Android 17 a nová úroveň síťového soukromí: ECH, ochrana místní sítě a blokování podvodů přes 2G

Android 17, vydaný 16. června 2026 a zpočátku zpřístupněný pro většinu podporovaných zařízení Pixel, přináší několik změn v oblasti síťového zabezpečení, které ovlivňují mnohem více než jen vzhled nebo běžné používání smartphonu. Google se zaměřil na informace, které mohou být odhaleny při připojování telefonu k webovým stránkám, aplikacím, domácím Wi-Fi zařízením a mobilním sítím. Zvláštní význam mají tři změny: Encrypted Client Hello neboli ECH, které může skrýt doménu požadovanou během šifrovaného spojení; přísnější kontrola přístupu aplikací k zařízením v místní síti; a silnější ochrana proti útokům, které záměrně nutí telefony přejít na zranitelné připojení 2G. Žádné z těchto opatření nedělá telefon s Androidem zcela odolným proti sledování nebo podvodům, společně však uzavírají několik dlouhodobých bezpečnostních mezer, které dříve umožňovaly provozovatelům sítí, příliš zvědavým aplikacím nebo útočníkům používajícím falešná mobilní zařízení získávat více informací o aktivitě uživatele, než bylo nezbytné.

Encrypted Client Hello omezuje množství informací odhalených při připojení k webu

HTTPS již dnes šifruje informace přenášené mezi smartphonem a zabezpečeným webem, včetně hesel, zpráv a většiny obsahu stránky. Až donedávna však mohla část počáteční fáze připojení stále prozradit, ke které internetové doméně se telefon pokouší připojit. Problém souvisí s technologií Server Name Indication, běžně označovanou zkratkou SNI. Prohlížeč nebo aplikace tuto informaci používá proto, aby server hostující více webů poznal, který z nich má uživateli zobrazit. U tradičního připojení přes TLS mohl být tento název viditelný ještě před vytvořením plně šifrované relace, takže provozovatel Wi-Fi, poskytovatel internetu nebo někdo sledující síťový provoz mohl potenciálně zjistit navštěvovanou doménu, i když nemohl číst samotný obsah komunikace.

Android 17 přidává integrovanou podporu Encrypted Client Hello, která tuto slabinu omezuje. ECH šifruje citlivé informace už v úvodní fázi TLS připojení, včetně názvu serveru. Pozorovatel nacházející se mezi telefonem a cílovým serverem tak získává méně údajů, podle kterých by mohl přesně určit, kterou podporovanou webovou stránku nebo službu uživatel otevírá. To je důležité zejména v sítích, nad nimiž uživatel nemá kontrolu, například v hotelích, na letištích, v kavárnách nebo ve veřejných Wi-Fi sítích, kde komunikace prochází zařízením provozovaným jinou organizací. ECH může rovněž snížit množství informací o navštěvovaných stránkách viditelných poskytovateli internetového připojení.

Existuje však důležité omezení. Android 17 automaticky neskrývá každou doménu požadovanou každou aplikací. U aplikací cílených na Android 17, který odpovídá úrovni API 37, lze ECH využít tehdy, pokud jej podporuje síťová komponenta aplikace a zároveň je pro ECH nakonfigurován cílový server. Google mezi příklady kompatibilních technologií uvádí WebView, HttpEngine a odpovídající verze OkHttp. Pokud druhá strana spojení ECH nepodporuje, Android nemůže jednoduše zašifrovat údaje způsobem, který cílový server neumí zpracovat. ECH je proto významným zlepšením ochrany soukromí, jeho skutečný rozsah se však bude rozšiřovat postupně s tím, jak jej budou zavádět vývojáři aplikací a provozovatelé webových služeb.

Co ECH mění při běžném používání Androidu

Pro běžného uživatele Androidu je hlavní výhodou skutečnost, že ECH funguje převážně na pozadí. Není nutné aktivovat samostatný režim ochrany soukromí pokaždé, když se podporovaná aplikace připojuje k webu. Pokud všechny potřebné části spojení ECH podporují, proběhne ochrana informací jako součást standardní šifrované komunikace. To je důležité, protože bezpečnostní funkce jsou nejúčinnější tehdy, když jejich použití nezávisí na tom, zda uživatel při každém připojení mění nastavení nebo rozumí technickým detailům protokolu TLS.

ECH nelze zaměňovat za úplnou anonymitu. Síť stále může zjistit, že telefon přenáší data, a obvykle také vidí IP adresu, ke které se zařízení připojuje. V některých případech jednu IP adresu sdílí velké množství domén, takže je podle ní obtížnější určit přesný cíl komunikace, jindy však může stále poskytovat užitečné informace. Odpovídající ochranu vyžadují také DNS dotazy, protože nezašifrovaný požadavek DNS může doménu odhalit ještě předtím, než ji ECH dokáže skrýt. Funkce Private DNS v Androidu a další metody šifrovaného DNS proto zůstávají důležitým doplňkem ECH a nejsou touto technologií nahrazeny.

Praktickým výsledkem je omezení zbytečně odhalených informací, nikoliv úplné odstranění všech síťových identifikátorů. Tento rozdíl je důležitý při hodnocení ochrany soukromí v Androidu 17. Uživatel připojený k veřejné Wi-Fi mohl mít již dříve obsah HTTPS relace zašifrovaný, přesto však mohl během navazování spojení odhalovat název požadované domény. ECH tuto konkrétní slabinu dokáže odstranit tam, kde je podporováno. Nadále však platí, že je nutné instalovat aktualizace, vyhýbat se nedůvěryhodným certifikátům a udržovat prohlížeče i aplikace aktuální, protože ECH chrání pouze jednu část síťové komunikace a nikoliv všechny možné způsoby získávání informací.

Ochrana místní sítě podmiňuje přístup k domácím zařízením oprávněním

Domácí Wi-Fi síť může obsahovat mnohem více informací, než si uživatelé běžně uvědomují. Telefon často sdílí jednu místní síť s televizory, tiskárnami, reproduktory, multimediálními zařízeními, počítači, bezpečnostními kamerami a prvky chytré domácnosti. Aplikace schopná tuto síť prohledávat může potenciálně zjistit, jaká zařízení se v domácnosti nacházejí, a jejich kombinaci následně využít jako další údaj pro identifikaci konkrétní domácnosti. Před zavedením novějších omezení Androidu byl přístup k místní síti posuzován jinak než přístup k očividně citlivým údajům, jako je kamera nebo přesná poloha, přestože detailní přehled připojených zařízení může o uživateli také mnoho prozradit.

Android 17 tuto situaci mění u aplikací cílených na API 37 zavedením povinné ochrany místní sítě. Taková aplikace již nemůže bez omezení získávat přístup k zařízením v lokální síti pouze proto, že je chce vyhledávat nebo s nimi komunikovat. Android zavádí runtime oprávnění ACCESS_LOCAL_NETWORK pro aplikace, které skutečně potřebují rozsáhlý přístup do LAN. Toto oprávnění spadá do existující skupiny Nearby Devices. To ovlivňuje i způsob, jakým se žádost zobrazí uživateli: pokud již uživatel příslušné oprávnění ze skupiny Nearby Devices udělil, nemusí se mu nutně zobrazit další samostatné upozornění pouze proto, že aplikace začne používat nové oprávnění k místní síti.

Toto pravidlo navazuje na změny představené v Androidu 16, kde mohli vývojáři omezení místní sítě testovat a dobrovolně aktivovat předtím, než se stalo povinným pro aplikace cílené na Android 17. Účelem není bránit legitimní komunikaci telefonu s vybavením v domácnosti. Android se místo toho snaží rozlišovat mezi aplikacemi, které mají skutečný důvod vidět místní síť, a aplikacemi, jejichž hlavní funkce lze používat i bez širokého přístupu. Díky tomuto rozdělení je skryté prohledávání sítě obtížnější a systém získává jasnější možnost omezit aplikace, které nemají přesvědčivý důvod zjišťovat informace o okolních zařízeních.

Casting a chytrá zařízení bez zbytečného přístupu k celé síti

Řada legitimních funkcí Androidu závisí na komunikaci s okolními zařízeními. Video aplikace může potřebovat přenášet obsah do televizoru, aplikace pro chytrou domácnost může ovládat osvětlení nebo termostat a jiný nástroj může komunikovat s tiskárnou či síťovým úložištěm. Požadovat neomezený přístup k celé síti pro každou takovou činnost by samo o sobě vytvářelo další riziko pro soukromí. Android 17 proto podporuje systémem zprostředkované způsoby výběru zařízení, které umožňují aplikaci pracovat se zařízením zvoleným uživatelem, aniž by nejprve získala oprávnění prohlížet všechna ostatní zařízení ve stejné síti.

Dobrým příkladem je přenos videa do televizoru. Pokud chce uživatel odeslat obsah na konkrétní TV, podstatným rozhodnutím je výběr daného televizoru. Video aplikace nemusí nutně potřebovat trvalý seznam všech počítačů, kamer, reproduktorů a dalších zařízení dostupných v domácnosti. Systémový výběr může tento proces zprostředkovat a aplikaci poskytnout přístup pouze k vybranému zařízení. Aplikace, které skutečně potřebují širší a trvalejší komunikaci se zařízeními v místní síti, mohou požádat o oprávnění ACCESS_LOCAL_NETWORK a vysvětlit, proč je takový přístup nezbytný.

Pro uživatele tato změna znamená, že přístup k místní síti se stává oprávněním, kterému má smysl věnovat pozornost, nikoliv neviditelným důsledkem instalace aplikace. Taková žádost může být zcela oprávněná u aplikací pro správu chytré domácnosti, diagnostiku sítě nebo ovládání síťových zařízení, ale podstatně hůře se vysvětluje u aplikace, jejíž funkce nemají s okolním hardwarem nic společného. Android 17 nemůže za uživatele rozhodnout, zda je každý jednotlivý požadavek oprávněný, ale zavedení povinné hranice oprávnění omezuje automatický přístup a motivuje vývojáře k tomu, aby požadovali pouze ty síťové možnosti, které jejich aplikace skutečně potřebuje.

Android 17 posiluje ochranu proti SMS podvodům využívajícím 2G

Přestože se dnes běžně používají sítě 4G a 5G, podpora 2G zůstává bezpečnostním problémem, protože telefon schopný připojení ke starší technologii lze za určitých okolností přinutit opustit bezpečnější síť. Útočníci mohou používat falešné základnové stanice, někdy označované jako simulátory mobilních buněk nebo SMS blastery, které v blízkosti potenciálních obětí vysílají silný mobilní signál. Zranitelný telefon může být přesměrován z LTE nebo 5G na 2G, kde jsou bezpečnostní mechanismy starší a slabší. Útočníci následně mohou spojení zneužít k doručování podvodných SMS zpráv nebo k jiným formám odposlechu, které by v moderních mobilních sítích bylo výrazně obtížnější provést.

SMS blastery jsou nebezpečné zejména proto, že podvodné zprávy doručené prostřednictvím falešného mobilního zařízení mohou obejít některé bezpečnostní mechanismy používané legitimními mobilními operátory. Zpráva může napodobovat komunikaci banky, přepravní společnosti, státní služby nebo jiné známé organizace a následně uživatele přesměrovat na phishingovou stránku. Jde o lokální typ útoku: útočníci musí mít odpovídající rádiové zařízení v dosahu cílových telefonů. Google upozorňoval například na přenosná zařízení nebo vybavení instalované ve vozidlech a používané v rušných městských oblastech. To ukazuje, proč může být schopnost moderního smartphonu přejít zpět na 2G stále zajímavá pro útočníky i v zemích, kde mobilní operátoři běžný provoz 2G postupně omezují.

Android umožňuje na kompatibilních zařízeních vypnout 2G na úrovni mobilního rádia již od Androidu 12, čímž telefon přestane při běžném provozu vyhledávat a používat 2G sítě. Android 17 tuto ochranu rozšiřuje tím, že mobilním operátorům umožňuje nastavit ochranu proti 2G tak, aby bylo 2G pro jejich zákazníky ve výchozím nastavení vypnuté. Nejde o univerzální přepínač, který by Google automaticky aktivoval na každém telefonu s Androidem 17. Silnější výchozí ochrana závisí na podpoře mobilního operátora a konkrétního zařízení. Tam, kde je tato možnost využita, však přináší významnou bezpečnostní výhodu, protože telefon se zranitelnému připojení vyhne ještě předtím, než by SMS blaster mohl vynucený přechod na 2G zneužít.

Co by uživatelé měli vědět o ochraně před 2G sítěmi

Uživatelé by měli především rozlišovat mezi vypnutím 2G a běžným blokováním nevyžádaných zpráv. Vypnutí 2G odstraňuje jednu konkrétní cestu, kterou lze využít při určitém typu útoku na mobilní síť. Pokud telefon odmítá běžná 2G připojení, falešná základnová stanice nemůže jednoduše spoléhat na to, že zařízení přepne na 2G a následně využije slabin této starší technologie obvyklým způsobem. To je zvlášť užitečné v zemích, kde již byla legitimní 2G síť vypnuta nebo se její ukončení blíží, protože moderní telefon tam má jen malý praktický důvod zachovávat každodenní připojení přes 2G.

Existují však situace, kdy může být 2G stále užitečné. Některé oblasti se stále spoléhají na starší mobilní pokrytí a cestovatelé se mohou setkat s roamingovými sítěmi, kde není dostupné 4G nebo 5G. Dokumentace Androidu upozorňuje, že zařízení s vypnutým 2G může v takové situaci ztratit běžné mobilní připojení, dokud uživatel tuto možnost znovu nepovolí. Tísňová volání jsou řešena odlišně: Android uvádí, že vypnutí 2G z bezpečnostních důvodů nebrání tísňovým hovorům, protože zařízení může v případě potřeby 2G síť stále vyhledat a použít pro spojení s tísňovou službou. Díky tomu lze zvýšit ochranu při běžném používání, aniž by systém záměrně odstranil důležitou možnost nouzového spojení.

Podpora ECH v Androidu 17, povinná kontrola místní sítě u nově cílených aplikací a rozšířené možnosti operátorů pro vypínání 2G společně řeší tři odlišné způsoby úniku informací a síťového zneužití. ECH omezuje množství údajů o cílové doméně viditelných při podporovaném šifrovaném připojení, oprávnění pro místní síť omezuje skryté prohledávání zařízení připojených ke stejné Wi-Fi a silnější kontrola 2G komplikuje útoky založené na vynuceném přechodu na starší mobilní technologii tam, kde tuto funkci podporují operátoři i zařízení. Žádné z těchto opatření nenahrazuje aktualizace softwaru, rozumnou správu oprávnění ani opatrnost vůči neočekávaným zprávám. Jejich význam spočívá především v tom, že snižují rizika ještě předtím, než na ně musí uživatel aktivně reagovat, a zpřísňují části síťového chování Androidu, které byly dříve podstatně otevřenější.