Android 17 piilottaa verkkosivujen nimet operaattoreilta uudella salaustekniikalla

Google Alphabet Inc. ↗ 3.25% vahvisti torstaina, että Android 17 on ensimmäinen suuri mobiilikäyttöjärjestelmä, joka tukee alustatasolla Encrypted Client Hello -standardia. Tämä yksityisyysominaisuus piilottaa käyttäjien vierailemien verkkosivujen nimet internet-palveluntarjoajilta ja muilta verkon tarkkailijoilta.blog+1

Miten ECH toimii

Vaikka yhteys olisi suojattu HTTPS-salauksella, kohdesivuston verkkotunnus lähetetään salaamattomana laitteen ja palvelimen välisen kättelyn aikana, jolloin se on verkon tarkkailijoiden nähtävissä. "Näitä salaamattomia tietoja voidaan käyttää käyttäjäprofiilien rakentamiseen tai pahantahtoisten toimijoiden käsissä kohdistettuihin kalastelu- ja huijauskampanjoihin", kirjoittivat Googlen ohjelmistoinsinööri Bram Bonné ja Androidin tuotepäällikkö Shuaibo Huang ominaisuutta esittelevässä blogikirjoituksessa.blog

ECH ratkaisee ongelman salaamalla kohdesivuston nimen salaisella avaimella, jonka vain aiottu palvelin voi purkaa. Kun standardi on käytössä, internet-palveluntarjoaja näkee vain sivuston sisällönjakeluverkon, kuten Cloudflaren, ja siirrettävän datan määrän, mutta ei itse verkkosivua tai sovellusta, jota käyttäjä käyttää.engadget

Suojaus vaatii, että myös verkkosivustot ja sovellukset tukevat ECH-standardia. Jotta ECH-suojatut yhteydet eivät erottuisi suojaamattomista, Android 17 ottaa oletuksena käyttöön ECH GREASE -toiminnon. Se lähettää satunnaisia valekyselyitä sivustoille, jotka eivät vielä tue standardia, jolloin kaikki yhteyspyynnöt näyttävät identtisiltä. Google kertoi tekevänsä yhteistyötä Alphabetin teknologiahautomo Jigsaw'n sekä alan johtavien toimijoiden ja sovelluskehittäjien kanssa ECH:n käyttöönoton nopeuttamiseksi. Kehittäjät voivat ottaa ECH:n käyttöön päivittämällä OkHttp 5.5.0 -versioon.forbes+2

Laajemmat tietoturvapäivitykset

ECH on yksi neljästä uudesta verkkoturvatoiminnosta, jotka tulevat Android 17 -päivityksen mukana. Päivitys mahdollistaa myös sen, että mobiilioperaattorit voivat poistaa 2G-yhteydet käytöstä oletuksena. Tämä on vastaus SMS-hyökkäyksiin, joissa puhelimet pakotetaan pudottamaan LTE- tai 5G-yhteys ja siirtymään vähemmän turvalliseen vanhaan verkkoon. Lisäksi Android 17 tiukentaa paikallisverkon suojausta vaatimalla sovelluksilta lupaa ennen paikallisverkossa olevien laitteiden skannaamista tai niihin yhdistämistä. Se myös esittelee varmenteiden läpinäkyvyyden, joka edellyttää kaikkien varmenteiden kirjaamista julkiseen rekisteriin, mikä vaikeuttaa väärennettyjen varmenteiden huomaamatonta käyttöä.9to5google

Rajoitukset

ECH ei piilota DNS-hakuja, eli prosessia, jossa URL-osoite käännetään numeeriseksi IP-osoitteeksi, vaikka sen yhdistäminen salattuun DNS-palveluun korjaakin tämän puutteen. Se ei myöskään piilota käyttäjän IP-osoitetta samalla tavalla kuin VPN.engadget