Google heeft donderdag nieuwe netwerkbeveiligingen in Android 17 aangekondigd om de verbindingsprivacy te versterken, mobiele kwetsbaarheden aan te pakken en de privacy van de thuisnetwerken van gebruikers te beschermen.
Bovenaan de lijst staat ondersteuning voor Encrypted Client Hello (ECH), een privacystandaard die voorkomt dat netwerken kunnen afluisteren welke websites een gebruiker bezoekt.
“Deze nieuwe privacystandaard werkt samen met privé-DNS om de domeinnamen die u bezoekt onzichtbaar te maken, waardoor metadata worden verborgen die kunnen worden gebruikt om u te profileren”, aldus Bram Bonné en Shuaibo Huang van Google. “Door de naam van de bestemmingswebsite vanaf het allereerste begin te coderen, zorgt ECH ervoor dat netwerkproviders en netwerksnoopers van ondersteunde websites en apps niet langer gemakkelijk kunnen zien welke websites of apps u bezoekt.”
In een parallel rapport waarin de integratie wordt beschreven, zegt de Jigsaw-divisie van Google dat ECH de domeinnaam verbergt met behulp van een geheime coderingssleutel die alleen de bestemmingswebsite kan ontcijferen.
“Het is echter van cruciaal belang dat niet alle webservers ECH-ondersteuning bieden”, aldus Jigsaw. “Om te voorkomen dat alleen bepaalde verbindingen als ECH-beveiligd worden aangemerkt, moeten apps en browsers ECH GREASE gebruiken – dat valse, willekeurige ECH-extensies verzendt naar sites die ECH niet ondersteunen – zodat elk verbindingsverzoek er hetzelfde uitziet.”
Met Android 17 is ECH GREASE standaard ingeschakeld. Het is vermeldenswaard dat ECH werd geïntegreerd in Google Chrome en Mozilla Firefox met respectievelijk versie 117 en 118. Met de nieuwste update breidt de bescherming zich echter uit naar het gehele besturingssysteem.
Jigsaw zei ook dat OkHttp, een open-source HTTP- en HTTP/2-client, ECH-ondersteuning heeft geïntegreerd in zijn kernbibliotheek, waardoor externe Android-app-ontwikkelaars de nieuwe mogelijkheid kunnen benutten.
Naast ondersteuning voor ECH op Android heeft Google Local Network Protection afgedwongen, waarbij apps om toestemming van gebruikers moeten vragen voordat ze kunnen scannen of verbinding kunnen maken met andere apparaten op hun lokale netwerk.
Twee andere op privacy en veiligheid gerichte functies zijn onder meer het standaard inschakelen van Certificate Transparency (CT), wat voorschrijft dat alle websites in een openbaar register moeten worden aangemeld, en het mogelijk maken dat telecomoperatoren 2G standaard kunnen uitschakelen voor hun abonnees om downgrade-aanvallen te voorkomen en de blootstelling aan malafide basisstations of sms-blasters te beperken die kwaadaardige sms-berichten kunnen verzenden of verkeer van apparaten in de buurt kunnen vastleggen.
Android 12 bevat al een handmatige optie waarmee gebruikers 2G op hardwareniveau kunnen uitschakelen. Met Android 14 heeft Google een beveiligingsfunctie toegevoegd waarmee IT-beheerders de ondersteuning voor 2G mobiele netwerken op hun beheerde apparaten konden uitschakelen. Het nieuwste aanbod is daarentegen een zero-click-oplossing.
“Voor deelnemende providers helpt dit het bestaande aanvalsoppervlak out-of-the-box te elimineren, waardoor proactief een primaire methode wordt beperkt die door SMS-blasters wordt gebruikt voordat ze zich op uw apparaat kunnen richten”, aldus Google.
