Папярэджанне Android пра маніторынг сеткі: чытайце змену даверу

Тры паведамленні на тэлефоне выглядаюць аднолькава, але толькі адно з іх датычыцца сертыфіката. Радок стану VPN, папярэджанне сховішча даверу і банер кіраванай прылады называюць розныя элементы кіравання, і праграма на экране можа не валодаць ні адным з іх. Спачатку прачытайце дакладную фармулёўку, і вы не выдаліце не тое. Прайдзіце пяць праверак ніжэй па чарзе і спыніцеся на першай няўдачы, бо правільнае дзеянне на кожным кроку цалкам змяняецца.

Крок 0: вызначыце, якое паведамленне вы бачыце

Фармулёўка важнейшая за значок. Паведамленне пра стан VPN азначае, што праграма трымае актыўны VpnService. Папярэджанне пра сертыфікат азначае, што нешта ўсталявана ў сховішчы даверу. Паведамленне пра кіраваную прыладу азначае, што адміністратар прымяніў палітыку, і гэтая палітыка магла ўсталяваць давер разам з сабой.

Калі тэкст літаральна кажа, што сетка можа праслухоўвацца, адпраўнік — сістэма, а не пастаўшчык VPN: Android друкуе гэты радок кожны раз, калі праграма трымае актыўны VpnService, таму звычайны камерцыйны кліент стварае яго, не змяшчаючы нічога ў сховішча даверу. Два з трох паведамленняў могуць быць праўдзівымі адначасова, таму скарга звычайна называе не тое. Калі сказ кажа, што CA ўсталяваны, VPN у лепшым выпадку падазроны, і выдаленне праграмы можа пакінуць папярэджанне на месцы.

Крок 1: знойдзіце ўліковыя даныя і іх сховішча

У Android 9 да 12 шлях такі: Налады, Бяспека, Шыфраванне і ўліковыя даныя, Давераныя ўліковыя даныя; Android 13 і познія пераносяць гэты экран у Бяспека і прыватнасць, затым Дадатковыя налады бяспекі, а абалонкі вытворцаў зноў пераймяноўваюць узроўні, таму калі шлях не супадае, шукайце ў праграме налад Давераныя ўліковыя даныя. Укладка Карыстальнік утрымлівае цэнтры сертыфікацыі, усталяваныя чалавекам ці праграмай, а ўкладка Сістэма — тое, што прыйшло з зборкай. Цэнтр, прасунуты кіраваннем, з’яўляецца праз палітыку прылады або ўнутры працоўнага профілю, а не як звычайнае дотык у сховішчы карыстальніка.

Запішыце выдаўца, даты дзеяння і таго, хто ўсталяваў. Калі запісу зусім няма ў сховішчы карыстальніка, спыніцеся тут, бо гэта сістэмны або кіраваны элемент, і выдаляць яго з экрана налад не ваша справа. Выдаленне не таго радка — гэта тое, праз што тэлефон губляе Wi-Fi або працоўны ўваход, пакуль пытанне даверу застаецца без адказу.

Крок 2: аддзяліце CA прафіля VPN ад даверу тэлефона

Профіль OpenVPN або любы кліент, які аўтэнтыфікуе свой сервер праз TLS, можа несці CA, які выкарыстоўвае толькі гэты кліент для праверкі ўласнага сервера. Профіль WireGuard не нясе CA наогул: ён абапіраецца на пары публічных ключоў, таму цэнтр у сховішчы даверу Android не мог прыйсці з канфігурацыі WireGuard. Гэты сертыфікат, лакальны для профілю, не дасягае іншых праграм, а капіраванне яго ў сістэмнае сховішча даверу — асобная аперацыя з асобным уплывам. Трымаць іх асобна — увесь сэнс гэтага кроку, бо толькі другое змяняе тое, што прымуць іншыя праграмы.

Таму профіль VPN з CA не з’яўляецца доказам перахопу, і праграма VPN не ўладальнік запісу даверу, які яна ніколі не стварала. Праверка танная: спыніце VPN і перачытайце паведамленне. Калі папярэджанне пра сертыфікат засталося, VPN яго туды не ставіў, і выдаленне праграмы яго не прыбярэ.

Крок 3: адрозніце цэнтр сервера ад ідэнтычнасці кліента

Сертыфікат ідэнтычнасці кліента і яго прыватны ключ аўтэнтыфікуюць гэтую прыладу перад серверам. CA ж давяраюць, каб аўтэнтыфікаваць серверы перад праграмамі. Яны захоўваюцца разам і выглядаюць у спісе падобна, але выконваюць цалкам розную працу.

Выдаленне ідэнтычнасці кліента можа зламаць аўтэнтыфікацыю Wi-Fi або VPN, нічога не зрабіўшы з даверам HTTPS, а выдаленне CA закранае кожную праграму, якая прымае гэты цэнтр. Вызначыце, што з двух вы бачыце, перш чым націскаць, бо адказ называе ўладальніка і шлях аднаўлення.

Крок 4: спытайце, якія праграмы сапраўды давяраюць

Канфігурацыя сеткавай бяспекі Android вызначае мяжу праграмы. Праграмы, якія нацэлены на API 24 або навей, па змаўчанні давяраюць сістэмным цэнтрам, а праграмы, нацэленыя на API 23 або старэй, па змаўчанні давяраюць таксама цэнтрам, дададзеным карыстальнікам; праграма можа назваць свае якары, дадаць правілы для асобных даменаў або цалкам адмовіцца ад змаўчанняў.

Такім чынам, усталявана на тэлефоне не апісвае давер HTTPS кожнай праграмы: цэнтр, дададзены карыстальнікам, можа шанавацца старой праграмай, ігнаравацца бягучай і яўна давярацца праграмай, якая прыносіць свае якары. Калі цэнтр усталяваны для працоўнага Wi-Fi, прыватнай вэб-службы або зацверджанай схемы інспекцыі, карыснае пытанне — якія праграмы і профілі ад яго залежаць. Network Security Configuration guide — гэта даведнік пра тое, наколькі далёка ўсталяваны цэнтр дасягае ў пэўнай праграме, і менавіта гэтую частку большасць кароткіх пераказаў гэтага папярэджання апускае.

Крок 5: вырашыце, затым запішыце ўладальніка і план выхаду

Калі цэнтр чаканы, дакументуйце, хто яго ўсталяваў, якія злучэнні на яго абапіраюцца і як ён будзе выведзены з эксплуатацыі. Давяраць цэнтру — значнае рашэнне, нават калі сёння перахопу няма, бо менавіта давер робіць перахоп магчымым пазней.

Калі ён нечаканы, даследуйце праз уладальніка прылады або службы, перш чым уводзіць на гэтым тэлефоне адчувальныя даныя. Калі ён састарэлы, выдаліце менавіта гэты элемент праз таго, хто яго ўсталяваў, пасля праверкі таго, што ад яго залежыць, і ніколі не пачынайце з ачысткі ўсіх уліковых даных. Хаванне папярэджання змяняе адлюстраванне і больш нічога. Прыватны ключ або поўны профіль ніколі не трэба загружаць у публічную службу праверкі сертыфікатаў, каб закрыць пытанне.

Перш чым пакінуць экран, вам патрэбныя тры адказы: хто ўсталяваў, якія злучэнні на яго абапіраюцца і як ён выводзіцца з эксплуатацыі.