Ungoogled-Chromium中ECH功能的独立启用机制分析

背景概述

在隐私保护浏览器Ungoogled-Chromium中，Encrypted Client Hello(ECH)是一项重要的隐私增强功能，它能够加密TLS握手过程中的Client Hello消息，防止第三方窃听用户访问的域名信息。然而，Chromium浏览器默认实现中ECH功能与DNS over HTTPS(DoH)存在耦合关系，这在某些网络环境下可能成为使用障碍。

技术原理

ECH技术本质上是TLS 1.3协议的扩展，通过在DNS记录中查询HTTPS资源记录(HTTPS RR)来获取加密配置。传统实现中，Chromium浏览器优先通过DoH方式获取这些记录，但技术规范本身并不强制要求必须使用DoH。

Ungoogled-Chromium社区经过验证发现，浏览器实际上内置了对传统DNS查询方式获取HTTPS RR的支持，这通过AdditionalDnsQueryTypesEnabled策略控制。该策略默认启用，意味着即使用户不使用DoH，浏览器仍然可以通过常规DNS查询获取ECH配置。

实现验证

技术验证表明，在以下配置下ECH功能可以正常工作：

1. 保持AdditionalDnsQueryTypesEnabled为默认启用状态（实际上无需特别配置）
2. 将DnsOverHttpsMode设置为关闭状态

在这种配置下，浏览器会通过用户配置的常规DNS解析器（如本地DNS服务器）查询HTTPS记录，而不依赖DoH服务。多个ECH检测网站（如知名CDN服务商的ESNI检查页面）确认了这种工作模式的有效性。

技术意义

这一发现对隐私保护浏览具有重要意义：

1. 提高了ECH功能的可用性，特别是在DoH被限制或不可用的网络环境中
2. 保持了与标准DNS基础设施的兼容性
3. 为用户提供了更多隐私保护的选择权

实现建议

对于希望在不使用DoH的情况下启用ECH功能的用户，建议采取以下步骤：

1. 确认浏览器版本支持ECH功能
2. 检查DNS解析器是否支持HTTPS RR查询
3. 无需特别配置即可享受ECH保护

值得注意的是，某些网络环境可能会过滤HTTPS RR查询，这种情况下ECH功能可能无法正常工作。此时用户可能需要考虑使用DoH作为备选方案。

未来展望

随着ECH技术的普及，预期会有更多DNS解析器原生支持HTTPS RR查询。Ungoogled-Chromium作为注重隐私的浏览器分支，将持续关注并优化相关功能的实现，为用户提供更灵活、更强大的隐私保护选择。