Android 17 เปิดใช้ Encrypted Client Hello ทั้งระบบ ซ่อนชื่อเว็บที่เข้าจากผู้ให้บริการเครือข่าย

Google ประกาศให้ Android 17 รองรับ Encrypted Client Hello ในระดับระบบปฏิบัติการ ทำให้ชื่อโดเมนของเว็บและแอปที่ผู้ใช้เข้าถึงถูกเข้ารหัส ผู้ให้บริการเครือข่ายและผู้ดักฟังระหว่างทางจึงมองไม่เห็นว่าผู้ใช้เข้าเว็บใด

Google ประกาศว่า Android 17 จะรองรับ Encrypted Client Hello หรือ ECH ในระดับทั้งระบบปฏิบัติการ ซึ่งเป็นการขยายจากเดิมที่ความสามารถนี้อยู่เฉพาะในเบราว์เซอร์ โดย Chrome รองรับตั้งแต่เวอร์ชัน 117 และ Firefox ตั้งแต่เวอร์ชัน 118 การยกขึ้นมาอยู่ระดับระบบหมายความว่าแอปทุกตัวที่ใช้ไลบรารีเครือข่ายมาตรฐานได้รับการปกป้องไปด้วย ไม่ใช่แค่ตอนเปิดเว็บ

ปัญหาที่ ECH แก้คือช่องว่างสุดท้ายของการเชื่อมต่อแบบเข้ารหัส เดิมทีแม้เนื้อหาจะถูกเข้ารหัสด้วย TLS แต่ชื่อโดเมนปลายทางยังถูกส่งเป็นข้อความธรรมดาในขั้นตอนเริ่มต้นการเชื่อมต่อ ทำให้ผู้ให้บริการเครือข่ายหรือผู้ที่อยู่ระหว่างทางเห็นได้ว่าผู้ใช้กำลังติดต่อกับเว็บใด ซึ่งเป็นข้อมูลที่นำไปประกอบเป็นโปรไฟล์พฤติกรรมได้ ECH แก้ด้วยการเข้ารหัสส่วนนี้ด้วยกุญแจที่มีเพียงเซิร์ฟเวอร์ปลายทางเท่านั้นที่ถอดได้

รายละเอียดที่น่าสนใจคือกลไกที่เรียกว่า ECH GREASE ซึ่งเปิดใช้เป็นค่าเริ่มต้นใน Android 17 หลักการคือส่งส่วนขยายปลอมแบบสุ่มไปกับการเชื่อมต่อที่ปลายทางไม่รองรับ ECH ด้วย ทำให้คำขอเชื่อมต่อทุกครั้งดูเหมือนกันหมด ผู้สังเกตการณ์จึงแยกไม่ออกว่าการเชื่อมต่อไหนมีการป้องกันจริงและการเชื่อมต่อไหนไม่มี ซึ่งสำคัญมาก เพราะถ้าเห็นความต่างได้ ตัวการมีอยู่ของ ECH เองจะกลายเป็นสัญญาณให้เพ่งเล็ง

ข้อจำกัดที่ควรเข้าใจคือ ECH ทำงานได้ต่อเมื่อเซิร์ฟเวอร์ปลายทางรองรับด้วย จึงยังไม่ครอบคลุมทั้งอินเทอร์เน็ต และควรใช้คู่กับ Private DNS เพื่อไม่ให้ชื่อโดเมนรั่วผ่านการสอบถาม DNS แทน ส่วนนักพัฒนาที่ต้องการรองรับสามารถใช้ไลบรารี OkHttp ซึ่งเพิ่มการรองรับ ECH มาให้ในตัวแล้ว

สำหรับทีมพัฒนาและองค์กรในไทย ข่าวนี้มีสองด้านที่ควรเตรียม ด้านแรกคือฝั่งผู้ให้บริการ หากคุณดูแลเว็บหรือ API ควรตรวจสอบว่าผู้ให้บริการ CDN หรือคลาวด์ของคุณรองรับ ECH หรือยัง เพราะเป็นสิ่งที่เปิดใช้ได้จากฝั่งเซิร์ฟเวอร์และเพิ่มความเป็นส่วนตัวให้ผู้ใช้โดยไม่ต้องแก้แอป ด้านที่สองคือฝั่งองค์กรที่ใช้ระบบตรวจสอบทราฟฟิกภายใน ระบบที่พึ่งการอ่านชื่อโดเมนจากทราฟฟิกที่วิ่งผ่านจะเห็นข้อมูลน้อยลงเรื่อย ๆ ทีมความปลอดภัยจึงควรเริ่มย้ายไปใช้วิธีตรวจที่อุปกรณ์ปลายทางหรือที่ชั้น DNS แทน ก่อนที่การมองเห็นแบบเดิมจะหายไปทั้งหมด