Android 17 Lindungi Nama Laman Web Anda—Tetapi Bukan Semua Metadata

Perubahan privasi rangkaian paling penting dalam Android 17 ialah sokongan platform untuk Encrypted Client Hello (ECH), iaitu sambungan TLS 1.3 yang menyulitkan nama hos yang biasanya terdedah pada permulaan sambungan selamat. Ini mengurangkan kebocoran nama laman web kepada pengendali Wi-Fi, penyedia internet dan pemerhati rangkaian lain—tetapi tidak menjadikan pengguna sepenuhnya tanpa nama. 46

ECH hanya berguna apabila keseluruhan sambungan menyokongnya: peranti perlu menjalankan Android 17 atau lebih baharu, aplikasi mesti menggunakan pustaka rangkaian yang serasi dengan ECH dan perkhidmatan destinasi perlu melaksanakan ECH. 25

Apa yang disulitkan oleh ECH?

Dalam sambungan TLS biasa, klien menghantar Server Name Indication (SNI) yang mengandungi nama hos yang ingin dihubungi. ECH menyulitkan bahagian sensitif dalam mesej awal ClientHello menggunakan konfigurasi dan bahan kunci yang diterbitkan oleh perkhidmatan destinasi.

Pelayan boleh menyahsulit maklumat tersebut, manakala pemerhati rangkaian hanya melihat jabat tangan luaran dan bukannya nama hos sebenar yang dituju. 416

Perkara ini penting kerana HTTPS memang sudah menyulitkan kandungan sesi web, tetapi nama hos masih boleh mendedahkan perkhidmatan yang sedang dihubungi oleh aplikasi. ECH direka khusus untuk mengurangkan kebocoran metadata tersebut bagi destinasi yang menyokongnya. 56

Maklumat yang masih boleh dilihat

ECH tidak menyulitkan setiap bahagian sambungan rangkaian. Bergantung pada kedudukan pemerhati dan jenis sambungan, maklumat berikut masih boleh kelihatan:

• Alamat IP sumber peranti.
• Alamat IP destinasi, yang mungkin mengenal pasti penyedia pengehosan, CDN atau kadangkala perkhidmatan tertentu.
• Masa sambungan, saiz paket dan jumlah trafik.
• Carian DNS jika permintaan DNS tidak dilindungi secara berasingan.

Sebab itu ECH tidak wajar dianggap sebagai VPN atau sistem anonimiti. Google menerangkan ECH dan Private DNS sebagai perlindungan yang saling melengkapi: ECH menyembunyikan nama hos dalam jabat tangan TLS, manakala DNS yang disulitkan membantu melindungi langkah carian domain yang berasingan. Kedua-duanya tidak menyembunyikan alamat IP peranti. 612

Untuk perlindungan alamat IP, pengguna masih memerlukan sistem berasingan seperti VPN, proksi atau Tor.

Syarat penggunaan dan tetapan Android 17

Android 17 menyediakan sokongan sistem pengendalian serta API yang diperlukan oleh pustaka rangkaian untuk melaksanakan ECH. Ini termasuk keupayaan mendapatkan rekod DNS HTTPS yang mengandungi konfigurasi ECH. 4

Namun, perlindungan sebenar masih bergantung pada tiga syarat:

1. Peranti menjalankan Android 17 atau lebih baharu.
2. Tindanan rangkaian aplikasi menyokong ECH. Dokumentasi Android menyebut HttpEngine, WebView dan OkHttp sebagai contoh, tetapi sokongan pada peringkat platform tidak bermakna semua pustaka terus serasi dengan ECH. 23
3. Pelayan destinasi sudah melaksanakan ECH. Tanpa konfigurasi di pihak pelayan, klien tidak boleh menyulitkan nama hos perkhidmatan tersebut. 25

Bagi aplikasi yang menyasarkan Android 17 atau lebih baharu, ECH digunakan untuk sambungan TLS apabila pustaka rangkaian dan pelayan jauh sama-sama menyokong protokol itu. Jika ECH tidak dapat digunakan, dasar penyulitan domain yang ditetapkan aplikasi menentukan sama ada sambungan boleh diteruskan atau perlu dihentikan demi keselamatan. 12

Apa itu ECH GREASE?

Dasar penyulitan domain Android bukan sekadar suis hidup atau mati untuk ECH. Apabila penyulitan domain diaktifkan tetapi pelayan tidak menyokong ECH sebenar, Android boleh menghantar ECH GREASE.

Sambungan ini sengaja tidak berfungsi sebagai ECH sebenar, tetapi rupanya menyerupai trafik ECH. Tujuannya adalah untuk membantu keserasian dan menghalang sistem rangkaian daripada membuat pengelasan mudah—contohnya menganggap bahawa ketiadaan sambungan ECH yang berjaya bermakna klien tidak pernah cuba menggunakan ECH.

Namun, GREASE tidak menyembunyikan nama hos seperti ECH yang berjaya. Ia ialah mekanisme keserasian, bukannya pengganti kepada pelaksanaan ECH di pihak pelayan. 1

Jika aplikasi mematikan penyulitan domain, dokumentasi NetworkSecurityPolicy Android menyatakan bahawa ECH dan GREASE tidak sepatutnya digunakan. API yang sama turut menyediakan mod penyulitan domain seperti diaktifkan dan diwajibkan. Dalam mod diwajibkan, sambungan boleh gagal jika ECH tidak dapat digunakan. 1

Apa yang perlu dilakukan oleh pembangun?

Sokongan Android 17 tidak secara automatik melindungi trafik setiap aplikasi. Pembangun perlu:

• Menyemak sama ada pustaka rangkaian aplikasi sudah mempunyai sokongan ECH. 235
• Mengkonfigurasi Network Security Config atau dasar penyulitan domain yang setara. 15
• Memastikan pustaka boleh mendapatkan dan menggunakan konfigurasi ECH yang diiklankan oleh perkhidmatan destinasi. Android menyediakan API platform untuk mendapatkan rekod DNS HTTPS yang mengandungi data konfigurasi ECH. 4
• Menguji tingkah laku aplikasi dengan pelayan yang menyokong dan tidak menyokong ECH, termasuk menentukan sama ada aplikasi membenarkan fallback atau perlu mewajibkan ECH dan menghentikan sambungan jika ia gagal. 1

Pengendali pelayan juga perlu melaksanakan ECH serta menerbitkan konfigurasi yang diperlukan oleh klien. Kebergantungan pada pihak pelayan inilah sebabnya sokongan Android 17 tidak akan serta-merta menyembunyikan setiap nama hos yang diakses oleh semua aplikasi. 516

Google berkata pihaknya bekerjasama dengan Jigsaw, pemain industri, penyedia perkhidmatan dan pembangun aplikasi untuk memperluas penggunaan ECH. Matlamat yang lebih besar adalah menyediakan perlindungan nama hos melalui infrastruktur rangkaian biasa kepada aplikasi, bukan mengehadkannya kepada pelayar yang dikonfigurasi secara khusus. 46

Perlindungan rangkaian lain dalam Android 17

Akses rangkaian tempatan memerlukan kebenaran

Aplikasi yang menyasarkan Android 17 atau lebih baharu mesti meminta kebenaran masa jalan ACCESS_LOCAL_NETWORK sebelum mengesan atau menyambung kepada peranti dalam rangkaian tempatan.

Kebenaran ini berada dalam kumpulan NEARBY_DEVICES sedia ada. Oleh itu, pengguna yang sudah memberikan kebenaran lain dalam kumpulan tersebut mungkin tidak menerima satu lagi gesaan peringkat kumpulan. 217

Perubahan ini bertujuan mengurangkan pengimbasan rangkaian tempatan secara senyap yang boleh digunakan untuk penjejakan, penciptaan cap jari peranti atau pengesanan perkakasan yang terdedah. Aplikasi yang benar-benar perlu menyambung kepada peranti rumah pintar, penerima cast atau peranti LAN lain perlu mengisytiharkan dan meminta kebenaran tersebut. 1719

Certificate Transparency diaktifkan secara lalai

Android 17 mengaktifkan Certificate Transparency (CT) secara lalai untuk sambungan TLS. CT membantu mendedahkan sijil awam yang dikeluarkan secara tidak wajar dengan mewajibkan sijil tersebut dimasukkan ke dalam log awam yang boleh diaudit.

Aplikasi masih boleh memilih untuk tidak menggunakan ciri ini secara global atau bagi domain tertentu melalui konfigurasi keselamatan rangkaian. 3

Pengendali boleh mengehadkan sambungan 2G

Android 17 turut menambah perlindungan berkaitan keselamatan rangkaian selular 2G yang lemah. Ciri ini membolehkan pengendali mengehadkan atau mematikan sambungan 2G secara lalai apabila sokongan tersedia, sekali gus mengurangkan pendedahan kepada stesen pemancar palsu dan serangan SMS blaster.

Tingkah laku sebenar bergantung pada sokongan pengendali serta peranti. 8

Kesimpulan: peningkatan privasi yang berguna, tetapi terhad

ECH ialah peningkatan yang bermakna kerana ia mengeluarkan nama hos daripada bahagian penting jabat tangan TLS apabila klien dan pelayan menyokong piawaian tersebut. Tetapi aktiviti pelayaran tidak menjadi tidak kelihatan sepenuhnya.

Konfigurasi DNS, alamat IP destinasi, masa sambungan, saiz paket dan jumlah trafik masih boleh memberikan petunjuk. Untuk privasi domain yang lebih kukuh, ECH wajar digabungkan dengan DNS yang disulitkan. Jika pengguna mahu menyembunyikan identiti alamat IP, mereka memerlukan VPN, proksi atau Tor.

Ringkasnya, perubahan Android 17 menjadikan nama laman web dan perkhidmatan lebih sukar dibaca oleh pemerhati rangkaian—tetapi lapisan metadata sambungan yang lain masih berada di luar perlindungan ECH.