Android 17 incorpora una capa adicional de privacidad para las conexiones de las aplicaciones: Encrypted Client Hello (ECH). La tecnología cifra el nombre del dominio al que una app intenta conectarse durante el inicio de una sesión TLS, el protocolo que protege buena parte del tráfico web.
Hasta ahora, aunque el contenido de una conexión estuviera cifrado, un operador de red u otro observador podía obtener una pista relevante a través del SNI, siglas de Server Name Indication. Ese campo indica al servidor qué dominio se quiere abrir antes de que se establezca la conexión cifrada. Con ECH, Android dificulta que ese dato permita identificar el dominio concreto.
La novedad no implica que una operadora deje de poder observar por completo toda la actividad web ni que todas las aplicaciones de un móvil con Android 17 la adopten de inmediato. Google documenta que ECH se empleará en las conexiones TLS de las apps dirigidas a API 37 o superior, pero solo si la biblioteca de red de la aplicación cuenta con soporte y el servidor remoto también es compatible.
Una función para desarrolladores, con efecto en la privacidad de las apps
Android 17 añade el elemento domainEncryption a la configuración de seguridad de red. Con él, los desarrolladores podrán elegir ECH para todas las conexiones de su aplicación o únicamente para determinados dominios. La integración depende, por tanto, de decisiones de desarrollo y de la infraestructura del servicio al que se conecta la app.
Cuando ECH no pueda negociarse, Android enviará una extensión ECH con contenido aleatorio mediante ECH GREASE.
Google indica que ECH funciona junto con DNS privado para ocultar mejor los nombres de dominio. El DNS traduce nombres como el de una web a direcciones de red; si la consulta DNS viaja sin protección, puede revelar el dominio aunque el saludo TLS oculte el SNI. Usar ambas medidas reduce las vías por las que un observador puede asociar una conexión con un nombre de dominio, aunque persisten límites técnicos y de compatibilidad.
Su alcance real dependerá de cuántos desarrolladores actualicen sus bibliotecas de red y de qué servicios habiliten ECH en sus servidores.
