Android 17 skjuler nettsidenavn for internettleverandører med ny krypteringsstandard

Google Alphabet Inc. ↘ 1.11% bekreftet torsdag at Android 17 blir det første store mobile operativsystemet med plattformomfattende støtte for Encrypted Client Hello, en personvernstandard som skjuler navnet på nettsider brukere besøker for internettleverandører og andre som overvåker nettverket.blog+1

Hvordan ECH fungerer

Selv når en tilkobling er kryptert med HTTPS, blir domenenavnet til destinasjonsnettstedet sendt i klartekst under den innledende håndtrykk-prosessen mellom en enhet og en server, noe som er synlig for alle som overvåker nettverket. "Disse ukrypterte dataene kan brukes til å bygge brukerprofiler eller, i hendene på ondsinnede aktører, utnyttes til målrettede phishing- og svindelforsøk," skrev Google-programvareingeniør Bram Bonné og Android-produktansvarlig Shuaibo Huang i et blogginnlegg der de annonserte funksjonen.blog

ECH løser dette ved å kryptere navnet på destinasjonsnettstedet ved hjelp av en hemmelig nøkkel som bare den tiltenkte serveren kan dekode. Med standarden aktivert vil en internettleverandør bare se nettstedets innholdsleverandør, for eksempel Cloudflare, og datamengden som flyttes, men ikke selve nettstedet eller appen brukeren besøker.engadget

Beskyttelsen krever at nettsider og apper også støtter ECH på sin side. For å unngå at ECH-beskyttede tilkoblinger skiller seg ut fra ubeskyttede, vil Android 17 aktivere ECH GREASE som standard. Dette sender tilfeldige, falske ECH-utvidelser til nettsteder som ennå ikke har tatt i bruk standarden, slik at alle tilkoblingsforespørsler ser identiske ut. Google opplyser at de samarbeider med Jigsaw, en teknologisk inkubator under Alphabet, samt bransjeledere og apputviklere for å fremskynde ECH-adopsjon. Utviklere kan aktivere ECH ved å oppgradere til OkHttp 5.5.0.forbes+2

Flere sikkerhetsoppdateringer

ECH er ett av fire nye sikkerhetstiltak for nettverk som følger med Android 17. Oppdateringen lar også mobiloperatører deaktivere 2G-tilkobling som standard, et tiltak rettet mot å motvirke SMS-angrep som tvinger telefoner i nærheten til å koble fra LTE eller 5G og nedgradere til det mindre sikre eldre nettverket. Android 17 håndhever i tillegg lokal nettverksbeskyttelse, som krever at apper ber om tillatelse før de skanner eller kobler til andre enheter på et lokalt nettverk, og introduserer Certificate Transparency, som krever at alle sertifikater logges i et offentlig register for å gjøre det vanskeligere å bruke forfalskede sertifikater uten å bli oppdaget.9to5google

Begrensninger

ECH skjuler ikke DNS-oppslag, prosessen med å oversette en URL til en numerisk IP-adresse, selv om det å kombinere det med kryptert DNS tetter dette gapet. Det skjuler heller ikke brukerens IP-adresse på samme måte som en VPN gjør.engadget