Apple est souvent citée pour la confidentialité, mais cette fois c’est Google qui lui grille la politesse ! Android 17 devient le premier OS mobile majeur à intégrer nativement Encrypted Client Hello (ECH). Explications sur ce standard (open source) qui masque vos sites aux FAI.
Si Apple aime s’imposer en champion incontesté de la vie privée, sur le terrain du chiffrement réseau à bas niveau, Google vient de lui griller la politesse. Dans une annonce officielle de Google, l’éditeur confirme qu’Android 17 devient le tout premier grand système d’exploitation mobile à intégrer nativement le standard Encrypted Client Hello (ECH). Une avancée qui comble l’une des failles historiques les plus tenaces de la navigation web.
💡 Open source : le standard ECH est-il réellement libre ?
Absolument. Normalisé sous la spécification officielle RFC 9849 pour chiffrer le SNI du protocole TLS 1.3, le standard Encrypted Client Hello (ECH) s’appuie intégralement sur les briques majeures de l’écosystème open source :
- Bibliothèques cryptographiques : support natif ou partagé dans OpenSSL, Rustls (en Rust), BoringSSL, NSS et wolfSSL.
- Serveurs et proxys web : intégration en production dans NGINX, HAProxy, Apache2, Lighttpd et Freenginx.
- Navigateurs et clients HTTP : implémentation native dans Mozilla Firefox, Chromium (Google Chrome) et l’utilitaire curl.
Comment ça marche ?
Même lorsque vous naviguez sur un site sécurisé en HTTPS (symbolisé par le petit cadenas), le nom de domaine que vous visitez reste transmis en clair dans l’en-tête de la poignée de main initiale (le paquet Client Hello via l’extension SNI). Les fournisseurs d’accès à Internet (FAI), les administrateurs de réseaux Wi-Fi publics et d’éventuels espions peuvent ainsi répertorier en temps réel l’ensemble de vos destinations numériques pour construire des profils d’utilisateurs ou mener des attaques ciblées.
Le protocole Encrypted Client Hello résout ce problème en chiffrant le nom du site de destination à l’aide d’une clé publique récupérée au préalable. Grâce à ce mécanisme, un FAI ne voit plus passer que l’adresse globale d’un réseau de distribution de contenu (comme Cloudflare) et le volume de données échangées, sans jamais pouvoir identifier la page ou l’application exacte consultée. Comme le souligne une étude sur la confidentialité menée par Jigsaw (l’incubateur technologique d’Alphabet), ECH ferme un trou de sécurité critique partagé par des milliards d’utilisateurs.
🦋 L’actualité de l’open source en français dans votre flux. Suivez Goodtech sur Bluesky (ou vos applications AT Protocol comme W Social et Mu) grâce à notre compte officiel. Suivez, partagez, abonnez-vous à @goodtech.info !
Déploiement, ECH GREASE et prérequis pour les développeurs
Pour être efficace, l’ECH nécessite que les deux extrémités de la chaîn, le client et le serveur, prennent en charge la norme. Afin d’éviter que les connexions chiffrées ne se distinguent anormalement des requêtes classiques aux yeux des observateurs réseau, Android 17 déploie par défaut la technologie ECH GREASE. Ce système injecte de fausses extensions chiffrées aléatoires lors des requêtes vers les sites non compatibles, rendant le trafic visuellement homogène.
Du côté de l’écosystème applicatif, les ingénieurs sont invités à adapter leurs piles réseau. Selon la documentation de compatibilité d’Android 17, l’activation d’ECH impose notamment une mise à niveau vers la bibliothèque OkHttp 5.5.0.
Attention toutefois aux fausses idées : ECH ne remplace ni un VPN (l’adresse IP de destination reste visible) ni le chiffrement des requêtes DNS. C’est en le combinant avec un DNS privé (DoH/DoT) que le masquage des métadonnées devient quasi hermétique.
Trois autres verrous de sécurité introduits dans Android 17
La prise en charge d’ECH ne constitue que l’un des quatre axes de renforcement réseau déployés par Google dans cette version :
- Blocage de la 2G par défaut : les opérateurs mobiles peuvent désormais couper les réseaux 2G hérités pour contrer les attaques par faux relais (SMS blasters) qui forcent les smartphones à rétrograder leur connexion.
- Protection du réseau local : les applications doivent impérativement demander une autorisation explicite avant de pouvoir scanner ou contacter d’autres équipements sur le réseau Wi-Fi local.
- Transparence des certificats : l’obligation de consigner tous les certificats TLS dans des registres publics consultables rend l’utilisation clandestine de certificats falsifiés quasiment impossible.
En devançant Apple sur le soutien natif d’ECH à l’échelle d’un système d’exploitation complet, Google marque un point décisif sur le terrain de la confidentialité réseau bas niveau. Une avancée qui devrait contraindre l’ensemble de l’industrie mobile à accélérer son adoption.
