Android 17 skryje, na jaké weby chodíte. Poskytovatel internetu ztratí přehled

Přidat Svět Androida mezi preferované stránky na Google

ať vám neunikne žádná Android novinka nebo sleva

Pokaždé, když v mobilu otevřete nějakou stránku, poskytovatel internetu i majitel Wi-Fi sítě dodnes vidí, na jakou adresu míříte – přestože je samotné spojení dávno šifrované přes HTTPS. Přesně tuhle skulinu teď Google zavírá: Android 17 je prvním velkým mobilním systémem, který plošně zapíná šifrování ECH a onu poslední viditelnou stopu po vás schová.

Co přesně ECH skryje – a před kým?

Zkratka ECH označuje Encrypted Client Hello. Když se telefon připojuje k nějakému webu, na úplném začátku spojení dodnes pošle jméno cílové domény v čitelné podobě – a právě z něj kdokoliv na trase, od operátora po majitele veřejné Wi-Fi, pozná, kam jdete. ECH tohle jméno zašifruje klíčem, který dokáže přečíst jedině cílový web, takže splyne se stejně nerozluštitelnou šifrou jako zbytek přenosu.

Celé to funguje ruku v ruce s takzvaným privátním DNS, které schová překlad adresy na číselnou IP. Dohromady tak z připojení zmizí metadata, podle nichž si o vás dá profil dohromady kdejaký přihlížející. Podle Googlu díky tomu provozovatelé sítě i odposlouchávající už tak snadno neuvidí, které weby nebo aplikace zrovna používáte.

Nová je hlavně ta plošnost. ECH samo o sobě žádná novinka není – prohlížeče Chrome a Firefox ho umí už zhruba dva roky. Jak ale Google na svém blogu zdůrazňuje, Android 17 tuhle ochranu poprvé rozprostírá přes celý systém, takže z ní netěží jen stránka v prohlížeči, ale i běžné aplikace.

Proč Android předstírá šifrování i tam, kde žádné není?

ECH zabere jedině tehdy, když ho podporuje i druhá strana – tedy konkrétní web nebo server dané aplikace. A takových zatím zdaleka není většina.

Z toho plyne zrádná past. Kdyby telefon šifroval cílovou adresu jen u hrstky podporovaných spojení, samotný fakt, že je připojení chráněné přes ECH, by z davu vyčníval – a rovnou by prozradil, že jde o něco „zajímavého“. Řešením je takzvaný ECH GREASE, který i k webům bez podpory posílá falešná, náhodně generovaná ECH data, aby každý požadavek vypadal úplně stejně. V Androidu 17 je tenhle režim zapnutý ve výchozím stavu.

Aby stejnou ochranu mohly nabídnout i aplikace třetích stran, přidala podporu ECH také open-source knihovna OkHttp, přes kterou posílá data spousta appek. Vývojářům tak stačí aktualizovat jednu komponentu a spojení jejich aplikace se schová zrovna tak jako to prohlížečové.

Co Android 17 hlídá kromě prohlížení

Šifrováním adres to nekončí – Google zároveň utáhl přístup aplikací k vaší domácí síti. Nově si každá aplikace musí vyžádat svolení, než začne prohledávat okolní zařízení nebo se k nim připojovat, ať už jde o chytrou televizi, kameru, nebo reproduktor. Dřív to zvládly potichu na pozadí a bez ptaní.

Ve výchozím stavu je teď zapnutá také certifikátová transparentnost. Ta vyžaduje, aby byl každý bezpečnostní certifikát zapsaný ve veřejném rejstříku, takže je podstatně těžší podstrčit falešný certifikát a nepozorovaně tak odposlouchávat váš provoz.

Na tohle se čeká roky. Android by brzy mohl přinést zámek aplikací Adam Kurfürst Zprávičky Adam Kurfürst Zprávičky

A do třetice se systém opírá do útoků přes prastaré 2G. Operátoři nově mohou svým zákazníkům plošně a bez jediného kliknutí vypnout 2G sítě, přes které podvodníci s takzvanými SMS blastery rozesílají phishingové zprávy nebo nutí telefon spadnout na zranitelné připojení. Ruční přepínač k tomu nabídl už Android 12 a firemní správu Android 14 – tentokrát ale jde o řešení, které po uživateli nechce vůbec nic.

Zapamatovat si přitom stačí jedno rozdělení: šifrování ECH, kontrola certifikátů i hlídání domácí sítě běží automaticky přímo v systému, kdežto vypnutí 2G závisí na tom, jestli se přidá váš operátor.

Ceníte si toho, že Android 17 schová vaše prohlížení i před poskytovatelem internetu?

Zdroje: Google, The Hacker News

Přidat Svět Androida mezi preferované stránky na Google

ať vám neunikne žádná Android novinka nebo sleva