Google расширяет в Android 17 защиту сетевых соединений, добавляя встроенную поддержку стандарта Encrypted Client Hello (ECH), который призван скрыть доменное имя, к которому подключается пользователь, от интернет-провайдеров, операторов Wi‑Fi-сетей и других лиц, перехватывающих сетевой трафик. Этот шаг сопровождается другими изменениями, касающимися защиты локальной сети, сертификатов сайтов и устаревших мобильных соединений.
Сокрытие доменного имени в начале соединения
ECH работает как расширение конфиденциальности для протокола TLS, используемого для защиты HTTPS-соединений. Хотя содержимое соединения зашифровано, имя запрашиваемого сервера обычно отображалось в начальной части рукопожатия TLS в поле Server Name Indication (SNI). Благодаря этому интернет-провайдер или оператор Wi‑Fi-сети мог узнать, к какому ресурсу пытается обратиться пользователь, даже не имея возможности прочитать содержимое страницы.
ECH работает совместно с функцией Private DNS, скрывая доменные имена и метаданные, которые могут использоваться для создания коммерческих профилей пользователей. Пользователи Android уже могли использовать ECH при работе в Chrome 117 или более новых версиях либо в Firefox 119 или более новых версиях, однако Android 17 переносит поддержку на уровень платформы.
Защита распространяется не на все соединения
ECH будет включён по умолчанию для приложений, ориентированных на Android 17, при условии использования совместимой сетевой библиотеки, например современных версий OkHttp, WebView или HttpEngine. На серверах, поддерживающих ECH, система зашифрует имя хоста. Серверы, которые его не поддерживают, Android будет отправлять поле, выглядящее как связанное с ECH и известное как ECH GREASE, чтобы защищённые соединения было сложнее легко отличать; однако в этом случае имя хоста останется открытым.
Подразделение Google Jigsaw, занимающееся конфиденциальностью в интернете и борьбой с цензурой, протестировало ECH GREASE на 10 000 крупнейших доменов и через 740 интернет-провайдеров в 202 странах. Согласно тестированию, проблем с загрузкой сайтов или неожиданных блокировок зафиксировано не было.
Три дополнительных изменения в защите сети
- Изменения в функции Local Network Protection требуют от приложений получать разрешение перед сканированием устройств в локальной сети пользователя или подключением к ним.
- Включение Certificate Transparency по умолчанию: сертификаты сайтов будут появляться в общедоступных журналах, что упростит выявление поддельных сертификатов.
- Участвующим операторам связи предоставляется возможность автоматически отключать сети 2G для абонентов, чтобы уменьшить подверженность атакам с использованием устройств SMS blasters и поддельных базовых станций, которые могут отправлять вредоносные сообщения или перехватывать находящийся поблизости чувствительный трафик.
Почему эта новость важна?
Главное изменение заключается в том, что защита доменного имени больше не привязана только к браузеру, а становится частью поведения платформы, что может принести пользу приложениям, использующим поддерживаемые сетевые библиотеки. Однако эффект ECH по-прежнему будет зависеть от поддержки со стороны серверов, приложений и соответствующей сетевой инфраструктуры: если сервер не поддерживает стандарт, имя хоста останется видимым. Обнародованные тесты подтверждают отсутствие проблем с загрузкой или блокировками в пределах проверенного диапазона, но не отменяют эти эксплуатационные ограничения. Защита локальной сети, прозрачность сертификатов и отключение 2G направлены на другие пути атак и не зависят только от ECH.