O Android 17 oculta os sites que você visita, mas não em todos os aplicativos

O Google publicou uma postagem na quinta-feira sobre quatro proteções de rede no Android 17. Nenhuma delas é nova. Todas as quatro foram lançadas com o Android 17 em junho, e esta é a primeira vez que o Google as explica aos usuários comuns. A atualização só agora está chegando em grande número aos aparelhos, e a Motorola confirmou mais de 50 modelos compatíveis com ela. No entanto, ao ler a própria documentação para desenvolvedores do Google, verifica-se que as proteções não se aplicam a todos.

O que permanece visível mesmo por HTTPS

O HTTPS criptografa o conteúdo de uma conexão. O nome do destino ainda é transmitido em claro durante o handshake, em um campo chamado Server Name Indication. Qualquer pessoa que esteja monitorando o tráfego pode criar um perfil a partir disso ou elaborar uma mensagem fraudulenta convincente. O “Encrypted Client Hello”, ou ECH, criptografa esse campo. Tudo o que um observador retém é o endereço IP. Em um grande provedor com centenas de sites por trás de um único endereço, isso revela muito pouco. Em um servidor pequeno com endereço próprio, ainda assim revela.

O ECH se aplica apenas a aplicativos recém-desenvolvidos

A publicação no blog do Google faz com que a questão pareça resolvida. A documentação para desenvolvedores é mais precisa. Ela afirma que o ECH está ativado para aplicativos destinados ao Android 17 e ao nível de API 37. Um aplicativo ainda desenvolvido para o Android 16 não recebe criptografia alguma em um celular com Android 17.

O aplicativo também precisa de uma biblioteca de rede compatível com o ECH. O OkHttp 5.5.0 já vem com suporte, embora seja uma opção que os desenvolvedores precisem habilitar. Enquanto isso, a própria página do Google sobre o ECH para desenvolvedores ainda afirma que o suporte no OkHttp ainda não está disponível. Uma VPN também não é um substituto confiável, como demonstrou nossa análise de aplicativos de VPN gratuitos para Android.

DNS criptografado ou nada

O ECH oculta o nome do host dentro do handshake TLS. O mesmo endereço ainda consta na consulta de DNS que seu celular usa para encontrar o IP correspondente. Caso essa consulta seja realizada sem criptografia, seu provedor o lê ali e o benefício se perde. Nos smartphones Pixel, a opção fica em “Configurações”, “Rede e internet”, “DNS privado”. Nos smartphones Samsung, ela se encontra em “Conexões”, “Mais configurações de conexão”, “DNS privado”. O outro lado da conexão também precisa oferecer suporte ao ECH. O Google não informa quantos sites já oferecem esse suporte, apenas que está trabalhando com o setor para acelerar a adoção.

Rede doméstica e certificados: o mesmo problema

Até agora, qualquer aplicativo podia discretamente varrer sua rede Wi-Fi em busca de dispositivos, desde a televisão até a câmera de segurança. O Android 17 exige uma nova permissão para isso. De acordo com a documentação, isso se aplica novamente apenas a aplicativos destinados ao Android 17; portanto, os mais antigos continuam a fazer a varredura. A Transparência de Certificados, que destaca certificados falsificados, segue o mesmo padrão. De qualquer forma, vale a pena dar uma olhada na sua própria rede, pois os roteadores continuam sendo um alvo frequente.

O truque do 2G e quem pode impedi-lo

O quarto item visa os remetentes de spam por SMS. Trata-se de estações base portáteis que forçam os celulares próximos a sair das redes LTE ou 5G e entrar na antiga rede 2G, onde os filtros de spam não funcionam mais e a mensagem fraudulenta aparece diretamente na tela. O Google estima o custo do hardware em cerca de 3.000 dólares americanos. Em Toronto, os dispositivos foram transportados pela cidade em veículos; em Londres, os infratores os carregavam em malas pelas estações do metrô. Uma opção para desativar o 2G já existe desde o Android 12. A novidade é que as operadoras agora podem desativar o 2G para seus clientes por conta própria. O Google não cita nenhuma operadora que o faça. De qualquer forma, a escolha não é sua.