Android 17 Punya ECH: Nama Situs Lebih Sulit Terbaca, tetapi Bukan Mode Anonim

Android 17 membawa peningkatan privasi jaringan yang cukup penting: dukungan platform untuk Encrypted Client Hello (ECH). Ekstensi TLS 1.3 ini mengenkripsi nama host yang biasanya terlihat pada tahap awal koneksi aman.

Artinya, operator Wi-Fi, penyedia layanan internet, dan pengamat jaringan lain akan lebih sulit mengetahui situs atau layanan spesifik yang sedang diakses aplikasi—selama koneksi tersebut memang mendukung ECH. Namun, fitur ini tidak membuat aktivitas internet sepenuhnya anonim. 46

Apa yang dienkripsi ECH?

Dalam koneksi TLS biasa, perangkat mengirimkan Server Name Indication (SNI) yang berisi hostname tujuan. Informasi ini dikirim pada pesan awal ClientHello, sehingga pihak yang mengamati lalu lintas jaringan dapat mengetahui domain yang hendak diakses meskipun isi sesi HTTPS sudah terenkripsi.

ECH mengenkripsi bagian sensitif dari ClientHello menggunakan konfigurasi dan kunci yang dipublikasikan oleh layanan tujuan. Server dapat membuka informasi tersebut, sementara pengamat jaringan hanya melihat handshake luar tanpa hostname yang sebenarnya. 416

Perlindungan ini penting karena enkripsi HTTPS tidak otomatis menyembunyikan nama layanan yang dihubungi. ECH secara khusus dirancang untuk mengurangi kebocoran metadata hostname tersebut pada tujuan yang telah mendukungnya. 56

Informasi apa yang masih bisa terlihat?

ECH tidak mengenkripsi seluruh metadata koneksi. Bergantung pada posisi dan kemampuan pengamat jaringan, beberapa informasi berikut masih dapat terlihat:

• Alamat IP sumber perangkat.
• Alamat IP tujuan, yang mungkin menunjukkan penyedia hosting, CDN, atau terkadang layanan tertentu.
• Waktu koneksi, ukuran paket, dan volume lalu lintas.
• Permintaan DNS jika pencarian DNS tidak dilindungi secara terpisah.

Karena itu, ECH bukan VPN dan bukan sistem anonimitas. Google menggambarkan ECH dan Private DNS sebagai dua perlindungan yang saling melengkapi: ECH menyamarkan hostname dalam handshake TLS, sedangkan DNS terenkripsi membantu mencegah proses pencarian domain mengungkap nama situs. Keduanya tidak menyembunyikan alamat IP perangkat. 612

Syarat agar ECH benar-benar berfungsi

Android 17 menyediakan dukungan sistem operasi dan API yang dibutuhkan pustaka jaringan untuk menerapkan ECH, termasuk kemampuan mengambil catatan DNS HTTPS yang memuat konfigurasi ECH. 4

Namun, perlindungan ini baru aktif jika tiga syarat terpenuhi:

1. Perangkat menjalankan Android 17 atau versi lebih baru.
2. Aplikasi menggunakan pustaka jaringan yang mendukung ECH. Dokumentasi Android menyebut HttpEngine, WebView, dan OkHttp sebagai contoh komponen yang perlu mengintegrasikan dukungan tersebut. Dukungan di tingkat sistem operasi tidak otomatis membuat semua pustaka jaringan kompatibel. 23
3. Server tujuan sudah menerapkan ECH. Tanpa konfigurasi di sisi server, klien tidak dapat mengenkripsi hostname tujuan untuk layanan tersebut. 25

Untuk aplikasi yang menargetkan Android 17 atau lebih tinggi, ECH digunakan pada koneksi TLS apabila pustaka jaringan dan server tujuan sama-sama mendukungnya. Jika ECH tidak dapat digunakan, kebijakan enkripsi domain yang dikonfigurasi aplikasi menentukan apakah koneksi boleh dilanjutkan atau harus dihentikan. 12

ECH GREASE bukan pengganti ECH

Kebijakan enkripsi domain Android tidak hanya menyediakan pilihan aktif atau nonaktif. Ketika enkripsi domain diaktifkan tetapi server belum mendukung ECH, Android dapat mengirimkan ECH GREASE.

GREASE adalah ekstensi yang sengaja dibuat tidak berfungsi, tetapi bentuknya menyerupai lalu lintas ECH. Tujuannya membantu menjaga kompatibilitas dan menyulitkan sistem jaringan yang hanya mengandalkan klasifikasi sederhana—misalnya, menganggap klien tidak pernah mencoba ECH hanya karena koneksi ECH yang berhasil tidak terlihat.

Namun, GREASE tidak menyembunyikan hostname seperti ECH yang berhasil. Fitur ini adalah mekanisme kompatibilitas, bukan pengganti penerapan ECH di server. 1

Jika aplikasi menonaktifkan enkripsi domain, dokumentasi NetworkSecurityPolicy Android menyatakan bahwa ECH maupun GREASE seharusnya tidak digunakan. API yang sama juga menyediakan mode enkripsi domain, termasuk mode aktif dan mode wajib. Dalam mode wajib, koneksi dapat gagal jika ECH tidak bisa diterapkan. 1

Yang perlu dilakukan pengembang aplikasi

Dukungan Android 17 tidak otomatis melindungi lalu lintas dari semua aplikasi. Pengembang perlu:

• Memastikan pustaka jaringan yang digunakan sudah mengintegrasikan dukungan ECH. 235
• Mengatur Network Security Config atau kebijakan enkripsi domain yang setara. 15
• Memastikan pustaka dapat mengambil dan menggunakan konfigurasi ECH yang diumumkan server tujuan melalui catatan DNS HTTPS. 4
• Menguji perilaku aplikasi pada server yang mendukung maupun tidak mendukung ECH, termasuk menentukan apakah aplikasi boleh melakukan fallback atau harus gagal secara aman ketika ECH tidak tersedia. 1

Operator server juga harus menerapkan ECH dan memublikasikan konfigurasi yang dibutuhkan klien. Ketergantungan pada sisi server inilah yang membuat dukungan Android 17 tidak serta-merta menyembunyikan hostname setiap situs yang dikunjungi melalui semua aplikasi. 516

Google mengatakan pihaknya bekerja sama dengan Jigsaw, pelaku industri, penyedia layanan, dan pengembang aplikasi untuk memperluas adopsi ECH. Tujuannya adalah membuat perlindungan hostname tersedia melalui infrastruktur jaringan yang umum digunakan aplikasi, bukan hanya browser yang dikonfigurasi secara khusus. 46

Fitur keamanan jaringan lain di Android 17

Akses jaringan lokal memerlukan izin runtime

Aplikasi yang menargetkan Android 17 atau lebih tinggi harus meminta izin runtime ACCESS_LOCAL_NETWORK sebelum menemukan atau terhubung ke perangkat di jaringan lokal.

Izin ini berada dalam grup NEARBY_DEVICES. Karena itu, pengguna yang sebelumnya sudah memberikan izin lain dari grup tersebut mungkin tidak melihat permintaan grup baru. Kebijakan ini ditujukan untuk mengurangi pemindaian jaringan lokal secara diam-diam yang dapat dimanfaatkan untuk pelacakan, pembuatan sidik jari perangkat, atau pencarian perangkat rentan. 21719

Aplikasi yang memang membutuhkan koneksi ke perangkat rumah pintar, penerima casting, atau perangkat LAN lainnya tetap harus mendeklarasikan dan meminta izin tersebut. 1719

Certificate Transparency aktif secara default

Android 17 mengaktifkan Certificate Transparency (CT) secara default untuk koneksi TLS. CT membantu mendeteksi sertifikat publik yang diterbitkan secara tidak semestinya dengan mengharuskan sertifikat tercatat dalam log publik yang dapat diaudit.

Pengembang tetap dapat menonaktifkan CT secara global atau hanya untuk domain tertentu melalui konfigurasi keamanan jaringan aplikasi. 3

Operator dapat membatasi koneksi 2G

Android 17 juga menambahkan perlindungan terkait keamanan jaringan seluler 2G yang lebih lemah. Jika didukung oleh perangkat dan operator, fitur ini memungkinkan operator membatasi atau menonaktifkan koneksi 2G secara default.

Langkah tersebut ditujukan untuk mengurangi risiko dari BTS palsu dan serangan SMS blaster. Perilaku akhirnya tetap bergantung pada dukungan operator serta perangkat yang digunakan. 8

Kesimpulan: privasi meningkat, tetapi tidak menjadi tak terlihat

ECH merupakan peningkatan privasi yang berarti karena menghapus hostname dari bagian penting handshake TLS ketika klien dan server mendukung standar tersebut. Meski begitu, fitur ini tidak membuat aktivitas browsing sepenuhnya tidak terlihat.

Pencarian DNS, alamat IP tujuan, waktu koneksi, ukuran paket, dan volume lalu lintas masih dapat memberikan petunjuk. Untuk perlindungan nama domain yang lebih kuat, ECH sebaiknya dipadukan dengan DNS terenkripsi. Jika yang dibutuhkan adalah penyamaran alamat IP, pengguna memerlukan sistem terpisah seperti VPN, proxy, atau Tor.

Ringkasnya, Android 17 membuat nama situs dan layanan lebih sulit dibaca oleh pengamat jaringan, tetapi lapisan metadata koneksi lainnya masih berada di luar perlindungan ECH.