Crittografia privacy Android 17: Google nasconde i siti visitati anche con HTTPS

Ecco gli ultimi aggiornamenti dai mercati delle attività digitali: Ogni volta che apriamo un sito o un’app dal telefono, qualcuno può sapere esattamente dove siamo andati, anche se la connessione è protetta da HTTPS. È un dettaglio che in pochi conoscono, ma che Google vuole finalmente risolvere: con l’arrivo della crittografia privacy Android 17, il nome del sito visitato smetterà di essere visibile a operatori di rete e osservatori esterni grazie a un nuovo standard chiamato Encrypted ClientHello. Punti chiave Google introdurrà il supporto a Encrypted ClientHello (ECH) in Android 17 per cifrare i nomi di dominio dei siti visitati.

Anche con HTTPS attivo, i nomi di dominio restano oggi visibili a chi controlla la rete, permettendo di costruire profili dettagliati degli utenti. ECH cifra il nome del sito usando una chiave segreta che solo la destinazione può decodificare. Jigsaw ha introdotto ECH GREASE, che invierà connessioni finte casuali ai siti non ancora compatibili, così tutte le richieste appaiono identiche.

Dinamiche di mercato

Da Android 17 in poi, ECH GREASE sarà attivo di default per proteggere gli utenti dal profiling basato sui metadati. Android 17 introduce Encrypted ClientHello per rafforzare la privacy Google ha confermato che Android 17 integrerà un nuovo standard di privacy pensato per nascondere i nomi di dominio e i metadati che oggi finiscono nelle mani di chi monitora il traffico di rete. Il meccanismo si chiama Encrypted ClientHello, e cambia il modo in cui il telefono comunica con i siti fin dal primo istante della connessione.

Come funziona la crittografia dei nomi di dominio Il principio è semplice: ECH cifra il nome del sito che stiamo per visitare usando una chiave segreta che solo il server di destinazione può decifrare. In pratica, nessuno lungo il percorso della connessione, dal provider internet a un eventuale malintenzionato in ascolto, può leggere quale indirizzo stiamo raggiungendo. È una differenza sostanziale rispetto a oggi, dove quell’informazione viaggia scoperta anche quando il resto del traffico è protetto.

I limiti di HTTPS che pochi conoscono Molti utenti pensano che un lucchetto verde o un indirizzo che inizia con “https” significhi essere completamente al sicuro. Il protocollo HTTPS cifra i dati scambiati tra browser e server tramite Transport Layer Security, un sistema efficace contro l’intercettazione dei contenuti. Ma non impedisce a un sito falso di distribuire malware o lanciare un attacco di phishing, e non nasconde il nome del dominio visitato.

Impatto sui mercati

“Quando visiti un sito o usi un’app, anche se la connessione è cifrata da HTTPS, i nomi di dominio dei siti che visitiamo restano visibili agli operatori di rete e a chi intercetta il traffico”, hanno scritto Bram Bonné, software engineer di Google, e Shuaibo Huang, product manager per Android, in un post pubblicato il 27 agosto. I due specificano che questi dati apparentemente innocui possono essere combinati per costruire profili molto dettagliati sugli utenti, e nelle mani sbagliate diventano materiale utile per campagne di phishing e truffe mirate. La collaborazione di Google per accelerare l’adozione di ECH Lo standard funziona solo se anche l’altra parte della connessione lo supporta: senza siti e app compatibili, la protezione resta parziale.

Google lo ammette senza girarci intorno, dichiarando di star “lavorando con leader del settore, fornitori di servizi e sviluppatori di app per accelerare l’adozione di ECH”. Il ruolo di siti web e app nel supporto allo standard La condizione è chiara: la promessa di privacy di Encrypted ClientHello si realizza soltanto se websites e applicazioni implementano lo standard dal loro lato. È un collo di bottiglia tipico delle tecnologie che richiedono adozione diffusa per funzionare davvero, e Google punta a colmare questo gap coinvolgendo direttamente l’industria.

ECH GREASE, la funzione che uniforma tutte le connessioni Per evitare che solo le connessioni protette da ECH risultino “diverse” e quindi identificabili, Jigsaw ha sviluppato una soluzione complementare chiamata ECH GREASE. Il sistema invia estensioni ECH finte e generate casualmente verso i siti che non supportano ancora lo standard, così che tutte le richieste di connessione appaiano identiche agli occhi di chi osserva il traffico dall’esterno. Attivazione di default in Android 17 La notizia più concreta per gli utenti riguarda proprio questa funzione: a partire da Android 17, ECH GREASE sarà attivato automaticamente, senza bisogno di configurazioni manuali.

I mercati delle criptovalute seguono da vicino questo sviluppo, mentre gli investitori valutano il potenziale impatto sui prezzi.