Android নেটওয়ার্ক মনিটরিং সতর্কতা: ট্রাস্ট পরিবর্তন পড়ুন
মনিটরিং বিজ্ঞপ্তি, ইনস্টল করা CA আর ম্যানেজড পলিসি তিনটি আলাদা জিনিস। ক্রেডেনশিয়াল মুছার আগে Android কী জানাচ্ছে তা যাচাই করুন।
ফোনে তিনটি বিজ্ঞপ্তি একই রকম দেখায়, কিন্তু তার মধ্যে কেবল একটি শংসাপত্র সম্পর্কে। VPN অবস্থার লাইন, ট্রাস্ট স্টোরের সতর্কতা আর ম্যানেজড ডিভাইসের ব্যানার প্রতিটি আলাদা নিয়ন্ত্রণের নাম নেয়, আর স্ক্রিনে থাকা অ্যাপ হয়তো এর একটিও ধরে রাখে না। প্রথমে সঠিক শব্দ পড়লে ভুল জিনিস মোছা থেকে বাঁচবেন। নিচের পাঁচটি পরীক্ষা ক্রমে করুন এবং প্রথম ব্যর্থতায় থামুন, কারণ প্রতিটি ধাপে সঠিক কাজ সম্পূর্ণ বদলে যায়।
ধাপ 0: কোন বিজ্ঞপ্তি দেখছেন তা নির্ধারণ করুন
আইকনের চেয়ে শব্দই বেশি গুরুত্বপূর্ণ। VPN অবস্থার বিজ্ঞপ্তি মানে একটি অ্যাপ সক্রিয় VpnService ধরে রেখেছে। শংসাপত্রের সতর্কতা মানে ট্রাস্ট স্টোরে কিছু ইনস্টল হয়েছে। ম্যানেজড ডিভাইসের বিজ্ঞপ্তি মানে একজন অ্যাডমিন পলিসি প্রয়োগ করেছেন, আর সেই পলিসি ট্রাস্টও ইনস্টল করে থাকতে পারে।
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
যদি লেখাটি আক্ষরিকভাবে বলে যে নেটওয়ার্ক মনিটর করা হতে পারে, তবে প্রেরক সিস্টেম, VPN সরবরাহকারী নয়: Android ওই লাইনটি ছাপে যখনই কোনো অ্যাপ সক্রিয় VpnService ধরে রাখে, তাই সাধারণ বাণিজ্যিক ক্লায়েন্ট ট্রাস্ট স্টোরে কিছু না রেখেই তা তৈরি করে। তিনটির মধ্যে দুটি একসঙ্গে সত্য হতে পারে, তাই অভিযোগ সাধারণত ভুলটির নাম নেয়। বাক্যটি যদি বলে CA ইনস্টল হয়েছে, তবে VPN বড়জোর সন্দেহভাজন, আর আনইনস্টল করলেও সতর্কতা যেখানে ছিল সেখানেই থাকতে পারে।
ধাপ 1: ক্রেডেনশিয়াল ও তার স্টোর খুঁজুন
Android 9 থেকে 12 পর্যন্ত পথটি হলো সেটিংস, তারপর সিকিউরিটি, তারপর এনক্রিপশন ও ক্রেডেনশিয়াল, তারপর ট্রাস্টেড ক্রেডেনশিয়াল; Android 13 ও পরের সংস্করণ একই স্ক্রিন সিকিউরিটি ও প্রাইভেসির অধীনে আরও সিকিউরিটি সেটিংসে সরায়, আর OEM স্কিন আবার স্তরগুলোর নাম বদলায়, তাই পথ না মিললে সেটিংস অ্যাপে ট্রাস্টেড ক্রেডেনশিয়াল খুঁজুন। ইউজার ট্যাবে মানুষ বা অ্যাপের ইনস্টল করা কর্তৃপক্ষ থাকে, সিস্টেম ট্যাবে বিল্ডের সঙ্গে আসা অংশ থাকে। ম্যানেজমেন্টের পাঠানো কর্তৃপক্ষ ডিভাইস পলিসি বা কাজের প্রোফাইলের মাধ্যমে দেখা যায়, ইউজার স্টোরে সাধারণ ট্যাপ হিসেবে নয়।
প্রদানকারী, বৈধতার তারিখ আর কে ইনস্টল করেছে তা লিখে রাখুন। এন্ট্রিটি যদি ইউজার স্টোরেই না থাকে, এখানেই থামুন, কারণ এটি সিস্টেম বা ম্যানেজড আইটেম এবং সেটিংস স্ক্রিন থেকে মোছা আপনার কাজ নয়। সেখানে ভুল সারি মোছার ফলেই ফোন Wi-Fi বা কাজের লগইন হারায়, অথচ ট্রাস্টের প্রশ্নের উত্তর থাকে না।
ধাপ 2: VPN প্রোফাইলের CA ফোনের ট্রাস্ট থেকে আলাদা রাখুন
OpenVPN প্রোফাইল, বা TLS দিয়ে নিজের সার্ভার যাচাই করা যেকোনো ক্লায়েন্ট, কেবল সেই ক্লায়েন্টের নিজের সার্ভার যাচাইয়ের জন্য ব্যবহৃত CA বহন করতে পারে। WireGuard প্রোফাইলে কোনো CA থাকে না: এটি পাবলিক কী জোড়ার ওপর নির্ভর করে, তাই Android-এর ট্রাস্ট স্টোরে থাকা কর্তৃপক্ষ WireGuard কনফিগ থেকে আসা অসম্ভব। প্রোফাইল-স্থানীয় ওই শংসাপত্র অন্য কোনো অ্যাপে পৌঁছায় না, আর এটি সিস্টেম ট্রাস্ট স্টোরে কপি করা আলাদা কাজ ও আলাদা প্রভাবের। দুটিকে আলাদা রাখাই এই ধাপের মূল কথা, কারণ কেবল দ্বিতীয়টি বদলায় অন্য অ্যাপ কী গ্রহণ করবে।
তাই CA থাকা VPN প্রোফাইল আড়িপাতার প্রমাণ নয়, আর VPN অ্যাপ নিজে না বানানো ট্রাস্ট এন্ট্রির মালিক নয়। পরীক্ষাটি সস্তা: VPN বন্ধ করে বিজ্ঞপ্তিটি আবার পড়ুন। শংসাপত্রের সতর্কতা যদি থেকেই যায়, তবে VPN তা সেখানে রাখেনি, আর অ্যাপ সরালেও তা যাবে না।
ধাপ 3: সার্ভার কর্তৃপক্ষ ও ক্লায়েন্ট পরিচয় আলাদা করুন
ক্লায়েন্ট পরিচয়ের শংসাপত্র ও তার প্রাইভেট কী এই ডিভাইসকে সার্ভারের কাছে প্রমাণ করে। CA-কে বিশ্বাস করা হয় অ্যাপের কাছে সার্ভার প্রমাণ করতে। দুটো একসঙ্গে রাখা হয় এবং তালিকায় একই রকম দেখায়, কিন্তু কাজ সম্পূর্ণ আলাদা।
ক্লায়েন্ট পরিচয় সরালে Wi-Fi বা VPN প্রমাণ ভাঙতে পারে, অথচ HTTPS ট্রাস্টে কিছুই হয় না; আর CA সরালে সেই কর্তৃপক্ষ গ্রহণ করা প্রতিটি অ্যাপ প্রভাবিত হয়। কিছু চাপার আগে দুটির কোনটি দেখছেন ঠিক করুন, কারণ উত্তরই মালিক ও পুনরুদ্ধারের পথ বলে দেয়।
ধাপ 4: কোন অ্যাপ সত্যিই বিশ্বাস করে জিজ্ঞাসা করুন
Android-এর নেটওয়ার্ক সিকিউরিটি কনফিগারেশন অ্যাপের সীমা ঠিক করে। API 24 বা নতুন লক্ষ্য করা অ্যাপ ডিফল্টভাবে সিস্টেম কর্তৃপক্ষকে বিশ্বাস করে, আর API 23 বা পুরোনো লক্ষ্য করা অ্যাপ ডিফল্টভাবে ব্যবহারকারীর যোগ করা কর্তৃপক্ষকেও বিশ্বাস করে, এবং একটি অ্যাপ নিজের অ্যাঙ্কর উল্লেখ করতে, প্রতি-ডোমেইন নিয়ম যোগ করতে বা ডিফল্ট থেকে সম্পূর্ণ বেরিয়ে যেতে পারে।
তাই ফোনে ইনস্টল আছে বলে বোঝায় না প্রতিটি অ্যাপের HTTPS ট্রাস্ট: ব্যবহারকারীর যোগ করা কর্তৃপক্ষকে পুরোনো অ্যাপ মানতে পারে, চলতি অ্যাপ উপেক্ষা করতে পারে, আর নিজের অ্যাঙ্কর আনা অ্যাপ স্পষ্টভাবে বিশ্বাস করতে পারে। কর্তৃপক্ষটি যদি কাজের Wi-Fi, ব্যক্তিগত ওয়েব সেবা বা অনুমোদিত পরিদর্শন ব্যবস্থার জন্য ইনস্টল করা হয়, তবে দরকারি প্রশ্ন হলো কোন অ্যাপ ও প্রোফাইল তার ওপর নির্ভর করে। Network Security Configuration guide হলো নির্দিষ্ট অ্যাপে ইনস্টল করা কর্তৃপক্ষ কতদূর পৌঁছায় তার তথ্যসূত্র, আর এই সতর্কতার বেশিরভাগ সারাংশ ঠিক এই অংশটিই বাদ দেয়।
ধাপ 5: সিদ্ধান্ত নিন, তারপর মালিক ও প্রস্থানের পরিকল্পনা লিখুন
কর্তৃপক্ষটি প্রত্যাশিত হলে, কে ইনস্টল করেছে, কোন সংযোগ তার ওপর নির্ভর করে এবং কীভাবে তা অবসরে যাবে তা নথিভুক্ত করুন। আজ আড়িপাতা না হলেও কর্তৃপক্ষকে বিশ্বাস করা অর্থপূর্ণ সিদ্ধান্ত, কারণ সেই বিশ্বাসই পরে আড়িপাতা সম্ভব করে।
প্রত্যাশিত না হলে, ওই ফোনে সংবেদনশীল তথ্য দেওয়ার আগে ডিভাইস বা সেবার মালিকের মাধ্যমে তদন্ত করুন। পুরোনো হয়ে গেলে, ওই নির্দিষ্ট আইটেমটি সরান যে ইনস্টল করেছে তার মাধ্যমে, তার ওপর কী নির্ভর করে তা যাচাই করে, আর কখনো সব ক্রেডেনশিয়াল মুছে শুরু করবেন না। সতর্কতা লুকানো কেবল প্রদর্শন বদলায়, আর কিছুই না। প্রাইভেট কী বা সম্পূর্ণ প্রোফাইল কখনো প্রশ্ন মেটাতে পাবলিক শংসাপত্র যাচাই সেবায় আপলোড করা উচিত নয়।
স্ক্রিন ছাড়ার আগে তিনটি উত্তর চান: কে ইনস্টল করেছে, কোন সংযোগ তার ওপর নির্ভর করে, আর কীভাবে তা অবসরে যায়।