Android 17, ziyaret ettiğiniz siteleri gizler, ancak bunu her uygulamada yapmaz

Google, Perşembe günü Android 17'deki dört ağ koruma özelliği hakkında bir yazı yayınladı. Bunların hiçbiri yeni değil. Dördü de Haziran ayında Android 17 ile birlikte piyasaya sürülmüştü ve Google bunları sıradan kullanıcılara ilk kez açıklıyor. Güncelleme ancak şimdi telefonlara yaygın olarak ulaşmaya başlıyor ve Motorola, 50'den fazla modelin bu güncellemeyi alacağını doğruladı. Ancak Google’ın kendi geliştirici belgelerini okuduğunuzda, bu koruma önlemlerinin herkese uygulanmadığı ortaya çıkıyor.

HTTPS üzerinden bile görünür kalanlar

HTTPS, bağlantının içeriğini şifreler. Hedef adı ise el sıkışma aşamasında, "Sunucu Adı Göstergesi" (Server Name Indication) adlı bir alanda şifrelenmemiş olarak iletilir. Trafiği izleyen herhangi biri, buradan bir profil oluşturabilir veya inandırıcı bir dolandırıcılık mesajı hazırlayabilir. Şifreli Client Hello (ECH), bu alanı şifreler. Gözlemcinin elinde kalan tek şey IP adresidir. Tek bir adresin arkasında yüzlerce site barındıran büyük bir sağlayıcıda bu, çok az bilgi verir. Kendi adresi olan küçük bir sunucuda ise yine de bilgi verir.

ECH yalnızca yeni geliştirilen uygulamalar için geçerlidir

Google’ın blog yazısı, konunun halledilmiş gibi görünmesini sağlıyor. Geliştirici belgeleri ise daha kesin. Belgelere göre, ECH, Android 17 ve API seviyesi 37’yi hedefleyen uygulamalar için etkinleştirilmiştir. Hâlâ Android 16 için geliştirilmiş bir uygulama, Android 17 telefonlarda hiçbir şifreleme almaz.

Uygulamanın ayrıca ECH'yi destekleyen bir ağ kütüphanesine ihtiyacı vardır. OkHttp 5.5.0 bu desteği içermektedir, ancak geliştiricilerin bunu bir seçenek olarak etkinleştirmesi gerekmektedir. Öte yandan, Google'ın geliştiricilere yönelik ECH sayfasında, OkHttp'deki desteğin henüz gelmediği belirtilmektedir. Android için ücretsiz VPN uygulamalarına yaptığımız incelemede de görüldüğü gibi, VPN de güvenilir bir alternatif değildir.

Şifreli DNS ya da hiçbiri

ECH, ana bilgisayar adını TLS el sıkışması içinde gizler. Aynı adres, telefonunuzun eşleşen IP'yi bulmak için kullandığı DNS aramasında hâlâ yer alır. Bu arama şifrelenmeden gerçekleştirilirse, sağlayıcınız bu adresi orada okur ve avantaj ortadan kalkar. Pixel telefonlarda bu ayar, Ayarlar, Ağ ve internet, Özel DNS altında bulunur. Samsung telefonlarda ise Bağlantılar, Diğer bağlantı ayarları, Özel DNS altında yer alır. Karşı tarafın da ECH'yi desteklemesi gerekir. Google, bunu halihazırda kaç sitenin desteklediğini belirtmiyor; yalnızca benimseme sürecini hızlandırmak için sektörle birlikte çalıştığını söylüyor.

Ev ağı ve sertifikalar: Aynı sorun

Şimdiye kadar herhangi bir uygulama, televizyondan güvenlik kamerasına kadar Wi-Fi ağınızdaki cihazları sessizce tarayabilirdi. Android 17, bunun için yeni bir izin gerektiriyor. Belgelere göre bu kural yine yalnızca Android 17’yi hedefleyen uygulamaları kapsıyor; dolayısıyla eski sürümler taramaya devam ediyor. Sahte sertifikaları ortaya çıkaran Sertifika Şeffaflığı da aynı mantığı izliyor. Yönlendiriciler hâlâ sıkça hedef alındığı için, her halükarda kendi ağınızı kontrol etmenizde fayda var.

2G hilesi ve bunu kim durdurabilir

Dördüncü madde, SMS bombardımanı yapan cihazları hedef alıyor. Bunlar, yakındaki telefonları LTE veya 5G ağından çıkıp eski 2G ağına geçmeye zorlayan taşınabilir baz istasyonlarıdır; 2G ağında spam filtreleri artık geçerli olmaz ve dolandırıcılık amaçlı mesajlar doğrudan ekrana düşer. Google, bu donanımın maliyetini yaklaşık 3.000 ABD doları olarak belirliyor. Toronto’da bu cihazlar araçlarla şehir içinde dolaştırılırken, Londra’da suçlular bunları valizler içinde metro istasyonlarında taşıyordu. Android 12’den beri 2G’yi devre dışı bırakma seçeneği mevcuttur. Yeni olan ise, operatörlerin artık müşterileri için 2G’yi kendileri kapatabilmesidir. Google, bunu yapan tek bir operatörün adını bile vermemektedir. Her halükarda, seçim size ait değildir.