Android VPN və tətbiq icazələri: xəbərdarlıq nə deməkdir

Android-də iki pəncərə daim bir-birinə qarışdırılır: VPN razılıq pəncərəsi və tətbiqin sizin məlumatlarınız üçün istədiyi icazələr. Birincisi şəbəkədə bir mövqe verir, yəni paketlərin oxuna və yenidən yazıla bildiyi nöqtəni. İkincisi Android-in tətbiq-tətbiq qoruduğu saxlanmış məzmunu verir. Onları bir şey kimi qəbul etmək ya tunelin nə görə biləcəyini şişirdir, ya da qərarlı bir tətbiqin bundan sonra nə istəyəcəyini çox aşağı qiymətləndirir.

Razılıq pəncərəsi əslində nə verir

VpnService tətbiq edən və BIND_VPN_SERVICE elan edən tətbiq sistemdən cihazın VPN-i olmağı xahiş edir. Təsdiqdən sonra framework tun interfeysi yaradır və tətbiqə onun üçün fayl deskriptoru verir. Tətbiqin sonrakı bütün işi həmin deskriptordan keçir: o, IP paketlərini ora oxuyur, onlarla nə edəcəyinə qərar verir və paketləri yenidən ora yazır.

Həmin interfeysin əhatəsi aydın şəkildə müəyyən edilib. Marşrutlar hansı ünvanların tutulacağını, addAllowedApplication və ya addDisallowedApplication isə hansı tətbiqlərin ora qidalandığını müəyyən edir. İki tətbiqi siyahıya alan hər tətbiq üçün VPN cihazın qalan hissəsini görmür.

Bu, paket səviyyəsində verilən icazədir, məlumat səviyyəsində deyil. Xidmət tətbiqin şəbəkə yığınına verdiyi və ünvana yönəldilmiş baytları görür. O, göndərən tətbiqin şəxsi yaddaşına, verilənlər bazası fayllarına və ya deşifrə edilmiş yaddaşına çıxış əldə etmir. Tətbiqin öz sandbox-u altında saxladığı fayllar əvvəlki kimi oxunmaz olaraq qalır.

Paket görünüşünün bitdiyi yer

TLS tunelin içində də öz işini görür, çünki əl sıxma tətbiqlə VPN arasında deyil, tətbiqlə server arasında baş verir. VPN sessiya açarları olmadan deşifrə edə bilmədiyi şifrə mətnini ötürür. Buna görə də tunel təkbaşına HTTPS səhifəsinin və ya qorunan poçt sessiyasının məzmununu açmır.

Şifrə mətninin ətrafındakı metadatanın hekayəsi başqadır və ən inamlı iddiaların çoxu elə burada dağılır. Təyinat IP-si, port, paket ölçüləri və vaxtlama hamısı görünür, üstəgəl TLS ClientHello daxilindəki server adı, hansı ki adətən TLS 1.3 altında belə açıq şəkildə göndərilir. Encrypted Client Hello bunu dəyişir, lakin universal deyil. Adi DNS isə sorğular şifrələnmədən çıxdıqda adları eyni asanlıqla sızdırır.

Köhnə və ya səhv konfiqurasiya edilmiş protokollar daha çoxunu verir. Adi HTTP, TLS-siz IMAP və bir sıra oyun və IoT protokolları yüklərini tun deskriptoruna sahib olan hər şeyə açır.

Heç vaxt onunla gəlməyən icazələr

VPN-i təsdiqləmək kontaktları, SMS-i, fotoşəkilləri və ya media anbarını təsdiqləmir. Bunlar ayrı-ayrı işləmə vaxtı icazələridir, hər birinin öz pəncərəsi və tətbiq parametrləri səhifəsində öz ləğv yolu var. Zəng jurnalınızı istəyən VPN müştərisi də hər hansı digər tətbiq kimi onu istəməlidir və siz tuneli saxlayaraq imtina edə bilərsiniz.

Sertifikat quraşdırılması diqqət yetirilməli olan məqamdır, çünki VPN quraşdırmasının bir hissəsi kimi görünür, əslində isə deyil. Kimlik məlumatları anbarına istifadəçi CA-sının quraşdırılması Android-in hansı sertifikatları qəbul edəcəyini dəyişir və Android 7.0-dan bəri API 24 və ya daha yenisini hədəfləyən tətbiq, şəbəkə təhlükəsizliyi konfiqurasiyası istifadəçi etimad ankeri ilə qoşulmayıbsa, istifadəçinin əlavə etdiyi CA-ları nəzərə almır. CA-da israrlı olan müştəri bəlkə qanuni korporativ müdaxilə edir, bəlkə də VPN pəncərəsinin heç xatırlatmadığı bir şey istəyir.

Əlçatanlıq girişi daha da kənarda dayanır. Əlçatanlıq aktivləşdirilmiş xidmət digər tətbiqlərin ekran məzmununu oxuya bilir, bunu isə heç bir paket səviyyəli mövqe vermir.

Yerli filtr və ya uzaq şlüz

Eyni API fərqli etimad səviyyələrinə layiq iki məhsulu əhatə edir. Cihazdakı firewall və ya reklam bloklayıcısı tun deskriptorunu götürür və trafiki yerli olaraq cavablandırır, heç vaxt onu özünün idarə etdiyi serverə göndərmir. Həqiqi tunel isə həmin paketləri başqa yerdəki şlüzə ötürür və o operator digər tərəfdən eyni metadatanı görür, həm də nəyin geri qayıdacağına qərar verir.

Onları ayırd etməyin praktik yolu VPN açıq və bağlı ikən ictimai ünvanınızı yoxlamaq və bildirişin uzaq son nöqtə adlandırıb-adlandırmadığına baxmaqdır. Ünvan heç vaxt dəyişmirsə, trafik çox güman ki cihazın daxilində geri dönür.

Hər iki hal yenə paket mövqeyidir. Fərq çıxışda kimin də durmasındadır.

Təsdiqlədiyinizi audit edin

Parametrləri, sonra Şəbəkə və internet, sonra VPN-i açın və status panelindəki işarəyə deyil, girişin özünə baxın. Always-on VPN və VPN olmadan bağlantıları blokla cihaz parametrləridir ki interfeysi canlı saxlayır və sızmaları kəsir; onlar heç nəyi genişləndirmir. Eyni ekrandan profili unuda və icazəni ləğv edə bilərsiniz.

Sonra digər icazələri gəzin. Tətbiq məlumatı müştərinin hansı işləmə vaxtı icazələrinə sahib olduğunu, Təhlükəsizlik parametrləri isə həmin anda istifadəçi sertifikatının quraşdırılıb-quraşdırılmadığını göstərir. Hər ikisi ayrılıqda silinə bilər.

Cavablandırmağa dəyər sual dardır: hansı paketlər bu xidmətə daxil olur, hara gedir və tətbiq nə saxlayır. Pəncərədəki qalan hər şey sadəcə səs-küydür. VpnService sənədi interfeysin nəyi açdığının səlahiyyətli siyahısıdır.