uTLS has a Chrome Parrot Fingerprint Vulnerability due to GREASE ECH Cipher Suite Mismatch

O uTLS versões 1.6.0 a 1.8.0 imita o navegador Chrome de forma inconsistente ao usar GREASE ECH: escolhe aleatoriamente entre AES e ChaCha20 para a conexão criptografada interna, enquanto sempre usa AES externamente, criando uma diferença detectável que o Chrome real nunca faz. Isso enfraquece a proteção contra identificação que o uTLS foi feito para oferecer.

A vulnerabilidade afeta a implementação do parrot Chrome no uTLS para GREASE ECH (Encrypted Client Hello), onde a seleção do cipher suite para o handshake interno do ECH é aleatória (50% AES, 50% ChaCha20) em vez de ser determinística baseada na preferência da cipher suite externa, permitindo ataques de fingerprinting TLS passivo para distinguir uTLS do Chrome autêntico. O problema requer que GREASE ECH seja negociado durante o handshake TLS; ECH real não é afetado porque uTLS seleciona corretamente o primeiro cipher suite válido quando AES é preferido. A correção está disponível na versão 1.8.1.