In questo articolo Indice dei contenuti 3 sezioni
Sul fronte della sicurezza di Android 17 Google ha scoperto altre carte, e non si tratta di ritocchi marginali. Dopo le protezioni già annunciate contro le minacce esterne, il pacchetto si allarga a due terreni piuttosto delicati, cioè la gestione del traffico di rete e la tutela dei dati mentre si naviga. Roba tecnica, sì, ma con effetti concreti su quello che succede ogni volta che uno smartphone si collega al Wi Fi di casa o apre una pagina web.
Il primo intervento riguarda le applicazioni e la rete locale. Fino a oggi un’app poteva guardarsi intorno con una certa libertà, andando a sondare la rete domestica per capire quali dispositivi fossero collegati. Con Android 17 questa possibilità viene limitata, proprio per impedire quelle attività di probing che permettono di costruire una sorta di impronta digitale dell’ambiente domestico, individuare apparecchi connessi oppure scovare componenti hardware con qualche falla aperta.
Certificati verificati e stretta sugli SMS Blaster
Sempre in tema di connessioni, arriva come impostazione predefinita Certificate Transparency. In parole semplici, serve a controllare che il telefono stia usando i certificati SSL giusti quando dialoga con un determinato server, riducendo il rischio di finire su qualcosa che finge di essere legittimo senza esserlo.
Poi c’è il capitolo delle antenne cellulari fasulle. I dispositivi noti come stingray riescono a imitare le torri telefoniche vere e a raccogliere informazioni utili per identificare e localizzare uno smartphone. Android aveva già alzato barriere contro questo genere di trucchi, e adesso la protezione si estende agli attacchi SMS Blaster, quelli che usano antenne contraffatte per far arrivare messaggi spam o potenzialmente pericolosi.
Il dettaglio interessante sta nell’attivazione. Gli operatori telefonici potranno accendere queste difese direttamente sulla rete, senza che chi possiede il telefono debba mettere mano alle impostazioni o fare qualsiasi altra operazione.
Con ECH il nome del sito visitato resta nascosto
La novità più pesante sul lato privacy è però il supporto a Encrypted Client Hello, abbreviato in ECH. La crittografia protegge già buona parte di ciò che viaggia durante la navigazione, ma per anni è rimasto scoperto un anello debole, cioè il DNS, il sistema che traduce il nome di un server nel suo indirizzo IP.
Funziona così, semplificando parecchio. Prima di avviare qualsiasi comunicazione il dispositivo deve fare una richiesta DNS per scoprire dove si trova il server che vuole raggiungere. Storicamente quella richiesta poteva viaggiare in chiaro, il che significa che chiunque stesse osservando il traffico di rete poteva leggere il nome del sito che l’utente stava per aprire. Tecnologie come DNS over TLS avevano già smussato il problema, ma ECH va oltre perché cifra i nomi dei server durante il trasferimento.
C’è anche una risposta al fatto che non tutti i siti supporteranno ECH da subito. Quando il protocollo non è disponibile, Android 17 può spedire dati casuali privi di significato, in modo che chi guarda la connessione non riesca comunque a ricavare indicazioni su dove l’utente stia cercando di andare.
Una spinta per far crescere il protocollo
Secondo Google, Android 17 è la prima grande piattaforma mobile a supportare ECH su larga scala. L’idea di fondo è costruire una base molto ampia di utenti già equipaggiati con la tecnologia necessaria, perché senza quella massa critica il protocollo rischia di restare un esercizio teorico.
Il ragionamento prosegue sul lato opposto della connessione. Più il protocollo si diffonde tra i dispositivi, più gli amministratori dei server hanno un motivo per abilitarne il supporto sui propri sistemi. E quando ECH è implementato correttamente da entrambe le parti, il risultato atteso è una tutela più solida delle informazioni sulla navigazione e, in generale, un’esperienza online meno esposta a occhi indiscreti.
