AdGuard v7.13 für Windows: ein Schritt näher zur Unterstützung von Encrypted ClientHello

Es ist schon lange her, dass wir einen Blogpost über AdGuard für Windows verfasst haben. Es ist endlich an der Zeit, dies zu ändern, und das aus gutem Grund: Wir haben eine neue Version veröffentlicht, die erhebliche Verbesserungen enthält, über die es sich zu berichten lohnt.

Experimentelle Unterstützung von Encrypted ClientHello

Mit dieser Version hat AdGuard für Windows 17(!) neue Low-Level-Einstellungen erhalten. Aber jetzt werden wir nur über eine von ihnen sprechen: Encrypted ClientHello verwenden. Wenn Sie diese experimentelle Funktion aktivieren, wird Ihre Verbindung noch sicherer.

ClientHello ist das allererste Paket einer verschlüsselten Verbindung, das den Namen des Servers enthält, mit dem Sie kommunizieren. Dieses Paket bleibt unverschlüsselt, so dass der Internetdienstanbieter nachvollziehen kann, auf welche Website Sie zugreifen. Encrypted ClientHello (ECH) ist eine neue Technologie, die dieses Problem lösen und das allerletzte unverschlüsselte Bit der Information verschlüsseln soll.

Implementierung von AdGuards Encrypted ClientHello

Damit die Funktion Encrypted ClientHello verwenden funktioniert, müssen mehrere Bedingungen erfüllt sein. Erstens muss der DNS-Schutz aktiviert sein. Und das ist der Hauptgrund, warum wir den DNS-Schutz standardmäßig für alle Nutzer — neue und alte — aktiviert haben.

Wenn Sie AdGuard für Windows nach einer Neuinstallation starten, wird der DNS-Schutz mit dem DNS-Server des Systems und dem aktivierten AdGuard DNS-Filter aktiviert. Dasselbe geschieht, wenn Sie die Anwendung aktualisieren, während das DNS-Modul deaktiviert ist. Wenn Sie die Anwendung jedoch aktualisieren, während das DNS-Modul bereits aktiviert und konfiguriert ist, werden keine Änderungen vorgenommen.

Beachten Sie, dass die Encrypted ClientHello-Technologie nur funktionieren kann, wenn sie sowohl auf der Client- als auch auf der Serverseite unterstützt wird. Derzeit ist die ECH-Unterstützung in einer begrenzten Anzahl von Anwendungen implementiert. Chrome und Firefox zum Beispiel sind dabei, sie hinzuzufügen. Hier haben wir keine andere Wahl als zu warten. Aber dank AdGuard wird die ECH-Unterstützung automatisch in allen Anwendungen und Browsern auf Ihrem Gerät funktionieren. Da es sich bei der Funktion Encrypted ClientHello verwenden um eine experimentelle Funktion handelt, kann sie auch Ihre Surfgeschwindigkeit etwas verringern. Aber wir arbeiten derzeit an der Lösung dieses Problems.

Wie man sicherstellt, dass ECH funktioniert

Um zu überprüfen, ob ECH funktioniert, machen Sie Folgendes:

1. Aktivieren Sie die Funktion Encrypted ClientHello verwenden.

2. Gehen Sie zu https://crypto.cloudflare.com/cdn-cgi/trace/ und sehen Sie nach, ob dort sni=encrypted steht.

3. Gehen Sie zu https://defo.ie/ech-check.php und prüfen Sie, ob dort SSL_ECH_STATUS: success steht.

Neue Erweiterte Einstellungen

Das neueste Update von AdGuard für Windows enthält eine Reihe neuer Einstellungen auf niedriger Ebene. Nicht alle davon werden für Sie von Nutzen sein, aber sehen Sie sich diese an, damit Sie wissen, was AdGuard noch tun kann, um Ihr Internet-Erlebnis noch sicherer zu machen.

Alle neuen erweiterten Funktionen lassen sich in sechs Gruppen einteilen:

• Anti DPI-Optionen ermöglichen es, Pakete während der Filterung auf einer niedrigen Ebene zu modifizieren, um die Verfolgung durch Deep Packet Inspection zu verhindern

  • Größe des Fragments des ersten TLS-Pakets anpassen
  • Zusätzliches Leerzeichen der einfachen HTTP-Anfrage hinzufügen
  • Größe des Fragments einer einfachen HTTP-Anfrage

• Keepalive-Einstellungen ermöglichen die Konfiguration von Einstellungen für die Arbeit mit Keepalive-Verbindungen

  • TCP-Keepalive aktivieren
  • TCP-Keepalive-Intervall
  • TCP-Keepalive-Zeitüberschreitung

• Die Einstellungen für den Filter-Ausschlüsse ermöglichen es, sowohl WLAN-Netzwerke als auch bestimmte Subnetze (in der CIDR-Notation) von der DNS-Filterung auszuschließen

  • Bestimmte IP-Bereiche von der Filterung ausschließen
  • Von der Filterung ausgeschlossene IP-Bereiche
  • Bestimmte WLAN-Netzwerknamen (SSIDs) von der DNS-Filterung ausschließen

• DNS-bezogene Optionen ermöglichen die Feinabstimmung der DNS-Einstellungen

  • Fallback-DNS-Upstreams verwenden
  • HTTP/3 für DNS-over-HTTPS verwenden
  • DNS-Upstreams parallel abfragen
  • Immer auf fehlgeschlagene DNS-Anfragen antworten

• Zertifikatsicherheitsoptionen ermöglichen die Überprüfung von Zertifikaten von Websites und Webdiensten

  • Zertifikatstransparenz von Websites prüfen
  • SSL/TLS-Zertifikate von Webdiensten prüfen

• Filterung beim Systemstart aktivieren. Standardmäßig filtert AdGuard für Windows den Datenverkehr nach dem Start des Betriebssystems nicht. Wenn Sie möchten, dass die Filterung auch dann durchgeführt wird, wenn AdGuard nicht gestartet ist, sollten Sie diese Option aktivieren.

Einzelheiten zu allen erweiterten Einstellungen, neuen und alten, finden Sie in unserer Wissensdatenbank.

Zusätzlich zu den oben beschriebenen Änderungen haben wir eine Menge Arbeit geleistet: CoreLibs, DnsLibs, Scriplets, WFP und TDI-Treiber aktualisiert, verschiedene Probleme behoben und verschiedene Funktionen verbessert. Das vollständige Änderungsprotokoll von AdGuard v7.13 für Windows ist auf GitHub verfügbar.