Jack Wallen/ZDNET 关注ZDNET：将我们添加为Google上的首选来源。ZDNET的关键要点 ECH将帮助隐藏您在Android手机上访问的网站。通过阻止2G连接，您可以保护自己免受恶意短信轰炸机连接的侵扰。ECH仍在逐步推出，因此即使您的手机支持它，您的连接可能仍然不安全。根据Google的说法，Android 17提供了几种新的方法来保持连接的安全和私密。 周四，该公司宣布Android 17是第一个支持加密客户端问候（ECH）的移动操作系统，这是一项TLS隐私功能，可以隐藏目标域名。该版本还强制实施新的本地网络权限，默认启用证书透明度。新的Android版本还允许电信公司阻止手机经常连接恶意的2G接入点。但ECH是什么，这些保护措施又如何保障您的浏览安全？让我们来分析一下。 ECH填补了HTTPS元数据的空白 HTTPS长期以来加密了网络会话的内容，但并不隐藏您访问的网站主机名。这条信息在TLS ClientHello握手的服务器名称指示（SNI）字段中暴露了出来。这使得互联网服务提供商、Wi-Fi运营商、企业网络和未经授权的窥探者能够识别您访问的网站和服务，尽管他们无法读取连接的内容。 在Android 17中添加ECH支持，加密了开头TLS握手中的SNI。Google解释说：“通过从一开始就加密目标网站名称，ECH有助于确保，对于受支持的网站和应用，网络提供商和网络窥探者无法再轻易看到您正在访问的网站或应用，”特别是与Android的私有DNS特性配合使用时。同时：如何在Android上启用私有DNS模式 - 以及为什么这是安全的必需品 资格——“对受支持的网站和应用”——很重要。Android的开发者文档表示，默认情况下，Android 17（API级别37及更高版本）支持ECH，但应用程序需要具备ECH能力的网络库。开发人员可以通过Android的网络安全配置来配置保护，而网络库必须从DNS HTTPS记录中检索ECH配置数据，并在开始TLS握手之前进行设置。Google特别建议开发者升级到OkHttp 5.5.0并启用ECH。 当目标服务器不支持ECH时，Android的文档方法包括ECH GREASE。此机制使保护的连接更难被发现，同时在必要时允许传统的TLS连接。尽管如此，ECH并不是VPN，它并没有消除所有流量元数据。网络观察者仍然可以查看设备的目标IP地址、时机、流量量和相关的大型托管或内容交付网络。ECH也不隐藏DNS请求，这就是为什么它的隐私价值在很大程度上依赖于与加密DNS（例如私有DNS）配对。对于那些在桌面上使用的人来说，大多数网络浏览器早就支持ECH。然而，为了使ECH真正有效，它需要在网络连接的两侧都得到支持。具体来说，只有当源、反向代理或内容交付网络（CDN）配置了ECH公共密钥并使其配置可通过DNS HTTPS记录被发现时，ECH才会工作。如果任何环节缺失，您的手机或浏览器将回退到常规TLS握手。这意味着SNI将再次可见。 运营商获得了2G关闭开关 Android 17还扩展了一项反欺诈防护，该功能首次在Android 12中向用户提供：在无线硬件级别禁用2G。新的版本允许参与的移动运营商默认关闭2G以供用户使用。这样，您不再需要自己查找并启用该设置。同时：如何在Android 16上启用高级保护 - 以及为什么您不应跳过它 您可能会问：“我为何要麻烦？谁在使用2G网络？或者说，3G？”您看，虽然美国的三大电话公司都不再支持2G，但在我们边界之外并非如此。例如，英国和印度的大多数运营商仍然支持它，全球南方和大部分欧洲的许多国家也是如此。那么，为什么要阻止它？因为在许多方面，黑客和罪犯使用短信轰炸机或虚假移动基站。这些设备可以发出强信号，诱使附近的手机放弃LTE或5G并通过较旧的2G技术连接。一旦手机被强迫切换到2G，攻击者可以绕过最新的网络侧反垃圾邮件措施，直接将网络钓鱼文本发送到目标。 安全理由不仅仅依赖于合法运营商是否仍在运营2G网络。Android的开源项目文档警告说，即使其运营商已退役2G服务，手机仍可能继续扫描并连接到2G基站。这使它们容易受到通过短信轰炸机进行降级攻击的影响。禁用2G可以防止设备