Android 17 döljer de webbplatser du besöker, men inte i alla appar

Google publicerade ett inlägg på torsdagen om fyra nätverksskydd i Android 17. Inget av dem är nytt. Alla fyra levererades med Android 17 redan i juni, och detta är första gången Google förklarar dem för vanliga användare. Uppdateringen når först nu ut till ett stort antal telefoner, och Motorola har bekräftat att den gäller för mer än 50 modeller. Läs dock Googles egen utvecklardokumentation, så visar det sig att skyddsåtgärderna inte gäller alla.

Vad som förblir synligt även över HTTPS

HTTPS krypterar innehållet i en anslutning. Namnet på destinationen skickas fortfarande i klartext under handskakningen, i ett fält som kallas Server Name Indication. Den som övervakar trafiken kan skapa en profil utifrån detta eller utforma ett övertygande bedrägerimeddelande. Encrypted Client Hello, eller ECH, krypterar det fältet. Allt en observatör får reda på är IP-adressen. Hos en stor leverantör med hundratals webbplatser bakom en enda adress avslöjar det väldigt lite. På en liten server med en egen adress avslöjar det fortfarande en del.

ECH gäller endast nyutvecklade appar

Googles blogginlägg får det att låta som om frågan är avgjord. Utvecklarhandboken är mer precis. Där anges att ECH är aktiverat för appar som riktar sig mot Android 17 och API-nivå 37. En app som fortfarande är byggd för Android 16 får ingen kryptering alls på en Android 17-telefon.

Appen behöver också ett nätverksbibliotek som stöder ECH. OkHttp 5.5.0 levereras med stöd, men utvecklare måste aktivera det som ett tillval. Googles egen ECH-sida för utvecklare anger dock fortfarande att stödet i OkHttp ännu inte finns tillgängligt. Ett VPN är inte heller någon tillförlitlig ersättning, vilket vår genomgång av gratis VPN-appar för Android visade.

Krypterad DNS eller ingenting

ECH döljer värdnamnet inuti TLS-handskakningen. Samma adress finns fortfarande kvar i den DNS-uppslagning som din telefon använder för att hitta den matchande IP-adressen. Om den uppslagningen sker okrypterad kan din internetleverantör läsa av den där, och då går fördelen förlorad. På Pixel-telefoner finns inställningen under Inställningar, Nätverk och internet, Privat DNS. På Samsung-telefoner finns den under Anslutningar, Fler anslutningsinställningar, Privat DNS. Den andra änden måste också stödja ECH. Google uppger inte hur många webbplatser som redan gör det, bara att man samarbetar med branschen för att påskynda införandet.

Hemnätverk och certifikat – samma problem

Hittills har vilken app som helst kunnat skanna ditt Wi-Fi i smyg efter enheter, från tv:n till säkerhetskameran. Android 17 kräver en ny behörighet för detta. Enligt dokumentationen gäller detta återigen endast appar som är avsedda för Android 17, så äldre appar fortsätter att skanna. Certifikattransparens, som gör att förfalskade certifikat syns tydligare, följer samma mönster. Det är i alla fall värt att kolla över ditt eget nätverk, eftersom routrar fortfarande är ett vanligt mål.

2G-tricket, och vem som kan stoppa det

Den fjärde punkten riktar sig mot SMS-spammare. Det handlar om bärbara mobilmaster som tvingar telefoner i närheten att koppla bort sig från LTE eller 5G och övergå till det gamla 2G-nätet, där spamfilter inte längre gäller och det bedrägliga meddelandet hamnar direkt på skärmen. Google uppskattar kostnaden för hårdvaran till cirka 3 000 US-dollar. I Toronto kördes enheterna runt i staden i fordon, i London bar gärningsmännen dem genom tunnelbanestationer i resväskor. En funktion för att stänga av 2G har funnits sedan Android 12. Det nya är att operatörerna nu själva kan stänga av 2G för sina kunder. Google nämner inte en enda operatör som gör det. Hur som helst är valet inte ditt.