Google, Encrypted Client Hello (ECH) standardı için yerleşik destek ekleyerek Android 17'de ağ bağlantılarının korunma kapsamını genişletiyor. Bu standart, kullanıcının bağlandığı alan adını internet servis sağlayıcılarından, Wi‑Fi ağı operatörlerinden ve ağ trafiğini dinleyen diğer kişilerden gizlemeyi amaçlıyor. Bu adım; yerel ağın, web sitesi sertifikalarının ve eski hücresel bağlantıların korunmasını kapsayan diğer değişikliklerle birlikte geliyor.
Bağlantının başlangıcında alan adını gizleme
ECH, HTTPS bağlantılarını güvence altına almak için kullanılan TLS protokolüne bir gizlilik uzantısı olarak çalışır. Bağlantının içeriği şifrelenmiş olsa da istenen sunucunun adı, TLS el sıkışmasının ilk bölümünde genellikle Server Name Indication (SNI) alanı üzerinden görünürdü. Bu da internet sağlayıcısının veya Wi‑Fi ağı operatörünün, sayfanın içeriğini okuyamasa bile kullanıcının hangi hedefe erişmeye çalıştığını bilmesini sağlardı.
ECH, kullanıcılar hakkında ticari profiller oluşturmak için kullanılabilecek alan adlarını ve meta verileri gizlemek üzere Private DNS özelliğiyle birlikte çalışır. Android kullanıcıları, Chrome 117 veya daha yeni sürümleri ya da Firefox 119 veya daha yeni sürümleri kullanarak gezinirken ECH'den yararlanabiliyordu; ancak Android 17, desteği platform düzeyine taşıyor.
Koruma tüm bağlantıları kapsamıyor
ECH, OkHttp, WebView veya HttpEngine'in güncel sürümleri gibi uyumlu bir ağ kitaplığı kullanılması koşuluyla Android 17'yi hedefleyen uygulamalarda varsayılan olarak etkinleştirilecek. ECH'yi destekleyen sunucularda sistem, ana bilgisayar adını şifreleyecek. Bunu desteklemeyen sunuculara ise Android, bağlantıların korunmuş olduğunu kolayca ayırt etmeyi önlemek amacıyla ECH GREASE adı verilen ve ECH ile ilişkiliymiş gibi görünen bir alan gönderecek; ancak bu durumda ana bilgisayar adı görünür kalacak.
Google'ın internet gizliliği ve sansürle mücadele konularıyla ilgilenen Jigsaw birimi, ECH GREASE'i 202 ülkedeki 740 internet sağlayıcısı üzerinden en büyük 10 bin alan adında test etti. Teste göre web sitelerinin yüklenmesinde herhangi bir sorun veya beklenmedik engelleme kaydedilmedi.
Ağ korumasında üç ek değişiklik
- Local Network Protection kapsamında yapılan değişiklikler, uygulamaların kullanıcının yerel ağındaki cihazları taramadan veya bu cihazlara bağlanmadan önce izin almasını zorunlu kılıyor.
- Certificate Transparency varsayılan olarak etkinleştiriliyor; böylece web sitesi sertifikaları herkese açık kayıtlarda görüntüleniyor ve sahte sertifikaların tespit edilmesi kolaylaşıyor.
- Katılımcı telekom operatörlerine, aboneler için 2G ağlarını otomatik olarak devre dışı bırakma seçeneği sunuluyor. Bunun amacı, kötü amaçlı mesajlar gönderebilen veya yakındaki hassas trafiği yakalayabilen SMS blaster cihazlarına ve sahte baz istasyonlarına maruz kalmayı azaltmak.
Bu haber neden önemli?
En önemli değişiklik, alan adı korumasının artık yalnızca tarayıcıya bağlı olmaması ve platform davranışının bir parçası hâline gelmesi; bu durum, desteklenen ağ kitaplıklarını kullanan uygulamalara fayda sağlayabilir. Ancak ECH'nin etkisi, sunucuların, uygulamaların ve karşılık gelen ağ altyapısının desteğine bağlı kalacak; sunucu standardı desteklemediğinde ana bilgisayar adı görünür olmaya devam edecek. Açıklanan testler, kapsamları dâhilinde yükleme veya engelleme sorunlarının ortaya çıkmadığını gösteriyor; ancak bu operasyonel kısıtlamaları ortadan kaldırmıyor. Yerel ağın korunması, sertifika şeffaflığı ve 2G'nin devre dışı bırakılması ise farklı saldırı yollarını hedefliyor ve yalnızca ECH'ye dayanmıyor.