Android 17: sicurezza contro gli intercettatori

C’è un momento in cui accendi il WiFi in stazione, al bar, in aeroporto, senza pensarci due volte. Il telefono si connette, il badge appare, sei online. Quello che non vedi è la conversazione che avviene sullo stesso canale: qualcuno potrebbe stare ascoltando, registrando, falsificando identità. Non è paranoia. È una minaccia reale che Google affronta da anni. Con Android 17, arriva il momento di chiudere veramente il buco.

Encrypted Client Hello – la stretta di mano blindata

Quando uno smartphone si connette a Internet, deve presentarsi. È come varcare una porta: il server dall’altra parte dice chi sei?, il client risponde con i suoi dati. In questo scambio tradizionale, finora, il server poteva curiosare prima ancora che il client dicesse di sì. Leggeva metadati, dominii, certificati. Encrypted Client Hello cambia le regole. È il vostro smartphone che decide cosa condividere e quando. La crittografia arriva prima, non dopo.

Tecnicamente, ECH cifra la parte iniziale del protocollo TLS – quello che rende sicuri i vostri dati. Significa che anche chi sta sniffing il vostro traffico WiFi non riesce a capire a quale sito vi state collegando, quale server state contattando, neppure quali estensioni di sicurezza state usando. Per gli spioni di rete, è come se steste parlando in una lingua che non conoscono, da prima ancora di aprire bocca.

Perché dovrebbe importarvi? Perché le app che usate, dai social alle banche, diventano invisibili anche su reti pubbliche compromesse. Il WiFi dell’aeroporto, della pizzeria, della biblioteca: protezione garantita. Non è solo privacy astratta. È quello che manca oggi: spesso il vostro browser sa che siete connessi a una banca, ma il gestore della rete no. Ora neppure lui lo saprà.

Il kill switch per la rete 2G – disabilitare il passato

Poi c’è la questione di cui nessuno parla abbastanza: il 2G. Quella vecchia rete di trent’anni fa, teoricamente obsoleta, ma ancora attiva su molte infrastrutture. Molti operatori non l’hanno disattivata del tutto. Rimane lì, come una porta sul retro lasciata accidentalmente aperta. Un hacker può forzare il vostro telefono a downgrade, a retrocedere verso quel 2G, dove la crittografia è debole e gli SMS possono essere intercettati, modificati, falsificati. È una tattica vera, sperimentata, chiamata protocol downgrade attack.

Android 17 aggiunge un interruttore: disabilitare il 2G completamente. Non degradare, non negoziare, non provare a connettersi. Punto. Basta. Rimane 4G e 5G. Il prezzo in termini di compatibilità è minimo; il guadagno in sicurezza è enorme, specialmente per chi usa lo smartphone come banca, come accesso al lavoro, come porta alle identificazioni digitali.

Ecco cosa cambia concretamente:

• I vostri SMS rimangono riservati. Niente più interposizioni, finto-SMS di banche fasulle, codici OTP rubati dai gestori di rete.
• Le app di pagamento, pur su reti pubbliche, non scendono a compromessi di sicurezza per compatibilità all’indietro.
• I siti che visitate, sulle reti non affidabili, rimangono nascosti anche dai metadati, non solo dai contenuti.
• La vostra posizione, che il 2G tradisce facilmente per tracking, diventa più difficile da determinare.

Non è un miracolo. È ingegneria di sicurezza seria. Riducete l’attacco superficie, riducete il vettore di compromissione. Che è esattamente quello che serve nel 2026, quando gli attacchi sono professionali, finanziati, ben orchestrati.

Dove va tutto questo? Tra sei mesi, vedrete i primi device Android 17 nelle mani dei consumatori. I produttori di hardware inizieranno a seguire. I provider di rete inizieranno a protestare – perché 2G significa compatibilità storica, è vero, ma significa anche rischio, e la lotta tra usabilità e sicurezza non finisce mai. Nei prossimi dodici mesi, altri costruttori di sistemi operativi seguiranno l’esempio di Google. Non perché altruisti, ma perché i regolatori iniziano a chiedere garanzie di crittografia di base. La sicurezza non è più una feature di lusso. È infrastruttura critica. Chi rimane indietro, rischia.

Domande frequenti

Articolo originale su: ZDNet