AdGuard 7.13 для Windows: поддержка Encrypted ClientHello и многое другое

Давно мы ничего здесь не писали про AdGuard для Windows. Пришло время исправить ситуацию, тем более, что появился отличный повод: мы выпустили новую версию программы со значительными улучшениями, о которых мы с удовольствием расскажем.

Экспериментальная поддержка Encrypted ClientHello

С этим обновлением AdGuard для Windows получил 17 новых низкоуровневых настроек. Но сначала мы расскажем об одной из них — Использовать Encrypted ClientHello. Эта функция (пока экспериментальная) сделает ваше соединение ещё более безопасным.

ClientHello — это первый пакет зашифрованного соединения, содержащий имя сервера, к которому вы подключаетесь. Этот пакет остаётся незашифрованным, что позволяет провайдеру отслеживать, с каким сайтом вы общаетесь. Encrypted ClientHello (ECH) — новая технология, которая должна решить эту проблему, зашифровав тот самый последний незашифрованный бит информации.

Реализация поддержки Encrypted ClientHello в AdGuard

Для работы функции Использовать Encrypted ClientHello надо, чтобы низкоуровневая настройка Блокировать ECH была отключена, а DNS-защита включена. Именно поэтому мы включили её по умолчанию для всех пользователей — новых и старых. Дело в том, что ECH полагается на данные, полученные через DNS. Чтобы AdGuard мог получить эти данные и включить ECH глобально для пользователей, нужна DNS-фильтрация.

При запуске AdGuard для Windows после чистой установки DNS-защита будет включена с системным DNS-сервером и включённым фильтром AdGuard DNS. То же самое произойдет, если вы обновите приложение с отключённым модулем DNS. Однако, если вы обновите приложение с уже включённым и настроенным модулем DNS, ничего не изменится.

Обратите внимание: для того чтобы технология Encrypted ClientHello работала, она должна поддерживаться как на стороне клиента, так и на стороне сервера. Сегодня поддержка ECH реализована в ограниченном количестве приложений. Chrome и Firefox, например, находятся в процессе её внедрения. И здесь остаётся только ждать.

Зато благодаря AdGuard поддержка ECH будет автоматически работать во всех приложениях и браузерах на вашем устройстве. Так как функция Использовать Encrypted ClientHello экспериментальная, она может немного замедлять скорость загрузки страниц. Но мы уже работаем над тем, чтобы это исправить.

Как убедиться, что ECH работает

1. Включите функцию Использовать Encrypted ClientHello
2. Перейдите на https://crypto.cloudflare.com/cdn-cgi/trace/ и проверьте, написано ли там sni=encrypted

3. Перейдите на https://defo.ie/ech-check.php и проверьте, написано ли там SSL_ECH_STATUS: success

Новые расширенные настройки

Мы уже упоминали, что последнее обновление AdGuard для Windows содержит целый ряд новых расширенных настроек. Возможно, не все из них вам пригодятся. С другой стороны, знать о том, на что ещё способен AdGuard, может оказаться полезным.

Все новые расширенные функции можно разделить на шесть групп:

• • Опции защиты от DPI позволяют низкоуровнево модифицировать запросы при фильтрации, чтобы защитить трафик пользователя от отслеживания через DPI
  • Настроить размер фрагментации начального пакета TLS
  • Добавлять пробел к обычному HTTP-запросу
  • Размер фрагмента обычного HTTP-запроса

• Настройки Keepalive позволяют настроить параметры для работы с keepalive-соединениями

  • Включить поддержку активности TCP
  • Интервал проверки активности TCP
  • Таймаут ожидания TCP

• Настройки исключений фильтрации позволяют исключить из DNS-фильтрации как сети Wi-Fi, так и отдельные подсети (записанные в CIDR-нотации)

  • Не фильтровать указанные диапазоны IP-адресов
  • Диапазоны IP-адресов, исключённые из фильтрации
  • Не фильтровать указанные Wi-Fi сети (SSID)

• Опции, связанные с DNS, позволяют тонко настроить DNS-параметры

  • Использовать резервные upstream DNS-серверы
  • Использовать HTTP/3 для DNS-over-HTTPS
  • Выполнять запросы к upstream-DNS-серверам параллельно
  • Всегда отвечать на неудачные DNS-запросы

• Опции безопасности сертификатов позволяют проверять сертификаты сайтов и веб-служб

  • Проверять прозрачность сертификатов сайтов
  • Включить проверку отзыва сертификатов SSL/TLS

• Включать фильтрацию при запуске системы. Эта опция позволяет включить фильтрацию, даже если приложение не запущено. Сейчас по умолчанию AdGuard не фильтрует трафик при старте ОС. Если вы хотите, чтобы фильтрация выполнялась, даже если AdGuard не запущен, включите эту опцию.

Подробную информацию обо всех Расширенных настройках, новых и старых, можно найти в нашей Базе знаний.

Помимо описанных выше изменений, мы проделали большую работу: обновили CoreLibs, DnsLibs, Scriplets, WFP- и TDI-драйверы, исправили различные проблемы и улучшили многие функции. Полный список изменений AdGuard 7.13 для Windows доступен на GitHub.