Android 17 va enfin cacher tes sites pornos (et tout le reste) à ton opérateur
Le cadenas HTTPS protège le contenu de vos pages, mais pas le nom des sites que vous ouvrez. Votre opérateur, un voisin malveillant sur le Wi-Fi ou n’importe quel observateur du réseau pouvaient encore lire cette information en clair. Android 17 change la donne avec une série de protections réseau qui s’activent sans que vous ayez à bidouiller les réglages. Google a détaillé ces nouveautés le 27 août, confirmant qu’il s’agit du premier système mobile majeur à déployer largement le chiffrement du handshake TLS.
Le ClientHello ne crie plus le nom du site
Jusqu’ici, même une connexion HTTPS commençait par un message initial non chiffré, le fameux ClientHello. Ce handshake TLS contenait le Server Name Indication, autrement dit le nom de domaine visité. Android 17 intègre nativement Encrypted Client Hello (ECH), une extension TLS 1.3 qui chiffre cette métadonnée dès le premier échange. Seul le serveur de destination peut la déchiffrer. Combiné au DNS privé déjà présent sur Android, ECH masque à la fois la requête DNS et le nom du site. Google collabore avec Jigsaw pour accélérer l’adoption côté serveurs et applications. Les navigateurs de bureau comme Chrome et Firefox le proposent depuis 2023, mais c’est la première fois qu’un OS mobile l’active à l’échelle du système. Les applications ciblant l’API 37 et utilisant une bibliothèque compatible (OkHttp 5.5.0 ou HttpEngine) en profitent automatiquement. Pour les sites qui ne gèrent pas encore ECH, le mécanisme GREASE envoie de fausses extensions aléatoires afin que les connexions protégées ne se distinguent pas. Attention toutefois : ECH ne cache ni votre adresse IP ni les requêtes DNS si le DNS privé n’est pas activé, et il ne remplace pas un VPN. Il ne s’applique qu’aux destinations et apps qui le supportent.
Plus de scan sauvage sur le Wi-Fi maison et certificats sous surveillance
Quand vous vous connectez à votre box, les applications pouvaient auparavant balayer le réseau local sans permission pour découvrir téléviseurs, caméras ou consoles. Android 17 impose désormais la permission ACCESS_LOCAL_NETWORK. Les apps doivent demander votre accord avant de scanner ou de se connecter aux autres appareils. Pour le chromecast ou le partage d’écran, Google recommande d’utiliser les outils système sécurisés qui évitent cette autorisation globale. Parallèlement, la Certificate Transparency passe en mode par défaut. Tous les certificats TLS doivent être enregistrés dans des logs publics. Une autorité de certification compromise ne peut plus émettre un faux certificat en douce pour intercepter votre trafic : l’anomalie devient visible. Ces deux mesures ferment des portes que les trackers et les attaquants utilisaient pour profiler votre foyer ou usurper des identités de sites.
Les opérateurs peuvent maintenant tuer la 2G par défaut
Les SMS blasters, ces fausses antennes portables vendues autour de 3 000 dollars, forcent les téléphones à rétrograder vers la 2G pour injecter des SMS de phishing qui passent les filtres modernes. Android 12 avait déjà ajouté un interrupteur matériel pour désactiver la 2G, mais il fallait le chercher dans les réglages. Android 17 offre aux opérateurs une solution zéro-clic : ils peuvent couper la 2G par défaut pour leurs abonnés. Les appareils ne se connectent plus aux réseaux legacy sauf pour les appels d’urgence. Cette mesure s’attaque directement aux IMSI-catchers et aux attaques par rétrogradation qui exploitent l’absence d’authentification mutuelle en 2G. Google rappelle que ces dispositifs circulent déjà dans les rues et les transports en commun, provoquant parfois des millions de coupures réseau. Avec ces quatre protections combinées, Android 17 durcit sérieusement le socle réseau sans demander d’effort à l’utilisateur.
Ces évolutions ne rendent pas votre téléphone invisible, mais elles ferment enfin des fuites de métadonnées qui existaient depuis l’invention du HTTPS. Les développeurs doivent encore mettre à jour leurs stacks réseau, et les sites doivent activer ECH de leur côté. En attendant, le simple fait d’avoir un Android 17 à jour suffit déjà à rendre votre navigation beaucoup moins lisible pour les curieux du réseau. Un pas concret vers une vie privée qui ne se limite plus au cadenas vert.
