网络审查及审查方的反制。CDN依据明文SNI选择证书、依据HTTP Host回源，域名前置利用二者不一致隐藏真实目标；但多数CDN现已要求SNI与Host匹配，俄罗斯、韩国、中国等地也通过SNI嗅探、封锁ESNI加强审查。作者指出CDN边缘节点仍可解密请求，集中式结构难逃控制，未来或需去中心化网络与不可篡改公共账本保障隐私。

随着TLS1.3的发布，让该协议成为有史以来最安全、也是最复杂的TLS协议。在该协议之中，有很多的对于以往协议安全漏洞的修复，包括废弃RSA启用新的秘钥交换机制PSK等等。而Encrypted SNI作为一个TLS1.3的扩展协议用来防止传统的HTTPS流量受到ISP或者陌生网络环境的窥探以及一些网络审查。在过去，由于HTTPS协议之中Server Name Indication -...