כשאתם נכנסים לאתר בנק, ההצפנה מסתירה כל מה שנשלח בתוכו: הסיסמה, היתרה, ההעברות. את השם של האתר עצמו היא לא מסתירה. הוא יוצא בגלוי בשנייה הראשונה של החיבור, וכל מי שנמצא באמצע, ספק האינטרנט או מפעיל הרשת האלחוטית בבית הקפה, יכול לרשום לעצמו לאן נכנסתם ומתי. ביום חמישי הודיעה גוגל שאנדרויד 17 סוגר את הפרט הזה.

מה קרה

כל חיבור מאובטח מתחיל בלחיצת יד בין המכשיר לשרת, ובה המכשיר מודיע לאיזה שם דומיין הוא רוצה להתחבר. ההודעה הזאת נשלחת לפני שההצפנה נכנסת לפעולה, ולכן היא קריאה לכל אורך הדרך. השדה הזה נקרא SNI, והוא הסיבה שרשימת האתרים שביקרתם בהם גלויה לרשת גם כשהתוכן שלהם אינו. הפתרון שגוגל הטמיעה מצפין גם את החלק הזה של לחיצת היד, ולטכנולוגיה קוראים Encrypted Client Hello, בקיצור ECH.

החידוש הוא לא ה-ECH עצמו, שכרום ופיירפוקס תומכים בו כבר כמה שנים, אלא המקום שבו הוא יושב: באנדרויד 17 ההגנה עובדת ברמת מערכת ההפעלה, כך שגם אפליקציות רגילות מקבלות אותה ולא רק הדפדפן. לפי גוגל היא פועלת כברירת מחדל באפליקציות שנבנו לאנדרויד 17 ומשתמשות בספריות רשת מעודכנות כמו OkHttp, WebView או HttpEngine. יש כאן תנאי אחד: גם השרת בצד השני צריך לתמוך. מול שרת שלא תומך, אנדרויד שולח בכל זאת שדה שנראה כמו ECH ואינו אמיתי, מנגנון שנקרא GREASE, כדי שהחיבורים המוצפנים באמת לא יבלטו כחריגים ברשת. Jigsaw, יחידת הפרטיות של גוגל, בדקה את המנגנון מול 10,000 האתרים הפופולריים ומול 740 ספקי אינטרנט ב-202 מדינות, ולפי הדיווח לא נמצאו אתרים שנשברו או חסימות בלתי צפויות.

למה זה חשוב לכם

רשימת האתרים שאדם נכנס אליהם היא מידע שקל למכור ועוד יותר קל לנצל, גם בלי לדעת מה נכתב בהם. היא מספרת באיזה בנק אתם, לאיזה קופת חולים, לאילו אתרי היכרויות או קבוצות תמיכה. ECH מצמצם את מי שרואה אותה, אבל הוא לא הופך אתכם לאנונימיים: כתובת ה-IP שאליה התחברתם עדיין גלויה, ובוודאי שהאתר עצמו יודע בדיוק מי נכנס אליו. זו שכבה אחת שנסגרת, לא מעטה היעלמות.

מה עושים?

עדכנו את הטלפון לאנדרויד 17 כשהעדכון מגיע למכשיר שלכם: הגדרות, מערכת, עדכון תוכנה. יצרנים משחררים אותו בקצב שונה, ובמכשירים ישנים הוא עשוי לא להגיע כלל.

הפעילו DNS פרטי בהגדרות (רשת ואינטרנט, DNS פרטי). בלעדיו, שם האתר ממשיך לדלוף בשלב שבו הטלפון שואל לאיזו כתובת להתחבר, וההצפנה של לחיצת היד לא עוזרת.

וודאו שהדפדפן מעודכן. בכרום ובפיירפוקס ההגנה קיימת ממילא, וגרסה ישנה מוותרת עליה.

אל תוותרו על VPN אם השתמשתם בו מסיבה טובה. ECH מסתיר את שם האתר מהרשת, לא את מיקומכם ולא את זהותכם מול השירות שאליו נכנסתם.

הצפנת הגלישה מעולם לא הסתירה לאן הלכתם, רק מה עשיתם שם. הפער הזה מתחיל סוף סוף להיסגר.