Un sénateur américain demande l'activation d'ECH sur les sites fédéraux
Ron Wyden a écrit à la CISA et au bureau du CIO fédéral, joignant une liste de 350 adresses web publiques qui n'utilisent pas Encrypted Client Hello.
Le sénateur américain Ron Wyden a adressé un courrier à Nick Andersen, directeur par intérim de la CISA, et à Thomas Flagg, CIO fédéral adjoint, pour leur demander d'imposer Encrypted Client Hello (ECH) sur les sites web fédéraux et de faire du support d'ECH une condition d'attribution des marchés cloud et réseau de l'État, rapporte techradar.com.
Le courrier s'accompagne d'une liste de 350 adresses web de la branche exécutive qui recourent à des réseaux de diffusion de contenu (CDN) sans activer ECH. Le sénateur y demande une réponse non classifiée et un plan d'action d'ici au 20 novembre 2026.
Parmi ces adresses figure tips.fbi.gov, hébergée chez Cloudflare et qui pourrait activer ECH par un simple changement de configuration, selon la lettre. Elle cite aussi veteranscrisisline.net, hébergée sur Amazon Web Services, qui ne prendrait pas en charge ECH actuellement.
Sur les 350 adresses recensées, 191 sont diplomatiques : 174 sites d'ambassades, trois consulats et 14 missions. 53 autres sont des sous-domaines de bie.edu.
La documentation de Cloudflare indique qu'ECH est activé par défaut sur les zones gratuites, mais que les clients des autres offres doivent l'activer eux-mêmes.
Un enjeu de confidentialité ancien
Les principaux navigateurs web prennent en charge ECH depuis trois ans, selon l'article. Le HTTPS standard ne masque pas le nom d'hôte, que le navigateur transmet en clair via Server Name Indication avant le début du chiffrement.
En bref
Qu'est-ce que Wyden demande à la CISA ?
D'imposer Encrypted Client Hello sur les sites fédéraux et d'en faire une condition pour les fournisseurs cloud et réseau candidats aux marchés publics.
Quelle est l'échéance fixée ?
Le sénateur demande une réponse non classifiée et un plan d'action d'ici au 20 novembre 2026.
Combien d'adresses figurent sur la liste ?
350 adresses web de la branche exécutive utilisant des CDN sans ECH, dont 191 diplomatiques et 53 sous-domaines de bie.edu.