Avec Android 17, votre FAI aura plus de mal à savoir quels sites vous consultez

Android 17 renforce la confidentialité des connexions réseau en étendant la prise en charge d’ECH. Une évolution qui doit rendre plus difficile l’identification des sites et services contactés depuis un smartphone.

HTTPS chiffre déjà le contenu des échanges, mais ne masque pas toujours le nom du site ou du service contacté au début d’une connexion. Avec Android 17, Google cherche à réduire cette fuite de métadonnées en intégrant Encrypted Client Hello, ou ECH, directement à la plateforme. Déjà prise en charge par plusieurs navigateurs, cette extension de TLS pourra désormais profiter plus largement aux applications compatibles et compliquer le profilage effectué par les FAI, les administrateurs de réseaux Wi-Fi ou d’autres intermédiaires présents sur le réseau.

Android 17 cache mieux les domaines contactés

Lorsqu’un appareil établit une connexion HTTPS, il commence par négocier avec le serveur auquel il se connecte les paramètres nécessaires au chiffrement.

Cette première étape, appelée Client Hello, peut notamment contenir le nom du domaine recherché via le SNI (Server Name Indication), une extension de TLS qui permet au serveur de savoir vers quel site diriger la connexion lorsque plusieurs domaines partagent la même adresse IP. Le contenu des échanges reste donc inaccessible, mais un fournisseur d’accès à Internet ou l’administrateur d’un réseau Wi-Fi peut encore identifier le site ou le service contacté.

C’est donc cette information qu’ECH se donne pour mission de protéger. Cette autre extension de TLS chiffre les informations sensibles du Client Hello afin de masquer le nom du domaine transmis via le SNI. Associée à un DNS chiffré, elle réduit ainsi fortement les métadonnées accessibles aux intermédiaires présents sur le réseau. La protection n’est toutefois pas synonyme d’anonymat : l’adresse IP du serveur, la durée de la connexion ou encore le volume de données échangées sont toujours visibles.

Sur mobile, ECH dépendait jusqu’ici des applications utilisées, comme Chrome ou Firefox, qui le prennent en charge depuis un moment déjà. Une limite qu’Android 17 lève désormais en partie en l’intégrant directement au niveau du système.

Disponible depuis le 16 juin 2026, Android 17 permet ainsi aux applications conçues pour cette version de bénéficier d’ECH lorsqu’elles utilisent une bibliothèque réseau compatible, comme OkHttp, WebView ou HttpEngine, à condition que le serveur distant prenne lui aussi ECH en charge. Son adoption restera donc progressive, au rythme des mises à jour des applications et des serveurs.

À défaut de prise en charge côté serveur, Android enverra un faux champ ECH, baptisé ECH GREASE, non pas pour masquer le nom du domaine, mais pour éviter que les connexions réellement protégées par ECH puissent facilement être distinguées des autres par les équipements réseau.

Réseau local, certificats, 2G… Android 17 durcit le ton

Google profite de cette évolution pour renforcer d’autres aspects de la sécurité réseau sur son OS mobile. Les applications devront notamment réclamer une autorisation avant de rechercher ou de contacter les appareils présents sur le réseau local (NAS, imprimante, téléviseur connecté, etc.).

Android active également Certificate Transparency par défaut, afin que les certificats TLS frauduleux ou émis à tort puissent être plus facilement détectés.

Enfin, les opérateurs mobiles participants pourront désormais désactiver la 2G par défaut pour leurs abonnés, norme aujourd’hui obsolète et particulièrement vulnérable à plusieurs types d’attaques. La mesure vise ainsi à limiter l’exposition aux SMS blasters, de fausses antennes-relais capables de forcer les smartphones alentour à repasser sur le réseau 2G afin de leur envoyer des SMS malveillants.