Android 17 nasconde i siti visitati, ma non in tutte le app

Giovedì Google ha pubblicato un post riguardante quattro misure di protezione di rete presenti in Android 17. Nessuna di esse è nuova. Tutte e quattro erano già incluse in Android 17 sin da giugno, e questa è la prima volta che Google le spiega agli utenti comuni. L’aggiornamento sta raggiungendo solo ora un numero consistente di telefoni, e Motorola ha confermato che è disponibile per oltre 50 modelli. Leggendo però la documentazione per sviluppatori di Google, si scopre che tali protezioni non si applicano a tutti.

Cosa rimane visibile anche su HTTPS

Il protocollo HTTPS crittografa il contenuto di una connessione. Il nome della destinazione continua tuttavia a viaggiare in chiaro durante la fase di handshake, in un campo denominato Server Name Indication. Chiunque monitori il traffico può ricavarne un profilo o creare un messaggio fraudolento convincente. Il protocollo Encrypted Client Hello, o ECH, crittografa tale campo. A un osservatore rimane solo l’indirizzo IP. Nel caso di un grande provider con centinaia di siti collegati a un unico indirizzo, ciò rivela ben poco. Nel caso di un piccolo server con un indirizzo proprio, invece, le informazioni rivelate sono comunque significative.

L’ECH si applica solo alle app di nuova realizzazione

Il post sul blog di Google fa sembrare la questione risolta. La documentazione per gli sviluppatori è più precisa. Essa afferma che l’ECH è attivato per le app destinate ad Android 17 e al livello API 37. Un’app ancora sviluppata per Android 16 non beneficia di alcuna crittografia su un telefono con Android 17.

L’app necessita inoltre di una libreria di rete compatibile con ECH. OkHttp 5.5.0 include il supporto, sebbene gli sviluppatori debbano abilitarlo come opzione. La pagina di Google dedicata a ECH per gli sviluppatori, tuttavia, indica ancora che il supporto in OkHttp non è ancora disponibile. Neanche una VPN rappresenta un’alternativa affidabile, come ha dimostrato la nostra analisi delle app VPN gratuite per Android.

DNS crittografato o niente

ECH nasconde il nome host all’interno dell’handshake TLS. Lo stesso indirizzo rimane comunque presente nella ricerca DNS che il telefono utilizza per individuare l’IP corrispondente. Se tale ricerca venisse eseguita in chiaro, il Suo provider potrebbe leggerlo e il vantaggio verrebbe meno. Sui telefoni Pixel l’opzione si trova in Impostazioni, Rete e Internet, DNS privato. Sui telefoni Samsung si trova in Connessioni, Altre impostazioni di connessione, DNS privato. Anche l’altra estremità deve supportare ECH. Google non specifica quanti siti lo facciano già, ma afferma solo di stare collaborando con il settore per accelerarne l’adozione.

Rete domestica e certificati: lo stesso problema

Fino ad ora qualsiasi app poteva scansionare silenziosamente la rete Wi-Fi alla ricerca di dispositivi, dalla televisione alla telecamera di sicurezza. Android 17 richiede una nuova autorizzazione per tale operazione. Secondo la documentazione, tale autorizzazione riguarda ancora una volta solo le app destinate ad Android 17, pertanto quelle più datate continuano a eseguire la scansione. La «Certificate Transparency», che consente di individuare i certificati contraffatti, segue lo stesso schema. In ogni caso, vale la pena controllare la propria rete, poiché i router rimangono un bersaglio frequente.

Il trucco del 2G e chi può fermarlo

Il quarto punto riguarda i dispositivi di invio massiccio di SMS. Si tratta di stazioni radio base portatili che costringono i telefoni nelle vicinanze a disconnettersi dalle reti LTE o 5G per passare alla vecchia rete 2G, dove i filtri antispam non sono più efficaci e il messaggio fraudolento appare direttamente sul display. Google stima il costo dell’hardware a circa 3.000 dollari statunitensi. A Toronto i dispositivi venivano trasportati in giro per la città a bordo di veicoli, mentre a Londra i trasgressori li trasportavano nelle stazioni della metropolitana all’interno di valigie. Fin da Android 12 esiste un’opzione per disattivare il 2G. La novità è che ora gli operatori possono disattivare autonomamente il 2G per i propri clienti. Google non cita nemmeno un operatore che lo faccia. In ogni caso, la scelta non spetta a voi.