Si eres usuario de Android, tu navegación por internet acaba de volverse un poco más privada.

El sistema operativo móvil Android 17 de Google ahora activa Encrypted Client Hello, un estándar de privacidad que oculta el destino de una solicitud web a la red que la transporta. Google detalló el despliegue en una publicación de seguridad el miércoles.

Una página se carga a través de HTTPS, por lo que sus contenidos están cifrados. El apretón de manos que abre la conexión todavía nombra el sitio en texto plano a través de un campo llamado Server Name Indication. Cada nodo entre un teléfono y un servidor puede leer ese campo y registrar a dónde va un dispositivo.

Encrypted Client Hello, o ECH para abreviar, sella el campo. El cliente cifra el nombre del sitio con una clave que el destino publica, y solo ese servidor puede descifrarlo. El resto de la ruta ve una etiqueta sin sentido, no el dominio. Se ejecuta sobre DNS privado, que ya oculta el paso separado que convierte un nombre en una dirección IP.

ECH protege el tráfico solo a los destinos que lo han adoptado. La publicación de Google limita la afirmación a "sitios web y aplicaciones compatibles", y la compañía está instando a los desarrolladores a actualizar a OkHttp 5.5.0 y habilitar la función. Hasta que la adopción se extienda, una solicitud a un sitio sin ECH aún muestra su dominio a la red.

La red aún ve la dirección IP del servidor de destino y el volumen de datos en movimiento. Un observador puede inferir la actividad a un nivel general incluso cuando el nombre está oculto. El cifrado es un bloqueo en la etiqueta, no en el hecho de que se haya producido una conexión.

La medida a nivel de red de Google llega mientras la privacidad a nivel de dispositivo de Android se somete a su propia prueba en los tribunales.

Samuel Tunick, un activista de Atlanta, se convirtió en el primer estadounidense conocido acusado bajo la ley federal por supuestamente usar una contraseña de coacción incorporada en GrapheneOS, una compilación endurecida de Android que borra el dispositivo cuando se ingresa el código. GrapheneOS afirmó que su software es "completamente legal" y constitucionalmente protegido a medida que avanza el caso. Una fiscalía relacionada ha enmarcado la disputa como una cuestión de quién controla los datos en un teléfono.

“Solo espero enviar el mensaje de que el gobierno no es dueño de nuestros datos”, dijo Samuel Tunick al New York Times en una entrevista publicada el viernes.

Android 17 también activa Certificate Transparency por defecto y requiere que las aplicaciones pidan permiso antes de escanear una red local.