El senador estadounidense Ron Wyden afirma que 350 direcciones web federales que utilizan redes de distribución de contenidos no tienen activado Encrypted Client Hello (ECH), una función que oculta el nombre de host del sitio solicitado durante una parte de la conexión segura.
En una carta al director en funciones de la Cybersecurity and Infrastructure Security Agency (CISA) y al subdirector federal de informática, Wyden pidió a las agencias que exigieran ECH en los sitios web federales y que el soporte de ECH por parte de los proveedores fuera un requisito para los contratos federales. Solicitó una respuesta no clasificada y un plan de acción antes del 20 de noviembre de 2026.
La lista adjunta a la carta incluye el portal de denuncias del FBI, tips.fbi.gov, que usa Cloudflare pero no ha activado ECH, y el servicio veteranscrisisline.net del Department of Veterans Affairs, alojado en Amazon Web Services. La carta indica que el servicio de Amazon no admite ECH actualmente. Wyden afirma que activar la función en Cloudflare solo requiere un cambio de configuración.
De las 350 direcciones, 191 son sitios diplomáticos, 53 son subdominios del dominio bie.edu de la Bureau of Indian Education y 12 son servidores de prueba, formación o preproducción. Las 94 restantes incluyen portales gubernamentales de quejas y denuncias, sitios con información sanitaria y el localizador de detenidos de ICE.
ECH puede ocultar el nombre de host a quienes observan la red, pero las consultas DNS sin cifrar o la dirección IP del servidor aún pueden revelar el destino. El artículo también señala que Rusia bloquea ECH de Cloudflare desde noviembre de 2024, lo que puede dejar allí inaccesibles los sitios protegidos.
Comentarios
0Aún no hay comentarios. Escribe el primero.