Android 17 tăng quyền riêng tư mạng với ECH: Ẩn tên website, không ẩn danh hoàn toàn

Android 17 mang đến một thay đổi đáng chú ý về quyền riêng tư mạng: hỗ trợ Encrypted Client Hello (ECH) ở cấp nền tảng. Đây là phần mở rộng của TLS 1.3, có nhiệm vụ mã hóa tên máy chủ thường bị lộ ngay khi một kết nối bảo mật bắt đầu.

Nhờ đó, nhà cung cấp Wi‑Fi, nhà mạng, nhà cung cấp Internet hoặc những bên quan sát đường truyền sẽ khó biết ứng dụng đang kết nối tới website hay dịch vụ cụ thể nào — nhưng ECH không biến việc truy cập Internet thành hoàn toàn ẩn danh. 46

ECH mã hóa phần nào?

Trong một kết nối TLS thông thường, thiết bị gửi Server Name Indication (SNI) — trường chứa tên máy chủ mà ứng dụng muốn truy cập — trong thông điệp ClientHello. Đây là thông tin có thể giúp bên quan sát mạng biết ứng dụng đang hướng tới tên miền nào, dù nội dung phiên HTTPS đã được mã hóa.

ECH bảo vệ phần nhạy cảm này bằng cách mã hóa ClientHello bên trong với cấu hình và khóa do dịch vụ đích công bố. Máy chủ đích có thể giải mã thông tin, còn bên quan sát chỉ thấy một phần bắt tay bên ngoài thay vì tên miền thực tế. 416

Điểm quan trọng là HTTPS vốn đã bảo vệ nội dung phiên truy cập; ECH tập trung xử lý một dạng rò rỉ siêu dữ liệu khác: tên website hoặc dịch vụ mà ứng dụng đang liên hệ. Tính năng này chỉ phát huy tác dụng với những dịch vụ đã hỗ trợ ECH. 56

Những dữ liệu nào vẫn có thể bị nhìn thấy?

ECH không mã hóa toàn bộ kết nối. Tùy vị trí và khả năng của bên quan sát, các thông tin sau vẫn có thể còn lộ:

• Địa chỉ IP nguồn của thiết bị.
• Địa chỉ IP đích, có thể cho biết nhà cung cấp CDN, đơn vị lưu trữ hoặc đôi khi là một dịch vụ cụ thể.
• Thời điểm kết nối, kích thước gói tin và lưu lượng dữ liệu.
• Các truy vấn DNS nếu bước phân giải tên miền chưa được bảo vệ riêng.

Vì vậy, ECH không phải VPN và cũng không phải một hệ thống ẩn danh. Google xem ECH và Private DNS là hai lớp bảo vệ bổ trợ: ECH che giấu tên máy chủ trong quá trình bắt tay TLS, còn DNS được mã hóa giúp ngăn bước tra cứu tên miền riêng biệt làm lộ thông tin. Cả hai đều không tự che giấu địa chỉ IP của thiết bị. 612

Nếu cần bảo vệ địa chỉ IP, người dùng vẫn phải sử dụng một hệ thống riêng như VPN, proxy hoặc Tor.

Android 17 yêu cầu gì để ECH hoạt động?

Android 17 cung cấp hệ điều hành và API cần thiết để các thư viện mạng triển khai ECH, trong đó có khả năng truy vấn bản ghi HTTPS DNS chứa cấu hình ECH. 4

Tuy nhiên, khả năng hỗ trợ ở cấp nền tảng không đồng nghĩa mọi ứng dụng đều tự động được bảo vệ. ECH cần đủ ba điều kiện:

1. Thiết bị chạy Android 17 trở lên.
2. Thư viện mạng của ứng dụng hỗ trợ ECH. Tài liệu Android nêu các ví dụ như HttpEngine, WebView và OkHttp; việc hệ điều hành có API ECH không khiến mọi thư viện mạng lập tức tương thích. 23
3. Máy chủ đích đã triển khai ECH. Nếu dịch vụ chưa cấu hình phía máy chủ, ứng dụng không thể mã hóa tên máy chủ cho kết nối đó. 25

Với các ứng dụng hướng tới Android 17 (API cấp 37) trở lên, ECH sẽ được dùng cho kết nối TLS khi cả thư viện mạng và máy chủ từ xa đều hỗ trợ. Nếu không thể kích hoạt ECH, chính sách mã hóa tên miền mà ứng dụng thiết lập sẽ quyết định kết nối được phép tiếp tục hay phải dừng để tránh rơi về trạng thái kém an toàn hơn. 12

ECH GREASE là gì?

Chính sách mã hóa tên miền của Android không chỉ có hai trạng thái bật hoặc tắt ECH. Khi mã hóa tên miền được bật nhưng máy chủ chưa hỗ trợ ECH thực sự, Android có thể gửi ECH GREASE.

Đây là một phần mở rộng không có chức năng mã hóa tên miền thực tế nhưng được thiết kế để trông giống lưu lượng ECH. Cách làm này giúp tăng khả năng tương thích và khiến các hệ thống phân loại đơn giản khó kết luận rằng thiết bị không hề cố gắng sử dụng ECH khi không thấy một phiên ECH hoàn chỉnh.

Tuy nhiên, GREASE không che giấu tên miền như ECH thành công. Đây là cơ chế hỗ trợ tương thích, không phải giải pháp thay thế cho việc máy chủ triển khai ECH. 1

Nếu ứng dụng tắt mã hóa tên miền, tài liệu NetworkSecurityPolicy của Android cho biết cả ECH lẫn GREASE đều không nên được sử dụng. API này cũng cung cấp các chế độ mã hóa tên miền, gồm chế độ bật và chế độ bắt buộc. Ở chế độ bắt buộc, kết nối có thể phải thất bại nếu ECH không thể được kích hoạt. 1

Nhà phát triển cần làm gì?

Để tận dụng ECH, nhà phát triển cần:

• Kiểm tra thư viện mạng của ứng dụng đã tích hợp ECH hay chưa. 235
• Cấu hình Network Security Config hoặc chính sách mã hóa tên miền tương đương. 15
• Đảm bảo thư viện có thể lấy và sử dụng cấu hình ECH do dịch vụ đích công bố. Android cung cấp API để truy vấn bản ghi HTTPS DNS chứa dữ liệu cấu hình này. 4
• Kiểm thử cả máy chủ có ECH và chưa có ECH, đồng thời xác định ứng dụng nên cho phép kết nối dự phòng hay bắt buộc ECH và đóng kết nối khi không thể bảo vệ tên miền. 1

Phía máy chủ cũng phải triển khai ECH và công bố cấu hình cần thiết cho máy khách. Đây là lý do hỗ trợ ECH trong Android 17 sẽ không lập tức che giấu tên miền của mọi website và mọi ứng dụng. 516

Google cho biết họ đang phối hợp với Jigsaw, các doanh nghiệp trong ngành, nhà cung cấp dịch vụ và nhà phát triển ứng dụng để mở rộng việc áp dụng. Mục tiêu dài hạn là đưa cơ chế bảo vệ tên miền tới nhiều ứng dụng thông qua hạ tầng mạng phổ biến, thay vì chỉ giới hạn ở những trình duyệt được cấu hình đặc biệt. 46

Những cải tiến bảo mật mạng khác trên Android 17

Truy cập mạng cục bộ cần quyền thời gian chạy

Ứng dụng hướng tới Android 17 trở lên phải yêu cầu quyền thời gian chạy ACCESS_LOCAL_NETWORK trước khi phát hiện hoặc kết nối tới các thiết bị trong mạng cục bộ. Quyền này thuộc nhóm NEARBY_DEVICES, vì vậy người dùng đã cấp một quyền khác trong cùng nhóm có thể không thấy thêm một hộp thoại yêu cầu ở cấp nhóm. 217

Thay đổi nhằm hạn chế việc ứng dụng âm thầm quét mạng LAN để theo dõi, tạo dấu vân tay thiết bị hoặc tìm kiếm phần cứng dễ bị tấn công. Những ứng dụng hợp pháp kết nối với thiết bị nhà thông minh, thiết bị nhận truyền nội dung hoặc phần cứng khác trong mạng nội bộ vẫn cần khai báo và yêu cầu quyền này. 1719

Certificate Transparency được bật mặc định

Android 17 bật Certificate Transparency (CT) mặc định cho các kết nối TLS. CT giúp phát hiện chứng chỉ công khai bị cấp sai bằng cách yêu cầu chứng chỉ xuất hiện trong các nhật ký công khai có thể kiểm tra. Ứng dụng vẫn có thể tắt tính năng trên toàn ứng dụng hoặc với từng tên miền thông qua cấu hình bảo mật mạng. 3

Nhà mạng có thể hạn chế kết nối 2G

Android 17 cũng bổ sung cơ chế liên quan đến mức bảo mật yếu của mạng di động 2G. Khi được thiết bị và nhà mạng hỗ trợ, tính năng này cho phép nhà mạng hạn chế hoặc tắt kết nối 2G theo mặc định, qua đó giảm nguy cơ trước trạm phát giả và các cuộc tấn công SMS blaster. Cách thức áp dụng cụ thể phụ thuộc vào nhà mạng và thiết bị. 8

Kết luận: ECH là bước tiến, không phải “áo tàng hình”

ECH là một cải tiến có ý nghĩa vì nó loại bỏ tên máy chủ khỏi một phần quan trọng của quá trình bắt tay TLS khi máy khách và máy chủ cùng hỗ trợ tiêu chuẩn. Nhưng ECH không khiến hoạt động duyệt web trở nên vô hình. DNS chưa được bảo vệ, địa chỉ IP đích, thời điểm kết nối, kích thước gói tin và lưu lượng vẫn có thể cung cấp manh mối.

Cách hiểu chính xác nhất về thay đổi trên Android 17 là: tên website và dịch vụ trở nên khó bị bên quan sát mạng đọc được hơn, trong khi nhiều lớp siêu dữ liệu kết nối khác vẫn nằm ngoài phạm vi bảo vệ của ECH. Để tăng cường quyền riêng tư tên miền, người dùng nên kết hợp ECH với DNS được mã hóa; còn để che giấu địa chỉ IP, cần một công cụ riêng như VPN, proxy hoặc Tor.