
El senador estadounidense Ron Wyden (demócrata por Oregón) pide al Gobierno federal que active Encrypted Client Hello (ECH), una función de privacidad compatible con los principales navegadores desde hace tres años. Su objetivo: evitar que observadores de la red puedan identificar qué sitio web visita una persona, incluso cuando la conexión ya está protegida por HTTPS.
En una carta dirigida al director interino de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), Nick Andersen, y al subdirector federal de información de la Oficina de Administración y Presupuesto (OMB), Thomas Flagg, Wyden solicitó que ambas agencias exijan ECH en los sitios federales y lo incorporen como condición para los contratos con proveedores de servicios en la nube y redes.
La carta incluye una lista de 350 direcciones web del poder ejecutivo alojadas en redes de distribución de contenido (CDN) que no utilizan ECH. Entre ellas figuran el portal de denuncias del FBI, la línea de crisis para veteranos del Departamento de Asuntos de Veteranos (VA), servicios para denunciantes y páginas para presentar quejas sobre derechos civiles. Wyden pidió una respuesta no clasificada y un plan de acción antes del 20 de noviembre de 2026.
## El dato que HTTPS no oculta
HTTPS cifra el contenido de las páginas y la información que se envía mediante formularios, pero no necesariamente oculta el nombre del sitio al que se conecta el usuario. Al iniciar una conexión segura, el navegador suele revelar el nombre de dominio en un campo llamado Server Name Indication (SNI), antes de que comience el cifrado.
Esto significa que un proveedor de internet, una red Wi-Fi comprometida o un tercero con acceso a la infraestructura de telecomunicaciones podría registrar que alguien visitó tips.fbi.gov, aunque no pueda leer el contenido de la denuncia.
ECH cifra esa parte del proceso de conexión. Funciona especialmente bien cuando muchos sitios comparten la infraestructura de una CDN: quien observa el tráfico puede identificar el proveedor, pero no necesariamente cuál de sus sitios está visitando la persona.
Wyden destaca dos casos. El portal de prevención del suicidio del VA, veteranscrisisline.net, utiliza servicios de Amazon Web Services, que, según la carta, no ofrece actualmente ECH para este uso. En cambio, el portal de denuncias del FBI está alojado en Cloudflare, que sí admite la función, pero la agencia todavía no la ha activado. En este último caso, el cambio podría limitarse a una actualización de configuración.
## Una lista con servicios sensibles
De las 350 direcciones identificadas, 191 corresponden a sitios diplomáticos: 174 embajadas, tres consulados y 14 misiones ante organismos internacionales, entre ellos la OTAN y las Naciones Unidas. Otras 53 son subdominios de bie.edu, vinculados aparentemente a escuelas de la Oficina de Educación Indígena. Además, 12 direcciones corresponden a entornos de prueba, capacitación o preparación.
Entre los demás sitios aparecen líneas de denuncia de inspectores generales, portales de derechos civiles, formularios para enviar información a agencias federales y servicios de salud pública. La lista también incluye el localizador de personas detenidas de ICE y páginas relacionadas con información sobre el VIH, tratamientos para el consumo de alcohol y prevención del VIH mediante doxy-PEP.
La implementación depende del proveedor. Cloudflare indica que ECH se activa por defecto en algunos planes, mientras que ciertos clientes deben habilitarlo manualmente. Para agencias que utilizan servicios sin compatibilidad con ECH, como el caso señalado del VA, la solución podría requerir un cambio de proveedor o esperar a que este incorpore la función.
Por ello, convertir ECH en requisito para los contratos federales podría servir como incentivo para que Amazon y otros proveedores amplíen su compatibilidad. Al mismo tiempo, una regla de contratación aplicada de inmediato podría reducir las opciones disponibles para las agencias y favorecer a un grupo limitado de proveedores.
## ECH no elimina todos los riesgos
ECH protege una parte concreta de la conexión, pero no vuelve invisible una visita ni resuelve todos los problemas de privacidad. El nombre del dominio aún puede filtrarse mediante consultas DNS sin cifrar; además, la dirección IP del servidor puede aportar pistas sobre el destino. Para una protección más completa, ECH debe combinarse con DNS cifrado, algo que las agencias no pueden imponer directamente a cada persona que navega desde su propia conexión doméstica.
También hay consideraciones geopolíticas. Muchas de las direcciones de la lista son páginas de embajadas destinadas a usuarios en países con redes sometidas a vigilancia o censura. Rusia bloquea desde 2024 conexiones de Cloudflare que utilizan ECH, lo que ha dejado a algunos servicios ante una disyuntiva: desactivar la función o trasladarse a otro proveedor.
En consecuencia, activar ECH en una página diplomática podría ocultar el dominio a ciertos observadores, pero también dificultar el acceso desde el país donde más importa que la página esté disponible. No existe una solución única para todos los sitios: las agencias tendrían que evaluar tanto la protección de la privacidad como las restricciones locales de conectividad.
La iniciativa de Wyden retoma esfuerzos anteriores. En 2018, el senador instó al Departamento de Seguridad Nacional a adoptar DNS cifrado y Encrypted SNI, el antecedente de ECH, y pidió considerar requisitos similares para proveedores de CDN con contratos federales. Su historial muestra resultados dispares, aunque una carta posterior sobre la seguridad de los sitios del Pentágono fue seguida por un plan del Departamento de Defensa para protegerlos.
Los principales navegadores ya están preparados para ECH y Android 17 incorporó compatibilidad a nivel del sistema. El reto ahora es extender el soporte entre los proveedores y aplicarlo con criterios que tengan en cuenta los límites técnicos y las necesidades de acceso internacional. ECH puede reducir la información que obtiene un observador pasivo, pero su eficacia dependerá de una adopción coordinada y de una comprensión clara de lo que la tecnología puede —y no puede— proteger.
from Latest from TechRadar https://ift.tt/Wf7PJ06
via IFTTT IA