ECH, o Encrypted Client Hello, è una funzionalità TLS che nasconde gran parte della fase iniziale di configurazione della connessione agli osservatori esterni. In una normale stretta di mano TLS, il client può rivelare dettagli come il nome del server di destinazione e altri metadati prima che la crittografia sia completamente stabilita. ECH cifra quella parte dello scambio, così gli osservatori passivi della rete vedono meno informazioni su dove un utente si sta connettendo.
Questo è importante perché i metadati della connessione possono essere usati per l'analisi del traffico, il tracciamento, il filtraggio e la censura. ECH può rendere più difficile per un ISP, per l'operatore di una rete Wi-Fi o per un aggressore che osserva la rete profilare le abitudini di navigazione o identificare le destinazioni solo dalla stretta di mano. Non è uno scudo completo per la privacy: l'indirizzo IP, i tempi e i successivi schemi di traffico possono ancora rivelare informazioni, e sono necessari sia il supporto del client sia quello del server. I difensori usano ECH per ridurre l'esposizione di dettagli sensibili della connessione, mentre gli aggressori possono cercare di fare affidamento su strette di mano più vecchie e non cifrate quando ECH non è disponibile.