Android 17 ukrywa odwiedzane przez Państwa strony internetowe, ale nie we wszystkich aplikacjach

W czwartek firma Google opublikowała wpis dotyczący czterech zabezpieczeń sieciowych w systemie Android 17. Żadne z nich nie jest nowością. Wszystkie cztery zostały wprowadzone wraz z systemem Android 17 już w czerwcu, a Google po raz pierwszy wyjaśnia je zwykłym użytkownikom. Aktualizacja dopiero teraz dociera do większej liczby telefonów, a firma Motorola potwierdziła, że obejmuje ona ponad 50 modeli. Warto jednak zapoznać się z dokumentacją deweloperską Google, z której wynika, że zabezpieczenia te nie dotyczą wszystkich użytkowników.

Co pozostaje widoczne nawet przy połączeniu HTTPS

Protokół HTTPS szyfruje zawartość połączenia. Nazwa serwera docelowego jest jednak nadal przesyłana w postaci niezaszyfrowanej podczas nawiązywania połączenia, w polu o nazwie Server Name Indication. Każdy, kto monitoruje ruch sieciowy, może na tej podstawie stworzyć profil użytkownika lub przygotować przekonującą wiadomość oszukańczą. Protokół Encrypted Client Hello (ECH) szyfruje to pole. Obserwatorowi pozostaje jedynie adres IP. W przypadku dużego dostawcy, za którego jednym adresem kryją się setki witryn, informacja ta nie zdradza zbyt wiele. Jednak w przypadku małego serwera posiadającego własny adres nadal jest to istotna informacja.

ECH ma zastosowanie wyłącznie w przypadku nowo tworzonych aplikacji

Wpis na blogu Google sprawia wrażenie, jakby sprawa była już rozstrzygnięta. Dokumentacja dla programistów jest jednak bardziej precyzyjna. Stwierdza ona, że protokół ECH jest włączony w aplikacjach przeznaczonych dla systemu Android 17 i poziomu API 37. Aplikacja nadal stworzona dla systemu Android 16 nie będzie w ogóle szyfrowana na telefonie z systemem Android 17.

Aplikacja wymaga również biblioteki sieciowej obsługującej ECH. OkHttp w wersji 5.5.0 zawiera tę obsługę, choć deweloperzy muszą ją włączyć jako opcję. Tymczasem na własnej stronie Google poświęconej ECH dla deweloperów nadal podaje się, że obsługa w OkHttp nie została jeszcze wprowadzona. Sieć VPN również nie stanowi niezawodnego zamiennika, jak wykazała nasza analiza bezpłatnych aplikacji VPN dla systemu Android.

Szyfrowany DNS albo nic

ECH ukrywa nazwę hosta w ramach uzgodnienia TLS. Ten sam adres nadal znajduje się w zapytaniu DNS, z którego korzysta Państwa telefon w celu znalezienia pasującego adresu IP. Jeśli zapytanie to przebiega bez szyfrowania, Państwa dostawca usług internetowych odczytuje ten adres i korzyść z szyfrowania znika. W telefonach Pixel przełącznik znajduje się w sekcji Ustawienia, Sieć i internet, Prywatny DNS. W telefonach Samsung znajduje się on w sekcji Połączenia, Więcej ustawień połączeń, Prywatny DNS. Druga strona połączenia również musi obsługiwać protokół ECH. Firma Google nie podaje, ile witryn już to robi, informując jedynie, że współpracuje z branżą w celu przyspieszenia wdrażania tej technologii.

Sieć domowa i certyfikaty – ten sam haczyk

Do tej pory każda aplikacja mogła po cichu skanować Państwa sieć Wi-Fi w poszukiwaniu urządzeń, od telewizora po kamerę monitorującą. System Android 17 wymaga w tym celu nowego uprawnienia. Zgodnie z dokumentacją dotyczy to ponownie wyłącznie aplikacji przeznaczonych dla systemu Android 17, więc starsze aplikacje nadal będą skanować sieć. Ta sama zasada obowiązuje w przypadku funkcji Certificate Transparency, która pozwala wykrywać sfałszowane certyfikaty. W każdym razie warto sprawdzić Państwa własną sieć, ponieważ routery pozostają częstym celem ataków.

Sztuczka z siecią 2G i kto może ją powstrzymać

Czwarty punkt dotyczy urządzeń rozsyłających masowe wiadomości SMS. Są to przenośne stacje bazowe, które zmuszają pobliskie telefony do przełączenia się z sieci LTE lub 5G na starą sieć 2G, gdzie filtry antyspamowe już nie działają, a fałszywa wiadomość trafia bezpośrednio na wyświetlacz. Google szacuje koszt sprzętu na około 3 000 dolarów amerykańskich. W Toronto urządzenia te przewożono po mieście w pojazdach, natomiast w Londynie sprawcy przenosili je w walizkach przez stacje metra. Funkcja wyłączająca sieć 2G istnieje już od wersji Androida 12. Nowością jest to, że operatorzy mogą teraz samodzielnie wyłączać sieć 2G dla swoich klientów. Google nie wymienia ani jednego operatora, który to robi. Tak czy inaczej, wybór nie należy do Państwa.