Les utilisateurs d'Android 17 viennent de gagner une nouvelle couche de confidentialité pour leur navigation, même si cette protection ne masque pas entièrement leur activité.

Le système d'exploitation mobile de Google, Android 17, active désormais Encrypted Client Hello (ECH), un standard de confidentialité qui dissimule la destination d'une requête web au réseau qui la transporte. Google a détaillé ce déploiement dans un billet de sécurité publié mercredi, le décrivant comme le premier large déploiement d'Encrypted Client Hello sur un système d'exploitation mobile majeur, réalisé avec son équipe Jigsaw et des développeurs externes.

La fonction comble une lacune de longue date du chiffrement web. Une page se charge en HTTPS, son contenu est donc brouillé — mais la poignée de main qui ouvre la connexion révèle encore le nom du site en clair via un champ appelé Server Name Indication (SNI). Chaque nœud entre un téléphone et un serveur peut lire ce champ et consigner où va un appareil, y compris les opérateurs, les gestionnaires de Wi-Fi et les curieux du réseau. Les navigateurs de bureau comme Firefox et Chrome ont livré la prise en charge d'ECH ces dernières années ; la décision d'Android étend cette protection à la plateforme où se déroule aujourd'hui la majeure partie de la navigation mondiale.

ECH scelle ce champ. Le client chiffre le nom du site vers une clé publiée par la destination, et seul ce serveur peut le déchiffrer. Le reste du chemin ne voit qu'une étiquette dénuée de sens plutôt que le domaine. Le mécanisme s'appuie sur le DNS privé, qui masque déjà l'étape séparée consistant à transformer un nom en adresse IP — et comme ECH dépend du DNS chiffré pour acheminer ces clés publiques, les deux fonctions opèrent en binôme.

La protection ne s'applique qu'aux sites et applications qui ont activé ECH. Google limite son affirmation aux « sites et applications pris en charge », et l'entreprise pousse les développeurs à passer à OkHttp 5.5.0 et à activer la fonction. Tant que l'adoption ne s'est pas généralisée, une requête vers un site sans ECH expose toujours son domaine au réseau. Les déploiements exigent aussi que les sites publient leurs configurations ECH dans leurs enregistrements DNS, si bien que les hébergeurs et les CDN doivent prendre en charge la fonction pour qu'elle atteigne leurs clients.

Même là où ECH est actif, des limites subsistent. Le réseau peut toujours voir l'adresse IP du serveur de destination et le volume de données transférées. Un observateur peut déduire une activité à un niveau grossier même quand le nom est masqué — le chiffrement verrouille l'étiquette, pas le fait qu'une connexion ait eu lieu. ECH suscite également des résistances chez les opérateurs réseau qui s'appuient sur des noms de domaine visibles pour filtrer et surveiller, une tension qui façonnera l'ampleur de l'adoption du standard par les opérateurs et les réseaux d'entreprise.

Cette avancée au niveau réseau intervient alors que la confidentialité d'Android au niveau de l'appareil traverse sa propre épreuve devant la justice. Samuel Tunick, un militant d'Atlanta, est devenu le premier Américain connu accusé au titre du droit fédéral pour avoir prétendument utilisé un mot de passe de contrainte intégré à GrapheneOS, une version durcie d'Android qui efface l'appareil lorsque ce code est saisi. GrapheneOS a déclaré que son logiciel est « complètement légal » et protégé par la Constitution alors que l'affaire se poursuit, et une poursuite connexe a présenté le différend comme une question de contrôle des données d'un téléphone.

« J'espère simplement faire passer le message que le gouvernement ne possède pas nos données », a déclaré Tunick au New York Times dans une interview publiée vendredi.

Au-delà d'ECH, Android 17 active aussi Certificate Transparency par défaut — rendant plus difficile pour une autorité de certification malveillante d'émettre des certificats frauduleux pour un site sans être remarquée — et exige que les applications demandent la permission avant de balayer un réseau local.