Discrètement, Android continue d'améliorer la confidentialité de ses utilisateurs grâce à l'outil Encrypted Client Hello, aussi appelé ECH. Cette évolution permet de mieux masquer le nom des sites auxquels les smartphones Android se connectent, même si elle ne transforme pas chaque appareil sous Android en VPN.
Les failles du HTTPS
En temps normal, le HTTPS protège déjà une grande partie de la navigation, en particulier le contenu échangé avec un site, les identifiants, et même la page précise consultée. De ce fait, l'opérateur ou fournisseur d'accès à internet ne doit pas pouvoir avoir accès à ce que vous faites. Malheureusement, une information reste souvent visible : le nom de domaine demandé. En effet, ce signal, appelé SNI (Server Name Indication), peut être vu par un opérateur, un administrateur de réseau Wi-Fi public ou encore un observateur placé sur ce même réseau.
Si l'information paraît succincte, elle peut permettre de dresser un profil : consultation de réseaux sociaux, d'un site bancaire, d'une plateforme vidéo ou encore d'un service de santé.
Android 17 chiffre le SNI
C'est la grande nouveauté d'Android 17, en matière de cybersécurité : le chiffrement du SNI. Ce dernier est rendu possible par la prise en charge de cette extension du protocole TLS, appelée ECH, qui protège l'accès au nom du domaine consulté. Cette extension fonctionne de paire avec le DNS privé pour mieux garantir la confidentialité en ligne.
Attention, cette protection n'est pas (encore) universelle. ECH dépend de plusieurs conditions comme l'utilisation d'une bibliothèque réseau compatible de la part de l'application et du serveur distant. Dans le cas contraire, Android ne peut pas forcément chiffrer de manière effective le nom de domaine.
Avez-vous encore besoin d'un VPN ?
ECH a pour lui de limiter certains intérêts historiques des VPN, comme empêcher l'opérateur de savoir facilement quels domaines vous consultez. Désormais, le trio HTTPS, DNS privé et ECS augmentent sensiblement la confidentialité de l'utilisateur sans faire transiter l'ensemble des données par un service tiers.
En revanche, ECH ne peut pas faire tout ce que fait un VPN. Voici ce qu'il ne fait pas :
- Ne masque pas votre véritable adresse IP vis-à-vis du site visité,
- Ne vous attribue pas une IP française ou étrangère différente,
- Ne fait pas transiter votre connexion par un serveur VPN,
- Ne permet pas de changer virtuellement de localisation.
En résumé, le VPN permet toujours de franchir un cap supplémentaire en termes de confidentialité, mais est moins indispensable pour les utilisateurs d'Android 17. La nouvelle version du système d'exploitation ne transforme pas un smartphone en VPN, mais il intègre désormais une véritable protection de la vie privée, qu'on associait souvent aux meilleurs VPN jusqu'à présent.
Kevin Champeau
Rédacteur expert en sécurité
