Avís d’Android sobre la supervisió de la xarxa: llegeix el canvi de confiança
Un avís de supervisió, un CA instal·lat i una política gestionada són tres coses diferents. Comprova què informa Android abans d’eliminar credencials.
Tres avisos semblen iguals en un telèfon, però només un tracta d’un certificat. La línia d’estat de la VPN, l’avís del magatzem de confiança i el bàner de dispositiu gestionat nomenen controls diferents, i l’aplicació que hi ha a la pantalla potser no posseeix cap d’ells. Llegir primer el text exacte evita esborrar la cosa equivocada. Fes les cinc comprovacions d’abaix en ordre i atura’t a la primera que falli, perquè l’acció correcta canvia completament a cada pas.
Pas 0: identifica quin avís estàs veient
El text importa més que la icona. Un avís d’estat de la VPN vol dir que una aplicació manté un VpnService actiu. Un avís de certificat vol dir que hi ha alguna cosa instal·lada en un magatzem de confiança. Un avís de dispositiu gestionat vol dir que un administrador ha aplicat una política, que pot haver instal·lat també la confiança.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
Quan el text diu literalment que la xarxa pot ser supervisada, l’emissor és el sistema, no el proveïdor de VPN: Android imprimeix aquesta línia sempre que una aplicació manté un VpnService actiu, així que un client comercial habitual la produeix sense posar res al magatzem de confiança. Dos dels tres avisos poden ser certs alhora, i per això la queixa normalment nomena el equivocat. Si la frase diu que hi ha un CA instal·lat, la VPN és com a màxim una sospitosa, i desinstal·lar-la pot deixar l’avís exactament on era.
Pas 1: troba la credencial i el seu magatzem
A Android 9 fins a 12 el camí és Configuració, Seguretat, Xifratge i credencials, Credencials de confiança; Android 13 i posteriors mouen la mateixa pantalla sota Seguretat i privadesa, després Més opcions de seguretat, i les capes dels fabricants tornen a canviar els noms, així que quan el camí no coincideixi busca Credencials de confiança a l’aplicació de configuració. La pestanya Usuari conté les autoritats instal·lades per una persona o una aplicació, i la pestanya Sistema el que venia amb la compilació. Una autoritat impulsada per la gestió apareix per la política del dispositiu o dins d’un perfil de treball, no com un toc casual al magatzem d’usuari.
Anota l’emissor, les dates de validesa i qui la va instal·lar. Si l’entrada no és al magatzem d’usuari, atura’t aquí, perquè és un element de sistema o gestionat i no és teu esborrar-lo des d’una pantalla de configuració. Esborrar la fila equivocada és com un telèfon perd la Wi-Fi o un inici de sessió de feina mentre la pregunta de confiança queda sense resposta.
Pas 2: separa el CA d’un perfil VPN de la confiança del telèfon
Un perfil OpenVPN, o qualsevol client que autentiqui el seu servidor per TLS, pot portar un CA que només aquell client fa servir per verificar el seu propi servidor. Un perfil WireGuard no porta cap CA: es basa en parells de claus públiques, així que una autoritat del magatzem de confiança d’Android no pot haver vingut d’una configuració de WireGuard. Aquest certificat local al perfil no arriba a cap altra aplicació, i copiar-lo al magatzem de confiança del sistema és una operació separada amb un abast separat. Mantenir els dos separats és el punt d’aquest pas, perquè només el segon canvia què acceptaran les altres aplicacions.
Per tant, un perfil VPN amb un CA no és prova d’intercepció, i una aplicació VPN no és propietària d’una entrada de confiança que mai no ha creat. La prova és barata: atura la VPN i torna a llegir l’avís. Si l’avís de certificat hi és encara, la VPN no l’hi va posar i treure l’aplicació no el traurà.
Pas 3: distingeix una autoritat de servidor d’una identitat de client
Un certificat d’identitat de client i la seva clau privada autentiquen aquest dispositiu davant d’un servidor. Un CA és de confiança per autenticar servidors davant de les aplicacions. Es guarden junts i semblen iguals en una llista, però fan feines completament diferents.
Treure una identitat de client pot trencar l’autenticació de Wi-Fi o VPN sense fer res per la confiança HTTPS, i treure un CA afecta totes les aplicacions que accepten aquella autoritat. Decideix quina de les dues estàs mirant abans de prémer res, perquè la resposta nomena el propietari i el camí de recuperació.
Pas 4: pregunta quines aplicacions hi confien realment
La configuració de seguretat de xarxa d’Android fixa el límit de l’aplicació. Les aplicacions dirigides a API 24 o posterior confien per defecte en les autoritats del sistema, mentre que les dirigides a API 23 o anterior també confien per defecte en les autoritats afegides per l’usuari, i una aplicació pot nomenar les seves pròpies àncores, afegir regles per domini o sortir completament dels valors per defecte.
Així, instal·lat al telèfon no descriu la confiança HTTPS de cada aplicació: una autoritat afegida per l’usuari pot ser respectada per una aplicació antiga, ignorada per una de actual i explícitament acceptada per una aplicació que porta les seves pròpies àncores. Si l’autoritat es va instal·lar per a la Wi-Fi de feina, un servei web privat o una inspecció aprovada, la pregunta útil és quines aplicacions i perfils en depenen. La Network Security Configuration guide és la referència de fins on arriba una autoritat instal·lada en una aplicació concreta, i és la part que la majoria de resums d’aquest avís ometen.
Pas 5: decideix, i després anota el propietari i el pla de sortida
Si l’autoritat és esperada, documenta qui la va instal·lar, quines connexions en depenen i com es retirarà. Confiar en una autoritat és una decisió significativa encara que avui no hi hagi intercepció, perquè la confiança és el que fa possible la intercepció més endavant.
Si no és esperada, investiga a través del propietari del dispositiu o del servei abans d’introduir dades sensibles en aquell telèfon. Si és obsoleta, elimina aquest element concret a través de qui la va instal·lar, després de comprovar què en depèn, i no comencis mai esborrant totes les credencials. Amagar l’avís canvia la visualització i res més. Una clau privada o un perfil complet no s’han de pujar mai a un servei públic de comprovació de certificats per resoldre la pregunta.
Abans de deixar la pantalla vols tres respostes: qui la va instal·lar, quines connexions en depenen i com es retira.