Google добавляет в Android 17 новые механизмы сетевой защиты, которые должны повысить конфиденциальность подключений, устранить уязвимости сотовых сетей и лучше защитить домашние сети пользователей.
В Android 17 появилась поддержка Encrypted Client Hello (ECH) – нового стандарта конфиденциальности, который работает совместно с защищённым DNS и позволяет скрывать метаданные, используемые для профилирования пользователей, включая доменные имена посещаемых сайтов.
ECH представляет собой расширение конфиденциальности для TLS – протокола, который защищает HTTPS-соединения. Технология шифрует начальную часть TLS-рукопожатия, где через механизм Server Name Indication (SNI) передаётся имя хоста, к которому подключается пользователь.
Даже если соединение с сайтом или сервисом защищено, интернет-провайдеры и операторы Wi-Fi-сетей всё равно могут видеть, к какому ресурсу подключается пользователь. Эти данные могут собираться и использоваться, в том числе для коммерческого профилирования.
Пользователи Android уже могут применять ECH при работе с Chrome 117 и новее или Firefox 119 и новее, однако в Android 17 эта защита реализована уже на уровне самой платформы.
Как работает шифрование имени сайта
В сообщении Google отмечается:
Новый стандарт конфиденциальности работает совместно с защищённым DNS и скрывает доменные имена посещаемых сайтов, тем самым исключая передачу метаданных, которые могут использоваться для профилирования пользователей.
Шифруя имя целевого сайта с самого начала соединения, ECH помогает сделать так, чтобы для поддерживаемых сайтов и приложений сетевые провайдеры и другие участники сети больше не могли с лёгкостью определить, к каким сайтам или приложениям вы обращаетесь.
Три этапа соединения: DNS-запрос, TLS-рукопожатие и обмен данными. Изображение: Google
ECH будет включён по умолчанию для приложений, ориентированных на Android 17, при условии, что они используют совместимую сетевую библиотеку, например последние версии OkHttp, WebView или HttpEngine. Мы разбирали, какие из четырёх механизмов Android 17 работают сразу, а какие требуют целевого уровня API 37.
Таким образом, при подключении к серверам с поддержкой ECH Android теперь будет шифровать имя хоста.
Если сервер не поддерживает эту защиту, Android будет отправлять специальное поле, внешне похожее на ECH. Оно называется ECH GREASE и нужно для того, чтобы реальные ECH-соединения не выделялись среди остальных. При этом в таком случае имя хоста по-прежнему остаётся видимым.
Подразделение Google Jigsaw, которое занимается технологиями интернет-конфиденциальности и обхода цензуры, протестировало ECH GREASE на 10 000 самых популярных доменах и в сетях 740 интернет-провайдеров из 202 стран. В ходе тестирования проблем с загрузкой сайтов или неожиданных сетевых блокировок обнаружено не было.
Практическая ценность ECH зависит от того, доходят ли до резолвера шифрованные DNS-запросы. В России у абонентов нескольких операторов перестали работать DoH и DoT Google и Cloudflare, а сам ECH от Cloudflare ограничивают с ноября 2024 года.
Защита Wi-Fi и блокировка 2G
Кроме расширенной поддержки ECH в Android, Google также анонсировал несколько важных механизмов сетевой защиты, которые в совокупности должны повысить безопасность и конфиденциальность пользователей.
Первое изменение касается защиты локальной сети – Local Network Protection. Теперь приложения должны запрашивать разрешение перед тем, как сканировать локальную сеть пользователя или подключаться к находящимся в ней устройствам.
Второе изменение – в Android 17 по умолчанию включена технология Certificate Transparency. Этот механизм требует, чтобы сертификаты сайтов публиковались в общедоступных журналах, благодаря чему использование поддельных сертификатов становится проще обнаружить.
Google также объявил, что участвующие в программе мобильные операторы смогут автоматически отключать поддержку 2G для своих абонентов. Это должно снизить риск атак с использованием SMS-бластеров и поддельных базовых станций, которые могут рассылать вредоносные сообщения или перехватывать конфиденциальный трафик находящихся поблизости устройств.