Présentation
Android 17, publié sous le niveau d’API 37, introduit deux protections réseau majeures : le support natif d’Encrypted Client Hello (ECH) et la désactivation du mode radio 2G au niveau matériel. Ces fonctions sont activées par défaut, sans action requise de l’utilisateur, et s’inscrivent dans le package de sécurité réseau qui inclut également une politique stricte d’accès au réseau local et la mise en œuvre obligatoire de Certificate Transparency.
Fonctionnement d’ECH
ECH chiffre le champ Server Name Indication (SNI) dès le premier ClientHello TLS, éliminant ainsi la visibilité du nom de domaine pour les opérateurs, les points d’accès Wi‑Fi ou les observateurs malveillants. La spécification Android exige que les applications utilisent une bibliothèque réseau compatible ; Google recommande explicitement OkHttp 5.5.0 ou une version supérieure. La configuration ECH est récupérée via les enregistrements DNS‑HTTPS, puis injectée avant le démarrage de la poignée de main TLS. Si le serveur ne propose pas ECH, Android applique le mécanisme GREASE, qui maintient l’apparence d’une connexion chiffrée tout en basculant vers un TLS standard, ce qui expose de nouveau le SNI.
Il faut souligner que ECH ne masque ni l’adresse IP de destination, ni le timing, ni le volume du trafic, ni les requêtes DNS non chiffrées. Sa valeur en termes de confidentialité dépend donc fortement d’une combinaison avec le Private DNS (DNS over TLS) ou d’autres solutions DNS chiffrées.
Désactivation du 2G et risques associés
Le « kill‑switch » 2G, introduit initialement dans Android 12, est désormais appliqué par défaut aux opérateurs qui optent pour la fonction. En désactivant le radio‑hardware 2G, le téléphone ne peut plus se connecter à des stations de base 2G, même si le réseau de l’opérateur a été retiré. Cette mesure empêche les attaques de downgrade où un faux transceiver 2G force le dispositif à abandonner LTE/5G, ouvrant la porte à des SMS‑blasters capables d’envoyer des messages de phishing sans passer par les filtres anti‑spam modernes.
Le compromis réside dans la couverture en itinérance : si l’appareil se trouve dans une zone où seules les cellules 2G sont disponibles, il restera sans service tant que l’utilisateur ne réactive manuellement le mode 2G. Android signale que le système ne peut pas détecter de façon fiable le roaming 2G, car le protocole ne propose aucune authentification mutuelle, ce qui explique la persistance de la vulnérabilité exploitée par les faux‑basiques.
Implications et limites
En plus d’ECH et du 2G kill‑switch, Android 17 impose une permission locale stricte qui empêche les applications de communiquer avec d’autres appareils sur le même réseau sans consentement explicite, et active Certificate Transparency, obligeant les autorités de certification à publier chaque certificat délivré. Ces couches supplémentaires renforcent la chaîne de confiance, mais leur efficacité dépend de l’adoption simultanée par les développeurs (mise à jour des bibliothèques) et les opérateurs (activation du blocage 2G). Tant que les serveurs CDN ou les proxys ne publient pas de clés publiques ECH accessibles via DNS‑HTTPS, les terminaux Android continueront de recourir à un SNI en clair, annulant partiellement le bénéfice attendu.
