Ringkas: Encrypted Client Hello (ECH) menutup celah privasi HTTPS dengan menyembunyikan hostname situs dari ISP, tanpa memerlukan VPN atau pengaturan keamanan khusus.
Encrypted Client Hello adalah fitur browser yang menyembunyikan situs web yang Anda kunjungi dari penyedia layanan internet atau ISP. Fitur ini menutup celah yang telah ada sepanjang era HTTPS: meski koneksi sudah dienkripsi sepenuhnya, ISP sebelumnya tetap dapat melihat situs yang dibuka, hanya saja tidak dapat mengetahui aktivitas Anda di dalamnya. Perlindungan tersebut kini terintegrasi langsung ke browser tanpa memerlukan VPN.
Mengapa HTTPS belum sepenuhnya menyembunyikan situs dari ISP
Kehadiran HTTPS mengubah internet secara drastis dan membuat data jauh lebih privat, didorong oleh browser-browser besar yang mewajibkan kepatuhan serta peran Google. Namun, HTTPS tidak pernah membuat penelusuran sepenuhnya privat.
Setiap kali perangkat terhubung ke situs, aplikasi, atau layanan online, berbagai standar dan protokol berkomunikasi di balik layar. Salah satu tahap pertamanya adalah TLS handshake, yaitu proses awal untuk membentuk koneksi terenkripsi antara perangkat dan server.
Pesan pertama dalam proses tersebut disebut ClientHello. Pesan ini mencantumkan hostname situs dalam kolom Server Name Indication (SNI). Server memerlukan informasi itu untuk menentukan sertifikat yang harus dikirimkan sebelum proses enkripsi berlangsung. Setelah handshake selesai, konten halaman, cookie, dan kata sandi baru dikunci oleh enkripsi.
Masalahnya, kolom SNI selama ini dikirim sebagai teks biasa. Artinya, bahkan ketika HTTPS digunakan, ISP masih dapat membacanya. Informasi tersebut memang dibutuhkan server situs untuk memilih sertifikat yang tepat sebelum enkripsi dimulai, tetapi sekaligus membuka celah privasi.
Encrypted Client Hello dirancang khusus untuk melindungi bagian tersebut. Standarnya diselesaikan dan dipublikasikan sebagai RFC 9849 pada Maret 2026. Meski baru difinalisasi pada tahun itu, browser besar seperti Chrome dan Firefox telah mendukung ECH sejak 2023, sedangkan Android menambahkan dukungannya pada Agustus 2026.
Celahnya berada di antara saat permintaan tiba dan ketika enkripsi mulai berjalan. Walaupun terdengar kecil, ada bukti bahwa celah ini pernah dimanfaatkan untuk mengumpulkan data. Salah satu contoh utamanya adalah laporan FTC pada 2021 yang mengungkap bahwa ISP di Amerika Serikat memantau data penelusuran tingkat domain yang tidak terenkripsi. Data itu digunakan untuk menyusun profil iklan berdasarkan lokasi, demografi, bahkan kecenderungan politik.
Cara kerja Encrypted Client Hello
ECH tidak mengenkripsi TLS handshake yang digunakan pada hampir setiap koneksi. Sebagai gantinya, fitur ini membuat versi kedua dari pesan handshake yang berfungsi hampir seperti umpan.
Satu pesan terenkripsi menyimpan informasi sebenarnya, termasuk hostname. Pesan lain dikirim secara terbuka menggunakan nama pengganti generik. Setelah pesan tiba, server membuka versi yang sebenarnya dan melanjutkan koneksi seperti biasa, sedangkan ISP hanya melihat pesan umpan.
- Mengambil kunci publik server: Sebelum terhubung, klien mencari konfigurasi ECH melalui DNS.
- Membuat dua ClientHello: Versi asli, ClientHelloInner, membawa tujuan sebenarnya. Versi umpan, ClientHelloOuter, memakai nama pengganti generik—biasanya domain milik penyedia hosting, bukan situs yang sedang dikunjungi.
- Mengenkripsi versi asli dan menyembunyikannya dalam versi umpan: Klien mengenkripsi ClientHelloInner memakai kunci publik tersebut, lalu menempatkan hasil enkripsinya sebagai ekstensi pada ClientHelloOuter. Hanya pesan luar yang terekspos, sehingga pihak yang memantau melihat handshake normal yang ditujukan ke nama berbeda.
- Server mencoba membukanya: Server mencocokkan ekstensi dengan kunci yang dimilikinya. Jika dekripsi berhasil, server memulihkan ClientHelloInner dan meneruskannya ke sistem backend yang tepat; berarti ECH diterima.
- Jika dekripsi gagal: Apabila server tidak mendukung ECH atau proses dekripsi gagal, ClientHello umpan diproses sebagai koneksi biasa. Klien biasanya menerima konfigurasi terbaru untuk mencoba kembali proses tersebut.
- Klien memeriksa versi yang digunakan: Sinyal konfirmasi kecil dalam respons server memberi tahu klien apakah permintaan asli berhasil diproses atau koneksi hanya mencapai nama pengganti.
Dengan mekanisme tersebut, ECH melindungi SNI dan meningkatkan privasi pengguna.
Cara memeriksa dukungan ECH di browser
ECH bekerja di latar belakang dan melindungi privasi tanpa suara. Karena itu, tidak ada tombol khusus yang perlu dicari untuk mengaktifkannya. Salah satu alasannya adalah sebagian besar browser dan sistem operasi besar kini telah mendukung beberapa bentuk ECH.
Chrome menerapkan ECH pada versi 117 yang dirilis September 2023, sementara Firefox menambahkannya pada versi 118 pada bulan yang sama. Jika Anda memakai versi kedua browser tersebut yang lebih baru dari akhir 2023, perlindungan itu sudah tersedia.
Android juga mulai menggulirkan dukungan ECH untuk Android 17. Setelah perangkat diperbarui ke versi terbaru tersebut, pengguna akan memperoleh tambahan perlindungan privasi yang membuat data sedikit lebih tersembunyi dari ISP.
Memastikan ECH benar-benar bekerja lebih berguna daripada sekadar memeriksa apakah fitur itu aktif. Namun, pengujian harus dilakukan pada situs yang mendukung ECH. Jika tidak, hasilnya dapat berupa negatif palsu yang tidak berkaitan dengan konfigurasi perangkat Anda.
Pemeriksaan paling sederhana dapat dilakukan dengan membuka crypto.cloudflare.com/cdn-cgi/trace, kemudian mencari baris sni= dalam respons teks biasa. Jika ECH berhasil pada koneksi tersebut, nilainya akan terbaca encrypted. Pengujian ini tidak membutuhkan instalasi apa pun.
Batas perlindungan Encrypted Client Hello
ECH hanya menyembunyikan hostname. Permintaan DNS tetap dikirim sebagai teks biasa kecuali Anda mengenkripsinya, dan browser masih dapat dikenali melalui teknik fingerprinting atau identifikasi berdasarkan karakteristik unik browser, kecuali pengguna mengambil langkah untuk menghindarinya.
Dengan demikian, ECH menutup salah satu celah penting dalam HTTPS dan mengurangi informasi situs yang dapat dilihat ISP, tetapi perlindungan privasi tetap terdiri dari banyak lapisan yang harus bekerja bersama.
Poin penting
- Encrypted Client Hello tanpa VPN
- Hostname tersembunyi dari ISP
- RFC 9849 pada Maret 2026
- Chrome 117 dan Firefox 118
- Dukungan ECH di Android 17
- DNS tetap perlu dienkripsi
FAQ
Apakah ECH memerlukan VPN?
Tidak. ECH terintegrasi dalam browser dan bekerja tanpa VPN maupun tombol keamanan khusus.
Bagaimana cara mengetahui ECH berfungsi?
Buka crypto.cloudflare.com/cdn-cgi/trace dan periksa baris sni=. Jika tertulis encrypted, ECH berhasil digunakan pada koneksi tersebut.
Apakah ECH menyembunyikan seluruh aktivitas internet?
Tidak. ECH hanya menyembunyikan hostname; permintaan DNS masih berupa teks biasa jika tidak dienkripsi, dan browser masih dapat dikenali melalui fingerprinting.
