Android 17’de ECH dönemi: Web sitesi adları gizleniyor, ancak tüm izler silinmiyor

Android 17’nin ağ gizliliği açısından en önemli yeniliklerinden biri Encrypted Client Hello (ECH) desteği. TLS 1.3’ün bir uzantısı olan ECH, güvenli bağlantının ilk bölümünde normalde açıkta kalabilen sunucu adını şifreliyor. Böylece Wi-Fi işletmecileri, internet servis sağlayıcıları ve diğer ağ gözlemcileri, desteklenen bağlantılarda uygulamanın hangi alan adına ulaştığını daha zor görebiliyor. Ancak bu özellik tam anonimlik sağlamıyor. 46

ECH’nin koruma sağlaması için bağlantının tüm halkalarının uyumlu olması gerekiyor: cihaz Android 17 veya daha yeni bir sürüm çalıştırmalı, uygulamanın kullandığı ağ kütüphanesi ECH’yi desteklemeli ve hedef hizmet sunucu tarafında ECH’yi devreye almış olmalı. 25

ECH tam olarak neyi gizliyor?

Geleneksel TLS bağlantısında istemci, ulaşmak istediği sunucunun alan adını Server Name Indication (SNI) alanında gönderir. Bu bilgi, TLS el sıkışmasının başlangıcındaki ClientHello mesajında yer alır ve bağlantı içeriği HTTPS ile şifrelenmiş olsa bile ağ üzerinde görülebilir.

ECH, ClientHello mesajının hassas bölümünü hedef hizmetin yayımladığı yapılandırma ve anahtar bilgileriyle şifreler. Sunucu bu korumalı bilgiyi çözebilirken ağ üzerindeki gözlemci, hedeflenen alan adı yerine dış bir el sıkışma görür. 416

Bu ayrım önemli: HTTPS, oturumun içeriğini zaten korur; ancak bağlantının hangi hizmete kurulduğu bir meta veri olarak açığa çıkabilir. ECH, özellikle bu alan adı sızıntısını azaltmak için tasarlanmıştır. 56

Ağ üzerinde hangi bilgiler görünür kalıyor?

ECH, bağlantının bütün meta verilerini şifrelemez. Gözlemcinin konumuna ve bağlantının yapısına bağlı olarak şu bilgiler erişilebilir durumda kalabilir:

• Cihazın kaynak IP adresi,
• Hedef IP adresi; bu adres bir CDN’yi, barındırma sağlayıcısını veya bazı durumlarda belirli bir hizmeti gösterebilir,
• Bağlantı zamanlaması, paket boyutları ve trafik hacmi,
• DNS isteği ayrıca korunmuyorsa yapılan DNS sorguları.

Bu nedenle ECH’yi VPN veya anonimlik sistemi olarak tanımlamak doğru olmaz. Google, ECH ile Özel DNS’i birbirini tamamlayan iki koruma olarak sunuyor: ECH TLS el sıkışmasındaki alan adını gizlerken şifreli DNS, alan adının IP adresine çevrildiği ayrı aşamanın açığa çıkmasını azaltır. Ancak bu iki özellik de tek başına cihazın IP adresini gizlemez. 612

IP adresinin de gizlenmesi gerekiyorsa VPN, proxy veya Tor gibi ayrı bir sistem gerekir.

Android 17’de ECH’nin gereksinimleri ve varsayılan davranışı

Android 17, ağ kütüphanelerinin ECH uygulayabilmesi için gerekli işletim sistemi desteğini ve API’leri sağlıyor. Buna, ECH yapılandırmalarını içeren HTTPS DNS kayıtlarını sorgulama yeteneği de dahil. 4

Gerçek koruma için üç koşul bulunuyor:

1. Cihaz Android 17 veya daha yeni bir sürüm çalıştırmalı.
2. Uygulamanın ağ katmanı ECH’yi desteklemeli. Android belgelerinde HttpEngine, WebView ve OkHttp gibi ağ bileşenleri örnekleniyor. Ancak işletim sistemi desteği, her kütüphanenin otomatik olarak ECH uyumlu olduğu anlamına gelmiyor. 23
3. Uzak sunucu ECH’yi kullanıma almış olmalı. Sunucu tarafında yapılandırma yoksa istemci, hedef alan adını bu hizmet için şifreleyemez. 25

Android 17 veya üzerini hedefleyen uygulamalarda, ağ kütüphanesi ve uzak sunucu protokolü desteklediğinde TLS bağlantıları için ECH kullanılıyor. ECH devreye alınamazsa bağlantının devam edip etmeyeceğini ya da tamamen sonlandırılacağını uygulamanın alan adı şifreleme politikası belirliyor. 12

ECH GREASE ne işe yarıyor?

Android’in alan adı şifreleme politikası yalnızca “ECH açık” veya “ECH kapalı” seçeneklerinden ibaret değil. Alan adı şifrelemesi etkin olduğu halde sunucu gerçek ECH’yi desteklemiyorsa Android, ECH GREASE kullanabiliyor.

ECH GREASE işlevsel olmayan, ancak ECH trafiğine benzeyen bir uzantı gönderir. Amaç, uyumluluğu desteklemek ve ağ sistemlerinin yalnızca “ECH var” veya “ECH yok” ayrımına bakarak istemci davranışını kolayca sınıflandırmasını zorlaştırmaktır.

Bununla birlikte GREASE, alan adını başarılı bir ECH bağlantısı gibi gizlemez. Sunucu tarafı ECH desteğinin yerine geçmez; bir uyumluluk mekanizmasıdır. 1

Bir uygulama alan adı şifrelemesini devre dışı bırakırsa Android’in NetworkSecurityPolicy belgelerine göre ne ECH ne de GREASE kullanılmalıdır. API, uygulamanın alan adı şifreleme modunu etkin veya zorunlu olarak yapılandırmasına da izin verir. Zorunlu modda ECH herhangi bir nedenle kullanılamazsa bağlantı güvenli bir geri dönüş yapmadan başarısız olabilir. 1

Geliştiricilerin yapması gerekenler

Android 17’nin işletim sistemi düzeyindeki desteği, her uygulamanın trafiğinin otomatik olarak ECH ile korunduğu anlamına gelmiyor. Geliştiricilerin şu adımları atması gerekiyor:

• Kullanılan ağ kütüphanesinin ECH desteğini doğrulamak, 235
• Network Security Config veya eşdeğer alan adı şifreleme politikasını yapılandırmak, 15
• Kütüphanenin hedef hizmet tarafından yayımlanan ECH yapılandırmasını alıp kullanabildiğinden emin olmak, 4
• ECH destekleyen ve desteklemeyen sunucularda davranışı test etmek,
• ECH’nin zorunlu tutulup bağlantının başarısız mı olacağına, yoksa uygun durumlarda geri dönüşe izin mi verileceğine karar vermek. 1

Sunucu işletmecilerinin de ECH’yi etkinleştirmesi ve istemcilerin ihtiyaç duyduğu yapılandırmayı yayımlaması gerekiyor. Android’in platform desteğinin ilk günden itibaren her uygulamadaki her alan adını gizlememesinin temel nedeni bu sunucu tarafı bağımlılığı. 516

Google, ECH kullanımını yaygınlaştırmak için Jigsaw, sektör temsilcileri, hizmet sağlayıcıları ve uygulama geliştiricileriyle çalıştığını belirtiyor. Hedef, alan adı korumasını yalnızca özel olarak yapılandırılmış tarayıcılarla sınırlamak yerine ortak ağ altyapısı üzerinden uygulamalara da sunmak. 46

Android 17’nin diğer ağ güvenliği özellikleri

Yerel ağ erişimi için çalışma zamanı izni

Android 17 veya üzerini hedefleyen uygulamaların yerel ağdaki cihazları keşfetmeden ya da onlara bağlanmadan önce ACCESS_LOCAL_NETWORK çalışma zamanı iznini istemesi gerekiyor. Bu izin mevcut NEARBY_DEVICES grubunun içinde yer alıyor. Bu gruptaki başka bir izni daha önce vermiş kullanıcılar ikinci bir grup düzeyi izin istemi görmeyebilir. 217

Değişiklik; takip, cihaz parmak izi çıkarma veya savunmasız cihazları keşfetme amacıyla yapılabilecek sessiz yerel ağ taramalarını azaltmayı hedefliyor. Akıllı ev cihazlarına, yayın alıcılarına veya diğer LAN cihazlarına gerçekten bağlanması gereken uygulamaların izni beyan edip istemesi gerekecek. 1719

Certificate Transparency varsayılan olarak açık

Android 17, Certificate Transparency (CT) özelliğini TLS bağlantıları için varsayılan olarak etkinleştiriyor. CT, herkese açık ve denetlenebilir kayıtlarda yer alması gereken sertifikalar üzerinden hatalı düzenlenmiş kamuya açık sertifikaların fark edilmesine yardımcı oluyor. Uygulamalar ağ güvenliği yapılandırması aracılığıyla bu özelliği genel olarak veya belirli alan adları için devre dışı bırakabiliyor. 3

Operatörler 2G bağlantılarını kısıtlayabilecek

Android 17, güvenliği zayıf 2G hücresel ağlarıyla ilgili ek korumalar da getiriyor. Desteklenen cihaz ve operatörlerde, operatörlerin 2G bağlantılarını varsayılan olarak kısıtlamasına veya devre dışı bırakmasına olanak tanınıyor. Bu yaklaşım, sahte baz istasyonlarına ve SMS blaster saldırılarına maruz kalma riskini azaltmayı amaçlıyor. Davranışın ayrıntıları operatör ve cihaz desteğine göre değişiyor. 8

Sonuç: ECH önemli, ama görünmezlik sağlamıyor

ECH, istemci ve sunucu standardı desteklediğinde TLS el sıkışmasının kritik bir bölümündeki alan adını ortadan kaldırdığı için anlamlı bir gizlilik iyileştirmesi. Ancak web trafiğini görünmez hale getirmiyor. DNS ayarları, hedef IP adresleri, bağlantı zamanlaması, paket boyutları ve trafik hacmi hâlâ çeşitli ipuçları sağlayabilir.

Daha güçlü alan adı gizliliği için ECH’nin şifreli DNS ile birlikte kullanılması gerekiyor. IP adresinin karşı taraftan gizlenmesi içinse VPN, proxy veya Tor gibi ayrı bir araç gerekli.

Android 17’deki değişikliği en doğru şekilde şöyle özetlemek mümkün: ECH, ağ gözlemcilerinin ziyaret edilen web sitesi ve hizmet adlarını okumasını zorlaştırıyor; ancak bağlantının diğer meta veri katmanları ECH’nin koruması dışında kalıyor.