Android 17 ukryje, jakie strony odwiedzasz. Dostawca internetu straci kontrolę

Za każdym razem, gdy otwierasz stronę na telefonie, dostawca internetu i właściciel sieci Wi-Fi nadal widzą, na jaki adres się kierujesz – mimo że samo połączenie jest od dawna szyfrowane przez HTTPS. Google właśnie zamyka tę lukę: Android 17 to pierwszy duży mobilny system, który globalnie włącza szyfrowanie ECH i ukrywa ten ostatni widoczny ślad po tobie.

Co dokładnie ukrywa ECH – i przed kim?

Skrót ECH oznacza Encrypted Client Hello. Kiedy telefon łączy się z jakąś stroną, na samym początku połączenia nadal wysyła nazwę domeny docelowej w czytelnej formie – i właśnie z niej każdy na trasie, od operatora po właściciela publicznej sieci Wi-Fi, wie, dokąd idziesz. ECH szyfruje tę nazwę kluczem, który może odczytać tylko docelowa strona internetowa, dzięki czemu zlewa się z równie nieczytelnym szyfrem jak reszta transmisji.

Całość działa w parze z tak zwanym prywatnym DNS, które ukrywa tłumaczenie adresu na numeryczny IP. W ten sposób z połączenia znikają metadane, na podstawie których każdy obserwator może stworzyć twój profil. Według Google’a, dzięki temu operatorzy sieci i podsłuchujący nie będą już tak łatwo widzieć, jakich stron ani aplikacji aktualnie używasz.

Nowością jest przede wszystkim ta globalność. ECH samo w sobie nie jest nowością – przeglądarki Chrome i Firefox obsługują je już od około dwóch lat. Jak jednak Google podkreśla na swoim blogu, Android 17 po raz pierwszy rozszerza tę ochronę na cały system, dzięki czemu korzystają z niej nie tylko strony w przeglądarce, ale także zwykłe aplikacje.

Dlaczego Android udaje szyfrowanie nawet tam, gdzie go nie ma?

ECH działa tylko wtedy, gdy obsługuje je również druga strona – czyli konkretna strona internetowa lub serwer danej aplikacji. A takich na razie zdecydowanie nie ma większości.

Z tego wynika podstępna pułapka. Gdyby telefon szyfrował adres docelowy tylko w przypadku garstki obsługiwanych połączeń, sam fakt, że połączenie jest chronione przez ECH, wyróżniałby się z tłumu – i od razu zdradzałby, że chodzi o coś „ciekawego”. Rozwiązaniem jest tak zwany ECH GREASE, który nawet do stron bez obsługi ECH wysyła fałszywe, losowo generowane dane ECH, aby każde żądanie wyglądało dokładnie tak samo. W Androidzie 17 ten tryb jest domyślnie włączony.

Aby tę samą ochronę mogły oferować również aplikacje stron trzecich, obsługę ECH dodała także biblioteka open-source OkHttp, przez którą wiele aplikacji wysyła dane. Deweloperom wystarczy zaktualizować jeden komponent, a połączenie ich aplikacji zostanie ukryte tak samo jak to przeglądarkowe.

Co Android 17 chroni oprócz przeglądania

Szyfrowanie adresów to nie koniec – Google jednocześnie zaostrzył dostęp aplikacji do twojej sieci domowej. Od nowa każda aplikacja musi poprosić o zgodę, zanim zacznie skanować pobliskie urządzenia lub się z nimi łączyć, niezależnie od tego, czy jest to inteligentny telewizor, kamera czy głośnik. Wcześniej robiły to cicho w tle i bez pytania.

Domyślnie włączona jest również przejrzystość certyfikatów. Wymaga ona, aby każdy certyfikat bezpieczeństwa był zapisany w publicznym rejestrze, co znacznie utrudnia podłożenie fałszywego certyfikatu i niezauważalne podsłuchiwanie twojego ruchu.

Android 17 ukryje, jakie strony odwiedzasz. Dostawca internetu straci kontrolę Adam Kurfürst Zprávičky Adam Kurfürst Zprávičky

Po trzecie, system walczy z atakami przez przestarzałe 2G. Operatorzy mogą teraz globalnie i bez jednego kliknięcia wyłączyć sieci 2G swoim klientom, przez które oszuści za pomocą tak zwanych SMS blasterów rozsyłają wiadomości phishingowe lub zmuszają telefon do przełączenia się na podatne na ataki połączenie. Ręczny przełącznik oferował już Android 12, a zarządzanie firmowe Android 14 – tym razem jednak jest to rozwiązanie, które nie wymaga od użytkownika absolutnie niczego.

Warto zapamiętać jedno rozróżnienie: szyfrowanie ECH, kontrola certyfikatów i ochrona sieci domowej działają automatycznie bezpośrednio w systemie, natomiast wyłączenie 2G zależy od tego, czy dołączy do tego twój operator.

Czy doceniasz to, że Android 17 ukryje twoje przeglądanie nawet przed dostawcą internetu?

Źródła: Google, The Hacker News