Android-waarskuwing oor netwerkmonitering: lees die vertrouensverandering

Drie kennisgewings lyk op ’n selfoon eenders, maar net een gaan oor ’n sertifikaat. ’n VPN-statusreël, ’n waarskuwing oor die vertrouensbergplek en ’n banier vir ’n bestuurde toestel wys elkeen na ’n ander beheer, en die toep op die skerm besit dalk nie een daarvan nie. Lees eers die presiese bewoording, dan vee jy nie die verkeerde ding uit nie. Werk deur die vyf kontroles hieronder in volgorde en stop by die eerste wat misluk, want die regte optrede verander by elke stap heeltemal.

Stap 0: bepaal watter kennisgewing jy sien

Die bewoording is belangriker as die ikoon. ’n VPN-status beteken dat ’n toep ’n aktiewe VpnService hou. ’n sertifikaatwaarskuwing beteken iets is in ’n vertrouensbergplek geïnstalleer. ’n kennisgewing oor ’n bestuurde toestel beteken ’n administrateur het beleid toegepas, en daardie beleid het dalk vertroue saam geïnstalleer.

As die teks letterlik sê dat die netwerk gemonitor kan word, is die sender die stelsel en nie die VPN-verskaffer nie: Android druk daardie reël elke keer wanneer ’n toep ’n aktiewe VpnService hou, so ’n gewone kommersiële kliënt veroorsaak dit sonder om enigiets in die vertrouensbergplek te plaas. Twee van die drie kennisgewings kan gelyk geldig wees, en daarom noem die klagte gewoonlik die verkeerde een. As die sin sê dat ’n CA geïnstalleer is, is die VPN hoogstens ’n verdagte, en as jy dit verwyder, kan die waarskuwing presies bly waar dit was.

Stap 1: vind die geloofsbrief en sy bergplek

Op Android 9 tot 12 is die pad Instellings, Sekuriteit, Enkripsie en geloofsbriewe, Vertroude geloofsbriewe; Android 13 en later skuif dieselfde skerm na Sekuriteit en privaatheid en dan Meer sekuriteitsinstellings, en OEM-velle hernoem die vlakke weer, so soek in die instellingsprogram na Vertroude geloofsbriewe wanneer die pad nie pas nie. Die gebruiker-oortjie hou magte wat deur ’n persoon of ’n toep geïnstalleer is, en die stelsel-oortjie hou wat saam met die bou daarvan gekom het. ’n mag wat deur bestuur ingestoot is, verskyn deur toestelbeleid of binne ’n werkprofiel, nie as ’n gewone tik in die gebruikersbergplek nie.

Teken die uitreiker, die geldigheidsdatums en wie dit geïnstalleer het aan. As die inskrywing glad nie in die gebruikersbergplek is nie, stop hier, want dit is ’n stelsel- of bestuurde item en dit is nie joune om van ’n instellingsskerm te verwyder nie. Deur die verkeerde ry daar te verwyder, verloor ’n selfoon Wi-Fi of ’n werkinskrywing terwyl die vertrouensvraag onbeantwoord bly.

Stap 2: skei ’n VPN-profiel se CA van die selfoon se vertroue

’n OpenVPN-profiel, of enige kliënt wat sy bediener oor TLS verifieer, kan ’n CA dra wat net daardie kliënt gebruik om sy eie bediener te verifieer. ’n WireGuard-profiel dra glad geen CA nie: dit steun op publieke sleutelpare, so ’n mag in Android se vertrouensbergplek kon nooit uit ’n WireGuard-konfigurasie kom nie. Daardie profiel-plaaslike sertifikaat bereik geen ander toepassing nie, en om dit na die stelsel se vertrouensbergplek te kopieer is ’n aparte handeling met ’n aparte impak. Om die twee apart te hou is die hele punt van hierdie stap, want net die tweede verander wat ander toeps aanvaar.

’n VPN-profiel met ’n CA is dus nie bewys van onderskepping nie, en ’n VPN-toep is nie die eienaar van ’n vertrouensinskrywing wat hy nooit geskep het nie. Die toets is goedkoop: stop die VPN en lees die kennisgewing weer. As die sertifikaatwaarskuwing steeds daar is, het die VPN dit nie daar gesit nie en die toep te verwyder sal dit nie verwyder nie.

Stap 3: onderskei ’n bediener-mag van ’n kliënt-identiteit

’n Kliënt-identiteitsertifikaat en sy private sleutel verifieer hierdie toestel by ’n bediener. ’n CA word vertrou om bedieners by toepassings te verifieer. Hulle word saam gestoor en lyk eenders in ’n lys, maar hulle doen heeltemal verskillende werk.

Om ’n kliënt-identiteit te verwyder kan Wi-Fi- of VPN-verifikasie breek terwyl dit niks aan HTTPS-vertroue doen nie, en om ’n CA te verwyder raak elke toep wat daardie mag aanvaar. Besluit watter van die twee jy sien voordat jy aan enigiets raak, want die antwoord noem die eienaar en die herstelpad.

Stap 4: vra watter toeps dit werklik vertrou

Android se Netwerksekuriteitskonfigurasie stel die toepassingsgrens. Toeps wat op API 24 of later teiken, vertrou by verstek stelselmagte, terwyl toeps wat op API 23 of vroeër teiken, ook by verstek deur gebruikers bygevoegde magte vertrou, en ’n toep kan sy eie ankers noem, reëls per domein byvoeg of heeltemal van die verstekke onttrek.

Dus is geïnstalleer op die selfoon nie ’n beskrywing van elke toep se HTTPS-vertroue nie: ’n deur die gebruiker bygevoegde mag kan deur ’n ouer toep geëer word, deur ’n huidige een geïgnoreer word en deur ’n toep met sy eie ankers uitdruklik vertrou word. As die mag vir werks-Wi-Fi, ’n private webdiens of ’n goedgekeurde inspeksie-opset geïnstalleer is, is die nuttige vraag watter toepassings en profiele daarvan afhanklik is. Die Network Security Configuration guide is die verwysing vir hoe ver ’n geïnstalleerde mag op ’n gegewe toep reik, en dit is die deel wat die meeste opsommings van hierdie waarskuwing uitlaat.

Stap 5: besluit, teken dan die eienaar en die uitgang aan

As die mag verwag word, dokumenteer wie dit geïnstalleer het, watter verbindings op hom staatmaak en hoe hy uit diens onttrek sal word. Om ’n mag te vertrou is ’n betekenisvolle besluit, selfs wanneer daar vandag geen onderskepping is nie, want die vertroue is wat onderskepping later moontlik maak.

As dit onverwags is, ondersoek dit deur die eienaar van die toestel of diens voordat jy sensitiewe data op daardie selfoon invoer. As dit verouderd is, verwyder daardie spesifieke item deur wie dit ook al geïnstalleer het, nadat jy nagegaan het wat daarvan afhanklik is, en begin nooit deur alle geloofsbriewe skoon te maak nie. Om die waarskuwing te verberg verander die vertoning en niks anders nie. ’n private sleutel of ’n volledige profiel moet nooit na ’n openbare sertifikaatkontrole-diems opgelaai word om die vraag te besleg nie.

Voordat jy die skerm verlaat, wil jy drie antwoorde hê: wie het dit geïnstalleer, watter verbindings maak daarop staat, en hoe word dit uit diens onttrek.