Google'ın işletim sisteminin yeni sürümü Android 17 , çevrimiçi etkinlikleri güvence altına almak için tasarlanmış bir dizi önlemle birlikte geliyor. En dikkat çekici olanı, HTTPS bağlantısı kurulurken bir web sitesinin adının ifşa edilmesini önleyen Şifreli İstemci Merhaba (ECH) protokolünün platform düzeyinde entegrasyonudur. Ancak bu tek yeni özellik değil: yerel ağa erişim de sıkılaştırıldı, sertifika şeffaflığı varsayılan olarak etkinleştirildi ve SMS saldırıları gibi saldırılara karşı korunmak için 2G ağlarını engellemek daha kolay hale getirildi.
Bu özellikler önemli bir ilerleme olarak sunulsa da, uzmanlar bunların hiçbirinin tam anonimliği garanti etmediğine dikkat çekiyor . ECH, iletişimin belirli bir aşamasını korurken, IP adresi veya aktarılan veri hacmi gibi diğer meta veriler internet servis sağlayıcısı veya belirli aracı kuruluşlar tarafından görülebilir durumda kalabilir. Google, kullanıcının görünmez olacağını değil, web trafiğinde kritik bir noktada maruz kalma yüzeyinin azaltılacağını vaat ediyor.
ECH nedir ve Android 17'de nasıl çalışır?
ECH, TLS el sıkışması sırasında cihaz tarafından sunucuya gönderilen ilk mesaj olan 'Client Hello' mesajı üzerinde işlem yapar. Bu mesaj, şifrelenmiş bir oturum kurmak için gerekli olan alan adını (SNI) ve diğer parametreleri içerir. Geleneksel olarak, bu alan düz metin olarak gönderilirdi, bu nedenle bir gözlemci, HTTPS kilidi etkinleştirilmiş olsa bile kullanıcının hangi sayfayı ziyaret ettiğini belirleyebilirdi. ECH ile bu içerik şifrelenir ve yalnızca uyumlu bir sunucu tarafından okunabilir.
Android 17'deki entegrasyon, OkHttp, WebView veya HttpEngine gibi güncellenmiş ağ kütüphanelerini kullanan herhangi bir uygulamanın koruma altında olacağı anlamına geliyor . Ancak, bağlandığı sunucunun da ECH'yi desteklemesi gerekiyor; desteklemiyorsa, sistem ECH GREASE adı verilen bir mekanizma kullanıyor ve bu mekanizma, korumalı olduğunu belli etmemek için protokolü taklit ediyor, ancak sunucu adı yine de görünür kalıyor. Google, bu özelliği en popüler 10.000 alan adında ve 202 ülkedeki 740 internet sağlayıcısında test etti ve yükleme sorunları veya beklenmedik engellemeler tespit etmedi.
Bir diğer önemli unsur ise, teknoloji devinin blogunda açıkladığı gibi, bu özelliğin geliştiriciler tarafından uygulamalarında etkinleştirilmesi gerektiğidir. Sistemi güncellemek yeterli değildir: İlk şifrelemenin etkili bir şekilde uygulanabilmesi için her kullanıcının kullandığı yazılımda ECH uyumluluğunun aktif olması gerekir .
Yerel ağ güvenliği ve web sertifikaları
ECH'ye ek olarak, Android 17 ev ağı için bir savunma katmanı daha ekliyor. Uygulamalar artık açık izin olmadan aynı Wi-Fi ağındaki diğer cihazları tarayamayacak veya bunlara bağlanamayacak. Bu, kötü amaçlı yazılımların akıllı TV'ler, kameralar veya oyun konsolları gibi ev cihazları hakkında bilgi toplamalarını zorlaştırıyor. Google, TV'ye içerik göndermek gibi yaygın görevlerin ağdaki diğer cihazlar hakkında bilgi sahibi olmayı gerektirmemesi için mekanizmalar tasarladı.
Bu güncelleme ayrıca Sertifika Şeffaflığını (CT) varsayılan olarak etkinleştiriyor . Bu teknoloji, tüm dijital sertifikaların herkese açık bir deftere kaydedilmesini gerektirir. Bu, iletişimleri ele geçirmek için yaygın bir saldırı vektörü olan, ele geçirilmiş bir yetkili tarafından verilen sahte sertifikaları tespit etmeyi kolaylaştırır. CT'nin varsayılan olarak etkinleştirilmesiyle, sistem etkileşim kurulan web sitesinin gerçek web sitesi olduğuna olan güveni artırır.
2G'ye veda: 'SMS saldırganlarına' karşı bir önlem
2G ağlarına karşı koruma, bir diğer önemli yeni özelliktir. Saldırganlar, telefonları 4G/5G'den 2G'ye düşürmek için yüksek güçlü sinyaller yayan 'SMS blaster' olarak bilinen sahte baz istasyonları kullanıyor. Telefon 2G'ye düştükten sonra, şifreleme sınırlamalarından yararlanarak doğrudan cihaza kimlik avı mesajları gönderiyorlar. Android 12 zaten kullanıcıların 2G'yi manuel olarak devre dışı bırakmasına izin veriyordu, ancak yeni özellik operatörlerin bunu müşterileri için uzaktan devre dışı bırakmasına olanak tanıyarak kullanıcı müdahalesine olan ihtiyacı ortadan kaldırıyor.
Google bu hamleyle, hedefli saldırılarda yaygın hale gelen bir tekniği daha başlangıçta engellemeyi amaçlıyor. Ancak bu önlemin başarısı, telefon şirketlerinin kontrolü ele almasına ve her bölgede 5G veya LTE kapsama alanının yeterli olmasına bağlı olacaktır.
Android 17'deki iyileştirmeler, gizliliğin artık yalnızca içerik şifrelemesiyle sınırlı olmadığını, ilk bağlantıdan ağımızı paylaşan cihazlara kadar iletişimin her aşamasını kapsadığını gösteriyor. Dijital ayak izimizi silen sihirli bir değnek değil , aksine izlemeyi ve doğru profiller oluşturmayı zorlaştıran bir dizi engel. Ortalama kullanıcı için pratik avantaj önemli: Web servisleri ve operatörler bu önlemleri benimserse, hiçbir şey yapılandırmaya gerek kalmadan daha fazla koruma sağlanıyor.
Ancak Google, mutlak görünmezlik sözü vermedi. IP adresi, bağlantı süresi ve veri hacmi gibi meta veriler, sağlayıcının saklayabileceği veriler olmaya devam ediyor. ECH ayrıca platform gizlilik politikalarının yerini almıyor veya bir hizmetin kendi etki alanı içindeki etkinliğimizi kaydetmesini engellemiyor. Bu nedenle uzmanlar, bu yeni özellikleri VPN kullanmak ve uygulama izinlerini düzenli olarak gözden geçirmek gibi uygulamalarla birleştirmeyi öneriyor.
Özetle, Android 17, mobil iletişimi koruma konusunda gerçek bir ilerlemeyi temsil ediyor. ECH'nin gelişi, yerel ağ erişiminin kısıtlanması, Sertifika Şeffaflığının etkinleştirilmesi ve 2G'nin otomatik olarak engellenmesi, kullanıcıları gözetlemeyi çok daha zorlaştıran bir savunma çerçevesi oluşturuyor. Telefonu aşılmaz bir küp haline getirmiyor, ancak onu izlemek isteyen herkesin çok daha fazla çaba sarf etmesini gerektiriyor.
