Często w takich momentach chciałbym krzyknąć: „wreszcie!”. I rzeczywiście, tak jest w tym przypadku, ponieważ Google zamyka jedną z najbardziej uporczywych luk w prywatności połączeń w swoim systemie operacyjnym: Android 17 wprowadza systemową obsługę Encrypted Client Hello. Dzięki temu zarówno operatorzy jak i osoby podsłuchujące sieć będą miały trudniej w identyfikacji domen, z którymi łączą się aplikacje.
Android 17 zapewni ochronę nie tylko dla treści transmisji, ale także dla części informacji dotyczących jej celu. Systemowa obsługa Encrypted Client Hello, będąca rozszerzeniem TLS 1.3, szyfruje nazwę hosta przesyłaną podczas nawiązywania bezpiecznego połączenia. Mechanizm ten będzie działał jedynie w przypadku, gdy aplikacja korzysta z odpowiedniej biblioteki sieciowej, a serwer po drugiej stronie również obsługuje ECH. Choć nie uzyskamy całkowitej niewidzialności, to wreszcie zamykamy irytującą lukę, która przez lata umożliwiała operatorom uzyskiwanie zaskakująco dużej ilości danych o nas. Co działo się z tymi danymi… to już pozostaje tajemnicą tychże.
HTTPS chroni treść, ale nie wszystko
Połączenie via HTTPS szyfruje przesyłane dane, co oznacza, że „obserwator” nie powinien móc zobaczyć treści wiadomości, haseł ani też odwiedzanych podstron. Na początku sesji TLS urządzenie wysyła w sposób jawny pole Server Name Indication, wskazując na nazwę hosta, z którym zamierza się połączyć. W rezultacie dostawca internetu lub administrator sieci bezprzewodowej, chociaż nie wiedział, co użytkownik dokładnie robi na stronie, nadal widział, że odwiedza tę konkretną domenę. Owe metadane mogą być wykorzystywane do profilowania, filtrowania ruchu i przygotowywania ataków dopasowanych do aktywności ofiary. A to już naprawdę sporo.
Standard ECH opisany w RFC 9849 wprowadza szyfrowaną wiadomość ClientHello, zawierającą SNI oraz inne wrażliwe informacje. Najlepiej, aby wszystko to działało w połączeniu z prywatnym DNS-em, ponieważ nazwa domeny może wyciec podczas niezabezpieczonego zapytania DNS, a adres IP także pozostaje widoczny, co czasami pozwala na zidentyfikowanie konkretnego usługodawcy. ECH będzie więc swojego rodzaju VPN-em i nie zapewni pełnej anonimowości, ale eliminując najbardziej dostępne informacje, działa proaktywnie. W przypadku wielu domen korzystających z tej samej infrastruktury, obserwator może zidentyfikować wspólnego dostawcę, ale nie wskaże już konkretnego serwisu.
ECH zadziała szerzej
Przeglądarki w Androidzie już z tego korzystają: ECH obsługują już Chrome od wersji 117 i Firefox od wersji 119. Android 17 podnosi ten mechanizm na poziom systemu operacyjnego, co umożliwia korzystanie z tej funkcji także zwykłym aplikacjom. Z dokumentacji Androida wynika, że ECH jest aktywowane dla aplikacji kierowanych na API 37, pod warunkiem, że używana biblioteka sieciowa jest właściwie zintegrowana, a zdalny serwer obsługuje takie połączenia. Google wskazuje tutaj między innymi HttpEngine, WebView oraz OkHttp, jednak deweloperzy będą musieli zadbać o odpowiednią wersję oraz konfigurację swojego stosu sieciowego.
Gdy serwer będzie w stanie obsłużyć ECH, nazwa hosta zostaje zaszyfrowana od samego początku negocjacji TLS. W przypadku braku wsparcia dla standardu, klient może wysłać losowo wypełnione rozszerzenie ECH GREASE. Między innymi Jigsaw przetestował GREASE, analizując 10 tys. najpopularniejszych domen oraz 740 operatorów z 202 krajów, nie odnotowując spadku skuteczności połączeń w porównaniu do standardowego TLS-a. Zakłócenia po stronie sieci określił jako bliskie zeru. To wiarygodny test zgodności, chociaż dotyczy przede wszystkim bezpiecznego wdrażania GREASE i nie oznacza powszechnej dostępności pełnej obsługi ECH przez serwery.
Aplikacje stracą swobodny wgląd w Twoją sieć
Druga warstwa zmian dotyczy lokalnej sieci, w której telefon współdziała z telewizorem, konsolą, kamerami i urządzeniami inteligentnego domu. Aplikacje w Androidzie 17 będą musiały uzyskać uprawnienia przed skanowaniem sieci LAN lub bezpośrednim łączeniem się z jej urządzeniami, podobnie jak ma to miejsce domyślnie w iOS-ie. W przypadku zadań takich jak przesyłanie obrazu na telewizor, selektor pozwoli na wskazanie sprzętu bez ujawniania aplikacji całej zawartości domowej sieci. System domyślnie włącza również Certificate Transparency, co wymaga rejestrowania certyfikatów stron w publicznych dziennikach i ułatwia wykrywanie tych, które zostały nielegalnie spreparowane.
Czytaj również: Twój telefon cię podsłuchuje? Tak wyłączysz to w Androidzie.
I wreszcie, Android 17 wbija kolejny gwóźdź do trumny sieciom 2G: te są w niektórych miejscach wykorzystywane przez fałszywe stacje bazowe i zawierają urządzenia rozsyłające spreparowane SMS-y. Silny sygnał z takiego nielegalnego BTS-a może nawet zmusić pobliski telefon do porzucenia LTE lub 5G na rzecz gorzej zabezpieczonej sieci, co stanowi prostą drogę do phishingu lub przechwytywania danych. Android 12 wprowadził ręczny przełącznik do wyłączania 2G, a Android 17 pozwoli operatorom na ustawienie tej blokady domyślnie, bez konieczności działania abonenta. Wygląda na to, że zaczynamy pozbywać się 2G nie tylko w aspekcie infrastrukturalnym, ale i „operacyjnym”, wręcz systemowym. Polska w kontekście działania tej funkcji raczej nie będzie dobrym przykładem, ale na świecie są miejsca, w których takie sieci nie są niczym niezwykłym. My, pod względem jakości i dostępności szybkich standardów łączności, jesteśmy wśród naprawdę rozwiniętych krajów.