Pierwszą z nich jest Encrypted Client Hello, czyli technologia ukrywająca przed dostawcami internetu i potencjalnymi podsłuchującymi informacje o domenach odwiedzanych przez użytkownika. Nawet przy połączeniach HTTPS metadane dotyczące nazwy strony pozostawały dotąd widoczne, co umożliwiało profilowanie użytkowników lub przygotowywanie ukierunkowanych ataków phishingowych. Android 17 jako pierwszy duży mobilny system operacyjny wdraża szeroką obsługę ECH, a Google współpracuje z branżą, by przyspieszyć adopcję tego standardu.

Drugą nowością jest Local Network Protection, czyli mechanizm, który po raz pierwszy wymaga od aplikacji uzyskania zgody użytkownika na skanowanie urządzeń w sieci lokalnej. Dotychczas aplikacje mogły bez pytania sprawdzać, jakie sprzęty znajdują się w domowej sieci Wi‑Fi, co mogło prowadzić do tworzenia profili gospodarstwa domowego. Android 17 ogranicza ten dostęp, a Google zachęca twórców do korzystania z bezpiecznych narzędzi systemowych, które pozwalają np. wybrać telewizor do castowania bez ujawniania listy wszystkich urządzeń w sieci.

Trzecia funkcja to domyślne włączenie Certificate Transparency. Dzięki temu każdy certyfikat używany do weryfikacji połączeń musi być zapisany w publicznym rejestrze. Jeśli wystawca certyfikatów zostałby skompromitowany, próba podszycia się pod stronę internetową stałaby się znacznie łatwiejsza do wykrycia. To kolejny krok w kierunku utrudnienia ataków polegających na przechwytywaniu ruchu sieciowego.

Ostatnia nowość dotyczy zagrożeń związanych z fałszywymi stacjami bazowymi, które wymuszają przełączenie telefonu na przestarzałą i podatną na ataki sieć 2G. Urządzenia tego typu, kosztujące zaledwie kilka tysięcy dolarów, są wykorzystywane w zatłoczonych miejscach do wysyłania niebezpiecznych wiadomości SMS, omijających współczesne filtry antyspamowe.

Android 12 pozwalał użytkownikowi ręcznie wyłączyć obsługę 2G, natomiast Android 17 idzie krok dalej, umożliwiając operatorom automatyczne blokowanie 2G dla swoich klientów. To rozwiązanie eliminuje lukę bezpieczeństwa bez konieczności jakiejkolwiek interwencji użytkownika.

Źródło: Google