Google erweitert in Android 17 den Schutz von Netzwerkverbindungen durch die integrierte Unterstützung des Standards Encrypted Client Hello (ECH). Dieser soll den Domainnamen, mit dem sich der Nutzer verbindet, vor Internetdienstanbietern, Betreibern von WLAN-Netzen und anderen Abhörenden des Netzwerkverkehrs verbergen. Dieser Schritt erfolgt zusammen mit weiteren Änderungen, die den Schutz lokaler Netzwerke, Website-Zertifikate und älterer Mobilfunkverbindungen betreffen.
Domainnamen zu Beginn der Verbindung verbergen
ECH fungiert als Datenschutz-Erweiterung für das TLS-Protokoll, das zur Absicherung von HTTPS-Verbindungen verwendet wird. Obwohl der Inhalt der Verbindung verschlüsselt ist, wurde der Name des angeforderten Servers normalerweise im ersten Teil des TLS-Handshakes über das Feld Server Name Indication (SNI) angezeigt. Dadurch kann ein Internetanbieter oder WLAN-Betreiber erkennen, welches Ziel der Nutzer aufzurufen versucht, selbst wenn der Inhalt der Seite nicht gelesen werden kann.
ECH arbeitet mit der Funktion Private DNS zusammen, um Domainnamen und Metadaten zu verbergen, die zur Erstellung kommerzieller Nutzerprofile verwendet werden können. Android-Nutzer profitierten bereits beim Surfen mit Chrome 117 oder höher beziehungsweise Firefox 119 oder höher von ECH. Android 17 hebt die Unterstützung nun auf die Plattformebene.
Der Schutz gilt nicht für alle Verbindungen
ECH wird für Apps, die auf Android 17 abzielen, standardmäßig aktiviert, sofern sie eine kompatible Netzwerkbibliothek verwenden, etwa aktuelle Versionen von OkHttp, WebView oder HttpEngine. Bei Servern, die ECH unterstützen, verschlüsselt das System den Hostnamen. Bei Servern, die dies nicht unterstützen, sendet Android ein Feld, das so aussieht, als stünde es mit ECH in Verbindung, und als ECH GREASE bezeichnet wird, damit geschützte Verbindungen nicht leicht unterschieden werden können. Der Hostname bleibt in diesem Fall jedoch offengelegt.
Die zu Google gehörende Jigsaw-Einheit, die sich mit Internetprivatsphäre und der Bekämpfung von Zensur befasst, testete ECH GREASE mit den 10.000 größten Domains und über 740 Internetanbieter in 202 Ländern. Dem Test zufolge wurden keine Probleme beim Laden von Websites oder unerwartete Blockierungen festgestellt.
Drei weitere Änderungen beim Netzwerkschutz
- Änderungen am Local Network Protection verpflichten Apps dazu, eine Berechtigung einzuholen, bevor sie Geräte im lokalen Netzwerk des Nutzers suchen oder sich mit ihnen verbinden.
- Certificate Transparency wird standardmäßig aktiviert, sodass Website-Zertifikate in öffentlichen Protokollen erscheinen. Dadurch lassen sich gefälschte Zertifikate leichter erkennen.
- Teilnehmende Mobilfunkanbieter erhalten die Möglichkeit, 2G-Netze für ihre Abonnenten automatisch zu deaktivieren, um die Gefährdung durch SMS-Blaster und gefälschte Basisstationen zu verringern, die möglicherweise bösartige Nachrichten senden oder nahegelegenen sensiblen Datenverkehr abfangen.
Warum ist diese Nachricht wichtig?
Die wichtigste Änderung besteht darin, dass der Schutz des Domainnamens nicht mehr allein an den Browser gebunden ist, sondern Teil des Plattformverhaltens wird. Davon könnten Apps profitieren, die die unterstützten Netzwerkbibliotheken verwenden. Die Wirkung von ECH bleibt jedoch von der Unterstützung durch Server, Apps und die entsprechende Netzwerkinfrastruktur abhängig. Wenn der Server den Standard nicht unterstützt, bleibt der Hostname sichtbar. Die veröffentlichten Tests belegen zwar, dass in ihrem Umfang keine Probleme beim Laden oder Blockierungen auftraten, heben diese betrieblichen Einschränkungen jedoch nicht auf. Der Schutz des lokalen Netzwerks, die Zertifikatstransparenz und die Deaktivierung von 2G zielen hingegen auf andere Angriffswege ab und hängen nicht allein von ECH ab.