Android 17 masque les noms de sites web aux FAI grâce à un nouveau standard de chiffrement

Google Alphabet Inc. ↗ 3.25% a confirmé jeudi qu'Android 17 sera le premier système d'exploitation mobile majeur à intégrer un support natif pour Encrypted Client Hello, un standard de confidentialité qui masque les noms des sites web visités par les utilisateurs aux fournisseurs d'accès à internet et aux autres observateurs réseau.blog+1

Comment fonctionne ECH

Même lorsqu'une connexion est chiffrée via HTTPS, le nom de domaine du site web de destination est transmis en clair lors de la poignée de main initiale entre un appareil et un serveur, ce qui le rend visible pour quiconque surveille le réseau. "Ces données non chiffrées peuvent être utilisées pour établir des profils d'utilisateurs ou, entre les mains d'acteurs malveillants, exploitées pour des campagnes de phishing et d'escroquerie ciblées", ont écrit l'ingénieur logiciel de Google, Bram Bonné, et le chef de produit Android, Shuaibo Huang, dans un article de blog annonçant la fonctionnalité.blog

ECH résout ce problème en chiffrant le nom du site web de destination à l'aide d'une clé secrète que seul le serveur destinataire peut déchiffrer. Avec ce standard actif, un FAI ne verrait que le réseau de diffusion de contenu du site, comme Cloudflare, et le volume de données transférées, mais pas le site web ou l'application réelle consultée par l'utilisateur.engadget

Cette protection nécessite que les sites web et les applications prennent également en charge ECH. Pour éviter que les connexions protégées par ECH ne se distinguent des autres, Android 17 activera ECH GREASE par défaut, envoyant des extensions ECH aléatoires et factices aux sites n'ayant pas encore adopté le standard, rendant ainsi toutes les requêtes de connexion identiques. Google a déclaré collaborer avec Jigsaw, un incubateur technologique d'Alphabet, ainsi qu'avec des leaders de l'industrie et des développeurs d'applications pour accélérer l'adoption d'ECH. Les développeurs peuvent activer ECH en passant à OkHttp 5.5.0.forbes+2

Mises à jour de sécurité plus larges

ECH est l'une des quatre nouvelles mesures de sécurité réseau intégrées à Android 17. La mise à jour permet également aux opérateurs mobiles de désactiver la connectivité 2G par défaut, une mesure visant à contrer les attaques par SMS blaster qui forcent les téléphones à proximité à abandonner les connexions LTE ou 5G pour basculer vers le réseau hérité moins sécurisé. Android 17 impose en outre la protection du réseau local, exigeant que les applications demandent une autorisation avant de scanner ou de se connecter à d'autres appareils sur un réseau local, et introduit la transparence des certificats, qui impose que tous les certificats soient consignés dans un registre public afin de rendre les certificats falsifiés plus difficiles à déployer sans être détectés.9to5google

Limitations

ECH ne dissimule pas les requêtes DNS, le processus de traduction d'une URL en adresse IP numérique, bien que le couplage avec un DNS chiffré comble cette lacune. Il ne masque pas non plus l'adresse IP de l'utilisateur comme le ferait un VPN.engadget