Android 17'nin dört katmanlı güvenlik yaklaşımı
Android telefonunuzdan bir web sitesine bağlandığınızda, internet servis sağlayıcınız hangi siteyi ziyaret ettiğinizi görebilir. HTTPS şifreli bağlantıda bile. Çünkü TLS el sıkışması sırasında domain adı açık metinde gönderilir. Android 17, işletim sistemi genelinde Encrypted Client Hello (ECH) desteğini etkinleştirerek bu sorunu çözüyor ve mobil işletim sistemleri arasında bunu yapan ilk büyük platform oluyor.
Google, Android 17'de ECH'nin yanında üç ağ güvenliği katmanı daha ekliyor: uygulamaların yerel ağdaki cihazları taramadan önce izin istemesini gerektiren Local Network Protection, tüm TLS sertifikalarını genel bir kayıt defterine yazdıran Certificate Transparency, ve taşıyıcıların kullanıcı müdahalesi olmadan 2G ağlarını kapatmasına olanak veren bir seçenek. Dört katman birlikte, hem ağ gözlemcilerine hem de zararlı uygulamalara karşı savunma oluşturuyor.
ECH önceki sürümlerde Chrome 117 ve Firefox 118'de tarayıcı düzeyinde devredeydi. Android 17'de ise tüm sistem geneline yayılıyor ve işletim sisteminin sağladığı her ağ çağrısını kapsıyor. Bu, üçüncü taraf uygulamaların da ECH korumasından faydalandığı anlamına geliyor—tabii geliştiriciler OkHttp gibi güncel HTTP istemcileri kullandıkları sürece.
ECH nedir ve hangi sorunu çözüyor
Encrypted Client Hello, TLS 1.3 el sıkışması sırasında gönderilen Server Name Indication (SNI) alanını şifreleyen bir protokol uzantısıdır. Normalde, tarayıcınız veya uygulamanız bir siteye bağlanmak için sunucuya "example.com'a bağlanmak istiyorum" der. Bu istek düz metindir ve yoldaki herkes—ISP'niz, Wi-Fi sağlayıcınız, kurumsal ağ yöneticiniz—hangi siteyi ziyaret ettiğinizi görebilir.
ECH bu sorunu, SNI bilgisini yalnızca hedef sunucunun çözebileceği şekilde şifreleyerek ortadan kaldırıyor. ISP'niz bağlandığınız IP adresini görebilir ama hangi domain'e gittiğinizi bilemez. Cloudflare gibi CDN'ler binlerce siteyi aynı IP'de barındırdığı için, IP adresi bilerek bile hangi siteyi ziyaret ettiğinizi ayırt etmek imkansız hale geliyor.
Android 17'de ECH'nin yanında ECH GREASE de varsayılan olarak etkin geliyor. GREASE (Generate Random Extensions And Sustain Extensibility), ECH'yi desteklemeyen sitelerle kurulan bağlantılara sahte ECH uzantıları ekleyerek ağ gözlemcilerinin hangi sitelerin ECH kullanıp kullanmadığını ayırt edememesini sağlıyor. Böylece tüm bağlantılar aynı görünüyor ve trafik analizi zorlaşıyor.
ECH'nin gizlilik sınırları da var: IP adresini gizlemiyor. Paket boyutları, zamanlama desenleri ve bağlantı meta verileri hala analize açık. Ama ağ sağlayıcılarının ve kurumsal ağ yöneticilerinin ziyaret ettiğiniz site listesini doğrudan görmesini engelliyor. Bu, sansür altındaki ülkelerde ve gizlilik bilinciyle internet erişimi isteyen kullanıcılar için anlamlı bir adım.
Yerel ağ koruması: cihazlarınız istedikleriniz dışında taranmayacak
Android 17 ile gelen ikinci katman Local Network Protection, uygulamaların yerel ağınızdaki cihazları taramasını veya onlara bağlanmasını kısıtlıyor. Artık bir uygulama, yerel ağdaki yazıcınıza, akıllı ampulünüze veya NAS cihazınıza bağlanmak için kullanıcıdan izin istemek zorunda.
Bu, zararlı uygulamaların ağınızdaki cihazları taramasını ve güvenlik açıklarını sömürmesini önleyen bir savunma katmanı. Örneğin bir oyun uygulaması yerel ağınızda hangi cihazların olduğunu öğrenmek için sebep gösteremezse, izin istediğinde kullanıcı şüphelenir ve reddedebilir.
Koruma mutlak değil—izni alan bir uygulama zararlı davranabilir—ama izin modeli sayesinde kullanıcı şüpheli erişim isteklerini fark edebilir. Yazıcı uygulaması yerel ağ erişimi istediğinde mantıklı, rastgele bir fener uygulaması istediğinde değil.
2G kapatma ve SMS saldırılarından korunma
SMS blaster donanımının maliyeti 3.000 dolara kadar düşmüştür ve bu, suçluların sahte hücresel baz istasyonları kurarak SMS tabanlı kimlik avı saldırıları düzenlemesine imkan veriyor. 2G ağları şifreleme sunmadığı için, saldırganlar cihazları 2G'ye düşürerek (downgrade attack) modern spam filtreleri ve güvenlik önlemlerini atlayabiliyor.
Android 12, kullanıcıların 2G'yi manuel olarak kapatmasına izin verdi. Android 17'de ise taşıyıcılar, kullanıcı eylemi olmadan 2G'yi varsayılan olarak devre dışı bırakabilir. Bu, sıfır tıklamayla (zero-click) çalışan bir koruma yöntemi ve SMS blaster saldırılarını büyük ölçüde azaltıyor.
2G kapatma sadece SMS saldırılarını değil, IMSI catcher gibi dinleme cihazlarına karşı da koruma sağlıyor. Cihazınız 2G'ye düşemiyorsa, saldırgan sahte bir 2G baz istasyonu üzerinden sizi takip edemez veya aramalarınızı dinleyemez.
Türkiye'de 2G ağları hala bazı bölgelerde kapsama için kullanılıyor, özellikle kırsal alanlarda. Taşıyıcıların 2G'yi kapatmayı seçmesi, bu bölgelerde kapsama kaybına yol açabilir. Çoğu kent merkezinde 4G ve 5G yaygınlaştığı için, 2G kapatma güvenlik açısından net kazanç sağlıyor.
Certificate Transparency: sertifika sahteciliğine karşı zorunlu kayıt
Android 17'de varsayılan olarak etkin hale gelen Certificate Transparency (CT), tüm TLS sertifikalarının genel bir kayıt defterine kaydedilmesini zorunlu kılıyor. Bu, bir sertifika otoritesinin (CA) yanlışlıkla veya kötü niyetle sahte bir sertifika vermesi durumunda, bu sertifikanın herkese açık kayıtlarda görünmesini ve hızla tespit edilmesini sağlıyor.
CT, Man-in-the-Middle (MITM) saldırılarına karşı koruma katmanı ekliyor. Saldırgan sahte bir sertifika oluştursa bile, bu sertifika genel kayıt defterinde yer almadığı için Android 17 bağlantıyı reddediyor. Bu, özellikle kurumsal ağlarda veya havaalanı Wi-Fi'lerinde yapılan denetim saldırılarına karşı kullanıcıyı koruyor.
CT Android'de yeni değil, ancak Android 17'de varsayılan davranış. Eski cihazlarda CT opsiyoneldi ve geliştiriciler etkinleştirmek zorunda değildi. Artık tüm sistem genelinde mecburidir ve uygulamalar bu korumayı atlatamaz.
Üçüncü taraf geliştiriciler için ECH erişimi
Android 17'nin ECH desteğinin sistem geneline yayılması, kullanıcı tarafında otomatik çalışıyor ama geliştiricilerin bundan faydalanması için HTTP istemcilerini güncellemeleri gerekiyor. OkHttp açık kaynak HTTP istemcisi, ECH desteğini entegre etti ve bu, Android uygulama geliştiricilerin çoğu için ECH korumasına geçişi kolaylaştırıyor.
OkHttp, Square (şimdi Block) tarafından geliştirilen ve yaygın olarak kullanılan HTTP/HTTPS istemcisidir. Retrofit gibi popüler ağ kütüphaneleri OkHttp'yi altta kullanıyor, bu da geliştiricilerin sadece bağımlılık sürümlerini güncelleyerek ECH desteği kazanabileceği anlamına geliyor.
Tüm uygulamalar OkHttp kullanmıyor. Bazıları doğrudan HttpURLConnection veya özel ağ yığınları kullanıyor. Bu uygulamaların ECH korumasından faydalanması için geliştiricilerin manuel olarak destek eklemesi gerekecek. Google, Android 17 dokümantasyonunda ECH entegrasyonu için API ve rehber sağlıyor ama yayılma hızı geliştiricilerin güncelleme temposuna bağlı.
ECH'nin etkili olması için hem istemci hem de sunucu tarafının desteği gerekiyor. Cloudflare, Fastly gibi büyük CDN'ler ECH'yi zaten destekliyor, ancak küçük siteler henüz aktif hale getirmemiş olabilir. ECH'nin tam koruma sunması sunucular tarafında da etkinleştirilmesine bağlıdır.
Android 17 güvenlik güncellemeleri Türkiye'deki kullanıcıları nasıl etkiler
Türkiye'de internet servis sağlayıcıları ve mobil operatörler, yasalar gereği kullanıcı trafiğini belirli sürelerde kaydetmek ve gerektiğinde otoritelere sunmak zorunda. ECH, bu kayıtların hangi web sitelerini ziyaret ettiğinizi içermesini engelliyor—sadece IP adreslerini görebilirler.
Bu, siyasi veya hassas içerik tüketiminde gizlilik sağlıyor. ECH, IP adresini gizlemiyor, sadece domain adını şifreliyor. ISP'niz hangi IP'lere bağlandığınızı biliyor ama IP üzerinde hangi site olduğunu bilemiyorsa gizlilik artıyor. Özellikle CDN'lerde barındırılan siteler için etkili.
2G kapatma, Türkiye'de SMS tabanlı dolandırıcılık vakalarının azalmasına katkı sağlayabilir. Vodafone, Türk Telekom ve Turkcell'in 5G yatırımlarına odaklanması ve 2G kapsamını azaltma planları göz önüne alındığında, bu seçeneğin operatörler tarafından benimsenmesi muhtemel.
Local Network Protection, ev ve iş yerlerinde kullanılan Android cihazların yerel ağlara yönelik saldırıları azaltıyor. Türkiye'de akıllı ev cihazları ve IP kameralar yaygınlaştıkça, bu tür cihazların güvenlik açıklarını sömüren uygulamalara karşı koruma kritik hale geliyor.
Bu özelliklerin tamamı Android 17 güncellemesini alan cihazlarda çalışıyor. Türkiye'de Android cihaz sahipliği yaygın ama güncelleme desteği parçalı. Samsung ve Google Pixel gibi premium cihazlar Android 17'yi alacak, ancak bütçe segmentindeki modeller için güncelleme garantisi zayıf. Bu da korumanın yalnızca yeni veya üst segment cihazlarla sınırlı kalmasına yol açabiliyor.
Android 17'ye güncelledikten sonra yapılacaklar
Android 17'yi alan cihazlar private DNS etkinleştirerek ECH'nin tam etkisini elde edebilir. ECH'nin etkili olması DNS sorgularının da şifreli olmasını gerektiriyor. Cloudflare (1dot1dot1dot1.cloudflare-dns.com) veya Google (dns.google) üzerinden private DNS kurulum yapılabilir. Android 17'ye güncelleme alması beklenen cihazlar bu adımı atarak ECH ve DNS şifrelemesi ile sistem genelinde ağ gizliliğini artırabilir.
