Пользователи Android 17 получили новый уровень приватности при просмотре веб-страниц, хотя эта защита всё же не скрывает их активность полностью.

Мобильная операционная система Google Android 17 теперь поддерживает Encrypted Client Hello (ECH) — стандарт приватности, скрывающий от сети-перевозчика адрес назначения веб-запроса. Google описала развёртывание в записи о безопасности, опубликованной в среду, назвав его первым широкомасштабным внедрением Encrypted Client Hello на крупной мобильной ОС, реализованным совместно с командой Jigsaw и внешними разработчиками.

Функция закрывает давний пробел в шифровании веб-трафика. Страница загружается по HTTPS, поэтому её содержимое зашифровано, но рукопожатие, открывающее соединение, по-прежнему передаёт имя сайта открытым текстом в поле Server Name Indication (SNI). Каждый узел между телефоном и сервером может прочитать это поле и зафиксировать, куда направляется устройство — включая операторов связи, владельцев Wi-Fi-сетей и сетевых злоумышленников. Настольные браузеры, включая Firefox и Chrome, поддерживают ECH уже несколько лет; шаг Android распространяет защиту на платформу, где сегодня происходит бо́льшая часть мирового веб-сёрфинга.

ECH запечатывает это поле. Клиент шифрует имя сайта ключом, публикуемым получателем, и расшифровать его может только этот сервер. Остальные участники маршрута видят бессмысленную метку, а не домен. Механизм работает поверх приватного DNS, который уже скрывает отдельный этап преобразования имени в IP-адрес, а поскольку ECH зависит от зашифрованного DNS для доставки этих публичных ключей, две функции работают в связке.

Защита действует только для сайтов и приложений, включивших ECH. В своём посте Google ограничивает заявление рамками «поддерживаемых сайтов и приложений», а компания призывает разработчиков обновиться до OkHttp 5.5.0 и включить эту функцию. Пока стандарт не получит широкого распространения, запрос к сайту без ECH по-прежнему раскрывает его домен сети. Развертывание также требует публикации ECH-конфигураций в DNS-записях сайтов, поэтому хостинг-провайдеры и CDN должны поддерживать функцию, чтобы она стала доступна их клиентам.

Даже там, где ECH активен, ограничения остаются. Сеть по-прежнему видит IP-адрес сервера назначения и объём передаваемых данных. Наблюдатель может сделать выводы об активности на грубом уровне, даже когда имя скрыто, — шифрование запирает метку, но не сам факт соединения. ECH также вызвал недовольство сетевых операторов, полагающихся на видимые доменные имена для фильтрации и мониторинга, — это противоречие повлияет на масштабы внедрения стандарта у операторов связи и в корпоративных сетях.

Шаг Google на уровне сети совпал с тем, что приватность на уровне самих устройств Android проходит проверку в суде. Сэмюэл Тьюник, активист из Атланты, стал первым известным американцем, привлечённым к ответственности по федеральному закону за предполагаемое использование аварийного пароля, встроенного в GrapheneOS — усиленной сборке Android, стирающей данные устройства при вводе этого кода. GrapheneOS заявила, что её программное обеспечение «полностью законно» и защищено конституцией по мере рассмотрения дела, а связанное судебное преследование представило спор как вопрос о том, кто контролирует данные на телефоне.

«Я просто хочу донести мысль, что правительство не владеет нашими данными», — сказал Тьюник в интервью The New York Times, опубликованном в пятницу.

Помимо ECH, Android 17 также включает по умолчанию Certificate Transparency — что затрудняет незамеченную выдачу мошеннических сертификатов для сайта со стороны недобросовестного центра сертификации, — и требует, чтобы приложения запрашивали разрешение перед сканированием локальной сети.