Wyden varnar för att 350 federala webbplatser saknar ECH-skydd

Den amerikanske senatorn Ron Wyden säger att 350 federala webbadresser som använder innehållsleveransnätverk inte har aktiverat Encrypted Client Hello (ECH), en funktion som döljer värdnamnet för den efterfrågade webbplatsen under en del av en säker anslutning.

I ett brev till den tillförordnade chefen för Cybersecurity and Infrastructure Security Agency (CISA) och den biträdande federala IT-chefen bad Wyden myndigheterna kräva ECH på federala webbplatser och göra leverantörers ECH-stöd till ett villkor för federala avtal. Han begärde ett svar utan sekretessklassning och en handlingsplan senast den 20 november 2026.

Listan som bifogats brevet omfattar FBI:s tipsportal tips.fbi.gov, som använder Cloudflare men inte har aktiverat ECH, och Department of Veterans Affairs tjänst veteranscrisisline.net, som finns hos Amazon Web Services. Enligt brevet stöder Amazons tjänst för närvarande inte ECH. Wyden säger att det räcker med en konfigurationsändring för att aktivera funktionen hos Cloudflare.

Av de 350 adresserna är 191 diplomatiska webbplatser, 53 underdomäner till Bureau of Indian Educations domän bie.edu och 12 test-, utbildnings- eller mellanlagringsvärdar. De återstående 94 omfattar klagomåls- och rapporteringsportaler, webbplatser med hälsoinformation och ICE:s söktjänst för frihetsberövade.

ECH kan dölja ett värdnamn för observatörer på nätverket, men okrypterade DNS-sökningar eller en servers IP-adress kan fortfarande avslöja destinationen. Artikeln uppger också att Ryssland har blockerat Cloudflares ECH sedan november 2024, vilket kan göra skyddade webbplatser oåtkomliga där.