Si vous êtes un utilisateur Android, votre navigation internet vient de devenir un peu plus privée.

Le système d'exploitation mobile de Google, Android 17, active désormais Encrypted Client Hello, une norme de confidentialité qui masque la destination d'une requête web au réseau qui la transporte. Google a détaillé ce déploiement dans un billet de sécurité publié mercredi.

Une page se charge via HTTPS, donc son contenu est chiffré. La poignée de main qui ouvre la connexion nomme toujours le site en texte clair via un champ appelé Server Name Indication. Chaque nœud entre un téléphone et un serveur peut lire ce champ et enregistrer la destination d'un appareil.

Encrypted Client Hello, ou ECH en abrégé, scelle ce champ. Le client chiffre le nom du site avec une clé publiée par la destination, et seul ce serveur peut le déchiffrer. Le reste du chemin voit une étiquette dénuée de sens, pas le domaine. Cela fonctionne en complément du DNS privé, qui masque déjà l'étape distincte transformant un nom en adresse IP.

L'ECH protège le trafic uniquement vers les destinations qui l'ont adopté. Le billet de Google limite cette affirmation aux "sites web et applications pris en charge", et l'entreprise encourage les développeurs à passer à OkHttp 5.5.0 et à activer la fonctionnalité. Tant que l'adoption ne sera pas généralisée, une requête vers un site sans ECH montrera toujours son domaine au réseau.

Le réseau voit toujours l'adresse IP du serveur de destination et le volume de données en mouvement. Un observateur peut en déduire l'activité à un niveau grossier même lorsque le nom est masqué. Le chiffrement est un verrou sur l'étiquette, pas sur le fait qu'une connexion a eu lieu.

La mesure de Google au niveau du réseau intervient alors que la confidentialité au niveau de l'appareil d'Android est soumise à son propre test devant les tribunaux.

Samuel Tunick, un activiste d'Atlanta, est devenu le premier Américain connu à être inculpé en vertu de la loi fédérale pour avoir prétendument utilisé un mot de passe de contrainte intégré à GrapheneOS, une version renforcée d'Android qui efface l'appareil lorsque le code est saisi. GrapheneOS a déclaré que son logiciel est "totalement légal" et protégé par la constitution, alors que l'affaire progresse. Une poursuite connexe a présenté le litige comme une question de savoir qui contrôle les données sur un téléphone.

« J'espère juste faire passer le message que le gouvernement ne possède pas nos données », a déclaré Samuel Tunick au New York Times dans une interview publiée vendredi.

Android 17 active également la Transparence des certificats par défaut et exige des applications qu'elles demandent la permission avant de scanner un réseau local.