Aprende a activar el nuevo protocolo ECH recién implementado en Chrome, que permite acceder a webs que lo soporten sin que el sistema de bloqueo de las operadoras pueda actuar, al impedirle leer los nombres de los dominios a los que accedes.
- 1 Qué es ECH y cómo evita el bloqueo de webs
- 2 Cómo activar ECH en Chrome
- 2.1 Activando DoH
- 3 Cómo comprobar que ECH está funcionando
Qué es ECH y cómo evita el bloqueo de webs
ECH (Encrypted Client Hello) es una extensión del protocolo TLS (Transport Layer Security) con el que funcionan las webs HTTPS, que soluciona el grave problema de privacidad que supone que el navegador indique dentro del campo SNI (Server Name Indication) en texto plano el nombre del dominio al que quiere acceder, lo que lo hace visible a terceros. Este problema es aprovechado por los sistemas de filtrado de contenidos para averiguar el dominio al que accede el usuario y aplicar bloqueos selectivos.
Con ECH, el mensaje ClientHello, que incluye el SNI y otros parámetros para establecer la comunicación de un navegador con un servidor web, viaja cifrado, dejando fuera de juego a los filtros DPI (Deep Packet Inspection). Este tipo de equipos son utilizados por los proveedores de internet para bloquear el acceso a webs ilegales, aunque no hay que olvidar que en numerosas ocasiones su mal funcionamiento interfiere en el acceso a webs legítimas:
- Twitch.tv bloqueado en España por el filtro de webs ilegales de las operadoras
- MásMóvil bloquea TinyURL en la enésima metida de pata del filtro de webs antipirateria
- El filtro de webs ilegales de Orange la vuelve a liar bloqueando Twitch
- Telefónica y LaLiga bloquean AceStream, popular reproductor completamente legal basado en VLC
- El sistema de filtrado de webs ilegales de Telefónica está bloqueando webs legítimas
Para que ECH funcione, deben soportarlo tanto el navegador como el servidor. ECH sigue siendo un estándar en desarrollo, pero los principales navegadores ya lo soportan. Cloudflare lo ha activado en toda su red, por lo que súbitamente hay un gran número de webs que pueden beneficiarse de las mejoras que trae para la privacidad.
Cómo activar ECH en Chrome
Para activar ECH en Chrome, tu navegador debe estar actualizado al menos a la versión 117. Puedes comprobarlo accediendo a la URL chrome://settings/help y verificando los tres primeros números del código de versión que aparece.
- Si es así, accede a la URL
chrome://flags. Este menú oculto, llamado Experiments, lista las características soportadas por el navegador, pero que no vienen activas por defecto. - Introduce en el cuadro de búsqueda el texto "Encrypted ClientHello" para filtrar el apartado que nos interesa. También puedes acceder directamente a esta opción con la URL
chrome://flags/#encrypted-client-hello. - Ahora pulsa en el selector de la derecha donde pone Default y selecciona Enabled.
Ya tienes ECH activo.
Activando DoH
Si utilizas Windows o Linux, también debes habilitar manualmente DoH, siglas de DNS over HTTPS. Esto no es necesario en macOS, ya que viene activo por defecto, aunque no está de más que compruebes qué proveedor de DNS usas.
Con DoH las peticiones de resolución de los nombres de dominio en su correspondiente IP, son enviadas cifradas como tráfico web. El tráfico DNS convencional sigue viajando en texto plano, así que no tiene sentido activar ECH si cualquier intermediario, o los servidores DNS por defecto de tu operadora, siguen teniendo acceso a los dominios a los que accedes.
Para activar DoH en Chrome:
- Abre el menú de los tres puntos verticales ⋮ situado a la derecha de la barra de direcciones y selecciona Configuración.
- En Privacidad y seguridad → Seguridad, deslizándote hacia abajo encontrarás la opción Usar DNS Seguro en la que debes activar el interruptor.
- Selecciona la opción Con para elegir en el selector desplegable el proveedor que prefieras, como Cloudflare, Google u Open DNS.
Cómo comprobar que ECH está funcionando
Hay varias páginas donde puedes comprobar si todo está en orden con tu navegador y efectivamente estás haciendo uso de ECH. La más sencilla de utilizar es la de Cloudflare. Pulsa el botón Comprobar mi navegador para comprobar si pasas los tests de DNS seguro y Secure SNI. Si es así, ECH está haciendo su trabajo.
Para confirmar que ECH inutiliza los filtros de las operadoras, hemos hemos elegido uno de los dominios que figuran en el listado de bloqueos de LaLiga y Telefónica como alojados en Cloudflare. Se trata de iptvwink.com, una plataforma de IPTV de pago con acceso a 17.000 canales de dudosa procedencia que yo jamás contrataría ni recomiendo su uso más allá de para hacer esta prueba. Con la herramienta Está caída puedes comprobar cómo la web continúa actualmente alojada tras los servidores de Cloudflare.
Al acceder desde una conexión de Orange con Chrome configurado de serie, nos encontramos con que el acceso es interceptado y bloqueado por la operadora. El conocido mensaje "Contenido bloqueado por requerimiento de la Autoridad Competente, comunicado a esta Operadora" se muestra sobre un fondo blanco.
Tras seguir el proceso indicado en este artículo, mágicamente la web pasa a estar disponible, sin necesidad de utilizar una VPN, lo que indica que los sistemas de análisis de tráfico de Orange han sido incapaces de determinar dónde está navegando el cliente.
