Android 17 внедряет Encrypted Client Hello: провайдеры больше не увидят, какие сайты вы посещаете
Google встроила в Android 17 поддержку протокола Encrypted Client Hello (ECH) — технологии, которая шифрует имя сайта на этапе установки защищённого соединения. Это делает Android первой крупной мобильной операционной системой, получившей полноценную платформенную поддержку ECH. Благодаря новшеству интернет-провайдерам и владельцам точек доступа Wi-Fi станет значительно сложнее отслеживать, какие сайты и сервисы посещает пользователь.
В чём заключается проблема HTTPS
Несмотря на то что протокол HTTPS шифрует содержимое соединения, даже при защищённом подключении к сайту или сервису интернет-провайдеры и операторы Wi-Fi-сетей всё равно могут видеть, к какому ресурсу подключается пользователь. Дело в том, что ECH выступает расширением конфиденциальности для TLS — протокола, обеспечивающего защиту HTTPS-соединений, шифруя начальную часть TLS-рукопожатия, в которой имя запрашиваемого узла раскрывается через механизм Server Name Indication (SNI). Именно это поле остаётся открытым для наблюдателя и может использоваться для формирования профилей пользователей, которые компании применяют для целевой рекламы, а злоумышленники — для фишинговых атак.
Как работает ECH в Android 17
Новый стандарт устраняет эту лазейку. ECH шифрует поле с именем сайта ключом, который публикует сервер назначения, и только этот сервер способен его расшифровать — остальным участникам маршрута видна лишь бессмысленная метка вместо домена. Технология работает не изолированно: она функционирует совместно с защищённым (частным) DNS, чтобы скрыть адрес назначения от посторонних наблюдателей.
По данным Google, при включённом стандарте провайдеры будут видеть лишь сеть доставки контента (CDN), например Cloudflare, и объём передаваемых данных, но не сам сайт или приложение, которым пользуется человек.
Поддержка появляется на уровне платформы: в Android 17 защита встроена в систему и включена по умолчанию для приложений, ориентированных на Android 17 и использующих совместимую сетевую библиотеку. Среди таких библиотек — свежие версии OkHttp, WebView и HttpEngine. Ранее пользователи Android уже могли получить защиту ECH при работе через браузеры — Chrome начиная с версии 117 и Firefox начиная с версии 119 — но с выходом Android 17 защита распространяется на уровень всей платформы.
Что происходит, если сервер не поддерживает ECH
Поскольку далеко не все серверы в интернете пока умеют работать с новым стандартом, разработчики предусмотрели механизм GREASE. Поскольку поддержка ECH среди веб-серверов пока неравномерна, приложения и браузеры также отправляют GREASE — «обманную» версию зашифрованного расширения, чтобы внешний наблюдатель не мог определить, какие именно соединения защищены, просто взглянув на их структуру.
Google уже проверила работоспособность механизма в реальных условиях: подразделение Google Jigsaw протестировало ECH на 10 тысячах популярных доменов и в сетях 740 провайдеров из 202 стран, не обнаружив проблем с загрузкой сайтов.
Ограничения технологии
Разработчики предупреждают, что ECH — не универсальное решение для полной анонимности в сети. Во-первых, защита работает только для тех сайтов и сервисов, которые уже внедрили поддержку стандарта. Во-вторых, сам протокол не закрывает все каналы утечки информации: он не скрывает DNS-запросы — процесс преобразования веб-адреса в числовой IP-адрес, для чего требуется отдельно включить зашифрованный DNS. Кроме того, стандарт не маскирует IP-адрес устройства, как это делает VPN.
Другие изменения безопасности в Android 17
Поддержка ECH — не единственное сетевое улучшение новой версии системы. Обновление также включает функцию защиты локальной сети (Local Network Protection), прозрачность сертификатов по умолчанию (Certificate Transparency) и автоматическую блокировку 2G-сетей. Последняя мера направлена на защиту от так называемых SMS-блокаторов и фальшивых базовых станций, которые вынуждают смартфоны переключаться на устаревшие и менее защищённые сети связи для рассылки мошеннических сообщений.