Android 17 döljer webbplatsnamn för internetleverantörer med ny krypteringsstandard

Google Alphabet Inc. ↗ 3.25% bekräftade på torsdagen att Android 17 blir det första stora mobila operativsystemet med plattformsomfattande stöd för Encrypted Client Hello, en integritetsstandard som döljer namnen på webbplatser som användare besöker för internetleverantörer och andra som övervakar nätverket.blog+1

Hur ECH fungerar

Även när en anslutning är krypterad med HTTPS överförs domännamnet för målwebbplatsen i klartext under den inledande handskakningen mellan en enhet och en server, vilket är synligt för alla som övervakar nätverket. "Dessa okrypterade data kan användas för att bygga användarprofiler eller, i händerna på illasinnade aktörer, utnyttjas för riktade nätfiske- och bedrägerikampanjer," skrev Googles mjukvaruingenjör Bram Bonné och Android-produktchefen Shuaibo Huang i ett blogginlägg där funktionen presenterades.blog

ECH löser detta genom att kryptera namnet på målwebbplatsen med en hemlig nyckel som endast den avsedda servern kan dekryptera. Med standarden aktiv ser en internetleverantör endast webbplatsens innehållsleverantör, till exempel Cloudflare, och datamängden som överförs, men inte den faktiska webbplatsen eller appen som användaren besöker.engadget

Skyddet kräver att webbplatser och appar också stöder ECH på sin sida. För att undvika att ECH-skyddade anslutningar sticker ut från oskyddade, kommer Android 17 att aktivera ECH GREASE som standard. Detta skickar slumpmässiga, falska ECH-tillägg till webbplatser som ännu inte har antagit standarden, vilket gör att alla anslutningsförfrågningar ser identiska ut. Google uppger att de samarbetar med Jigsaw, en teknisk inkubator inom Alphabet, samt branschledare och apputvecklare för att påskynda införandet av ECH. Utvecklare kan aktivera ECH genom att uppgradera till OkHttp 5.5.0.forbes+2

Fler säkerhetsuppdateringar

ECH är en av fyra nya nätverkssäkerhetsåtgärder som ingår i Android 17. Uppdateringen tillåter även mobiloperatörer att inaktivera 2G-anslutning som standard, ett drag som syftar till att motverka SMS-attacker som tvingar telefoner i närheten att koppla ifrån LTE eller 5G och nedgradera till det mindre säkra äldre nätverket. Android 17 inför dessutom lokalt nätverksskydd, vilket kräver att appar ber om tillåtelse innan de skannar eller ansluter till andra enheter på ett lokalt nätverk, och introducerar Certificate Transparency, som kräver att alla certifikat loggas i ett offentligt register för att göra det svårare att använda förfalskade certifikat utan att upptäckas.9to5google

Begränsningar

ECH döljer inte DNS-uppslag, processen att översätta en URL till en numerisk IP-adress, även om kombinationen med krypterad DNS täpper till den luckan. Det döljer inte heller användarens IP-adress på det sätt som en VPN gör.engadget