Android 17 skjuler nu, hvilke sider du besøger, for udbyderen

Android 17 slår Encrypted Client Hello (ECH) til på operativsystemniveau, og det betyder i praksis, at din internetudbyder ikke længere uden videre kan se, hvilke hjemmesider din telefon forbinder til. Funktionen er slået til som standard for apps, der er bygget til Android 17, og kræver ikke, at brugeren ændrer en indstilling. Det oplyser Google i sin egen udviklerdokumentation, og det blev bredt beskrevet af BleepingComputer den 27. august 2026.

ECH er ikke en ny opfindelse — Chrome og Firefox har understøttet standarden på desktop i flere år. Det nye i Android 17 er, at beskyttelsen flytter ned i selve platformen og gælder på tværs af apps, ikke kun i browseren.

Hvad din udbyder kunne se før

Det er værd at forstå, hvorfor problemet overhovedet eksisterer, for de fleste går ud fra, at HTTPS allerede løser det.

Når din telefon åbner en krypteret forbindelse til en hjemmeside, indledes det med et såkaldt TLS-håndtryk. Her sender klienten en besked, ClientHello, der blandt andet indeholder feltet SNI — Server Name Indication — som fortæller serveren, hvilket værtsnavn der ønskes. Feltet er nødvendigt, fordi én server ofte hoster mange forskellige sites på samme IP-adresse og skal vide, hvilket certifikat den skal svare med.

Problemet er, at SNI-feltet historisk er blevet sendt i klartekst. Selve indholdet af siden var krypteret, men navnet på den var det ikke. Enhver, der sad mellem telefonen og serveren — internetudbyderen, operatøren af det åbne wi-fi på caféen eller i lufthavnen, eller den, der driver hotelnetværket — kunne aflæse værtsnavnet direkte fra håndtrykket. Som BleepingComputer formulerer det, kan udbydere og wi-fi-operatører "stadig se destinationen, hvilket kan indsamles til kommerciel profilering".

ECH lukker det hul ved at kryptere selve ClientHello-beskeden, herunder SNI-feltet, med en offentlig nøgle, som serveren har offentliggjort på forhånd.

Hvad der er nyt i Android 17 — og hvad der ikke er

Her er det vigtigt at være præcis, fordi standarden har eksisteret et stykke tid. ECH har været understøttet i Chrome siden version 117 og i Firefox siden version 119, altså siden 2023. Android 17 er derfor ikke første gang, en dansk bruger kan surfe med krypteret SNI.

Det nye er placeringen: ECH ligger nu i selve operativsystemet og er slået til som standard. Google beskriver i sin dokumentation om Encrypted Client Hello, at understøttelsen gælder Android 17 (API-niveau 37) og nyere, og at ECH er aktiveret som standard for alle domæner, hvis det netværksbibliotek, appen bruger, understøtter det. Understøttelsen kommer i biblioteker som OkHttp og HttpEngine, og BleepingComputer nævner desuden WebView i de nyeste versioner.

Det betyder også, at dækningen ikke er total fra dag ét. En app, der bruger sin egen TLS-implementering eller et ældre netværksbibliotek, får ikke automatisk ECH. Udviklere kan desuden selv styre det via elementet domainEncryption i appens netværkssikkerhedskonfiguration — enten slå det fra for bestemte domæner eller kræve det.

For at det virker, skal telefonen kunne slå serverens ECH-nøgle op. Den ligger i en HTTPS-post i DNS, og derfor fungerer ECH bedst sammen med privat DNS. Det er også her, en vigtig skelnen ligger, som ofte bliver rodet sammen: DNS-over-TLS krypterer selve opslaget — altså spørgsmålet om, hvilken IP-adresse et domæne har. ECH krypterer håndtrykket — altså den efterfølgende forbindelse. Det er to forskellige lag, og de løser hver sit problem. Bruger du kun den ene, kan modparten stadig se den anden halvdel.

ECH GREASE: så du ikke skiller dig ud

En krypteringsfunktion, kun få bruger, kan i sig selv være et signal. Hvis kun en lille del af trafikken har ECH slået til, bliver netop den trafik interessant at kigge nærmere på — og let at blokere.

Derfor sender Android 17 såkaldt ECH GREASE til servere, der ikke understøtter ECH: et falsk felt, der ligner en ECH-udveksling, men ikke indeholder noget. Formålet er, at trafik med og uden ægte ECH ser ens ud udefra, så det ikke kan udpeges.

Google-enheden Jigsaw har ifølge BleepingComputer testet ECH GREASE mod de 10.000 mest besøgte domæner hen over 740 internetudbydere i 202 lande. Testen fandt hverken problemer med at indlæse sider eller uventede netværksblokeringer — et relevant resultat, fordi netop den slags mekanismer historisk har haft det med at brække forbindelser hos enkelte udbydere.

Hvad ECH ikke gør

Det er lige så vigtigt at holde forventningerne i ro. ECH skjuler værtsnavnet i håndtrykket. Det skjuler ikke, hvilken IP-adresse din telefon forbinder til, og det gør dig ikke anonym.

I praksis er det netop derfor, ECH virker: store dele af nettet ligger bag CDN'er og delt hosting, hvor den samme IP-adresse betjener tusindvis af forskellige sites. Når værtsnavnet er krypteret, siger IP-adressen alene ikke meget. Men ligger et site på sin egen dedikerede IP-adresse, kan destinationen stadig udledes.

Erfaringen fra andre privatlivsfunktioner er, at detaljerne afgør, om beskyttelsen holder i praksis. Apple er netop nu sagsøgt med påstand om, at iCloud Private Relay lækkede brugernes rigtige IP-adresse på trods af markedsføringen — en påmindelse om, at en funktion, der er slået til, ikke nødvendigvis dækker alle veje ud af enheden.

ECH er heller ikke den eneste privatlivsændring i Android 17. Ifølge BleepingComputer indeholder opdateringen også Local Network Protection, som kræver, at apps beder om tilladelse, før de scanner eller forbinder til enheder på det lokale netværk, Certificate Transparency slået til som standard, samt en valgfri automatisk deaktivering af 2G hos de mobiloperatører, der deltager.

Hvad betyder det for danskerne?

For den almindelige bruger er den mest konkrete gevinst på de netværk, du ikke selv kontrollerer: gratis wi-fi på caféer, hoteller, i lufthavne og i tog. Her har netværkets ejer hidtil kunnet se listen over værtsnavne, din telefon kontaktede — også selvom alt var krypteret. Det bliver markant sværere med ECH.

Over for din faste internetudbyder er billedet mere nuanceret. ECH fjerner én kilde til kommerciel profilering, men udbyderen ser stadig IP-adresser, trafikmængder og tidspunkter, og de tekniske oplysninger, teleselskaber er forpligtet til at behandle, ligger et andet sted end i TLS-håndtrykket.

I praksis kommer effekten gradvist. Den kræver, at du har en telefon på Android 17, at de apps, du bruger, er bygget til Android 17 og benytter et understøttet netværksbibliotek, og at de servere, du forbinder til, understøtter ECH. Der er altså ikke tale om en kontakt, der skifter noget over natten. Det samme mønster har vi set med Signals opdatering til flere enheder på samme konto, hvor udrulningen tog tid, før den nåede almindelige brugere.

Konklusion

Android 17 flytter ECH fra at være en browserfunktion, de færreste vidste eksisterede, til at være standardadfærd i operativsystemet. Det er den vigtigste forskel — ikke at teknologien er ny, men at den nu gælder bredt og uden brugerens indblanding.

Det, der er værd at holde øje med de kommende måneder, er dækningsgraden: hvor hurtigt OkHttp, HttpEngine og WebView får understøttelsen ud i praksis, hvor mange apps der målretter Android 17, og om enkelte udbydere begynder at behandle ECH-trafik anderledes. Fungerer det som i Jigsaws test, vil de fleste brugere aldrig opdage, at noget er ændret — hvilket er præcis meningen.