Предупреждение на Android за мрежово наблюдение: прочетете промяната в доверието

Три известия изглеждат еднакво на телефона, но само едно от тях е за сертификат. Редът за състоянието на VPN, предупреждението за хранилището на доверие и банерът за управлявано устройство назовават различни контроли и приложението на екрана може да не притежава нито една от тях. Прочетете първо точната формулировка и няма да изтриете грешното нещо. Изпълнете петте проверки по-долу по ред и спрете при първия провал, защото правилното действие се променя напълно на всяка стъпка.

Стъпка 0: определете кое известие виждате

Формулировката е по-важна от иконата. Известие за състоянието на VPN означава, че приложение държи активна VpnService. Предупреждение за сертификат означава, че нещо е инсталирано в хранилище за доверие. Известие за управлявано устройство означава, че администратор е приложил политика и тя може да е инсталирала доверие заедно със себе си.

Когато текстът буквално казва, че мрежата може да се наблюдава, изпращачът е системата, а не доставчикът на VPN: Android отпечатва този ред всеки път, когато приложение държи активна VpnService, така че обикновен търговски клиент го създава, без да поставя нищо в хранилището за доверие. Две от трите известия могат да са верни едновременно и затова оплакването обикновено назовава грешното. Ако изречението казва, че е инсталиран CA, VPN е най-много заподозрян и деинсталирането му може да остави предупреждението точно там, където е било.

Стъпка 1: намерете идентификационните данни и тяхното хранилище

В Android 9 до 12 пътят е Настройки, Сигурност, Криптиране и идентификационни данни, Доверени идентификационни данни; Android 13 и по-нови местят същия екран под Сигурност и поверителност, после Още настройки за сигурност, а обвивките на производителите отново преименуват нивата, затова, когато пътят не съвпада, потърсете в приложението за настройки Доверени идентификационни данни. Разделът Потребител съдържа сертифициращи органи, инсталирани от човек или приложение, а разделът Система — това, което е дошло със сборката. Орган, изпратен от управлението, се появява чрез политика на устройството или в работен профил, а не като обикновено докосване в потребителското хранилище.

Запишете издателя, датите на валидност и кой го е инсталирал. Ако записът изобщо не е в потребителското хранилище, спрете тук, защото е системен или управляван елемент и не е ваша работа да го триете от екран с настройки. Изтриването на грешния ред там е начинът, по който телефонът губи Wi-Fi или работен вход, докато въпросът за доверието остава без отговор.

Стъпка 2: отделете CA на VPN профила от доверието на телефона

Профил OpenVPN или всеки клиент, който удостоверява сървъра си през TLS, може да носи CA, използван само от този клиент, за да провери собствения си сървър. Профилът WireGuard не носи никакъв CA: разчита на двойки публични ключове, така че орган в хранилището за доверие на Android не може да е дошъл от конфигурация на WireGuard. Този локален за профила сертификат не достига до други приложения, а копирането му в системното хранилище за доверие е отделна операция с отделен обхват. Разделянето на двете е целият смисъл на тази стъпка, защото само второто променя какво ще приемат другите приложения.

Затова VPN профил с CA не е доказателство за прихващане и VPN приложението не е собственик на запис за доверие, който никога не е създало. Проверката е евтина: спрете VPN и прочетете известието отново. Ако предупреждението за сертификат остане, VPN не го е поставил там и премахването на приложението няма да го премахне.

Стъпка 3: разграничете орган на сървър от идентичност на клиент

Сертификат за идентичност на клиент и неговият частен ключ удостоверяват това устройство пред сървър. На CA се доверяваме, за да удостоверява сървъри пред приложения. Съхраняват се заедно и изглеждат подобно в списък, но вършат напълно различна работа.

Премахването на клиентска идентичност може да счупи удостоверяването за Wi-Fi или VPN, без да направи нищо за доверието по HTTPS, а премахването на CA засяга всяко приложение, което приема този орган. Решете кой от двата виждате, преди да натиснете нещо, защото отговорът назовава собственика и пътя за възстановяване.

Стъпка 4: попитайте кои приложения наистина се доверяват

Конфигурацията за мрежова сигурност на Android задава границата на приложението. Приложенията с цел API 24 или по-нова се доверяват на системни органи по подразбиране, докато приложенията с цел API 23 или по-стара се доверяват по подразбиране и на добавени от потребителя органи, а приложението може да назове свои котви, да добави правила за домейн или напълно да се откаже от подразбиранията.

Затова инсталирано на телефона не описва доверието по HTTPS на всяко приложение: добавен от потребителя орган може да бъде уважен от старо приложение, игнориран от текущо и изрично приет от приложение със собствени котви. Ако органът е инсталиран за работен Wi-Fi, частна уеб услуга или одобрена схема за инспекция, полезният въпрос е кои приложения и профили зависят от него. Ръководството за конфигурация на мрежовата сигурност е източникът за това докъде стига инсталиран орган в дадено приложение и точно тази част повечето обобщения на това предупреждение пропускат.

Стъпка 5: решете, после запишете собственика и плана за изход

Ако органът е очакван, документирайте кой го е инсталирал, кои връзки разчитат на него и как ще бъде изведен от употреба. Да се доверите на орган е значимо решение дори когато днес няма прихващане, защото именно доверието прави прихващането възможно по-късно.

Ако е неочакван, разследвайте чрез собственика на устройството или услугата, преди да въвеждате чувствителни данни на този телефон. Ако е остарял, премахнете точно този елемент чрез този, който го е инсталирал, след като проверите какво зависи от него, и никога не започвайте с изчистване на всички идентификационни данни. Скриването на предупреждението променя дисплея и нищо друго. Частен ключ или цял профил никога не трябва да се качва в публична услуга за проверка на сертификати, за да се реши въпросът.

Преди да напуснете екрана, искате три отговора: кой го е инсталирал, кои връзки разчитат на него и как се извежда от употреба.