Una aplicació VPN demana contactes i accessibilitat: què cal permetre

L’instal·lador demana accés a la xarxa i després contactes, accessibilitat i la instal·lació d’un certificat. Només la primera petició pertany a la feina. La decisió real es pren a la segona pantalla.

Jutgeu cada petició en funció d’una funció que hàgiu triat, a la plataforma que feu servir. Cap llista universal de permisos cobreix tots els productes VPN, i una llista llarga no demostra res per si sola.

L’únic permís que la feina necessita de veritat

Android demana a la persona usuària que aprovi un servei VPN mitjançant un diàleg del sistema abans que comenci cap túnel, i el servei de l’aplicació declara BIND_VPN_SERVICE perquè el sistema s’hi pugui enllaçar. Operativament, l’aplicació fa la feina d’encaminament. El consentiment ve de la persona que té el dispositiu, en un diàleg que anomena l’aplicació, i revocar-lo després és una acció admesa.

Les plataformes d’Apple expressen la mateixa idea amb una extensió de xarxa i una aprovació d’instal·lació en lloc d’una pantalla de permisos. Windows fa servir un controlador d’adaptador virtual i un avís d’elevació. Dues formes, un sol significat: aquest programa pot gestionar paquets. Res d’aquesta autorització no cobreix la lectura de la vostra llibreta d’adreces ni l’emissió d’una autoritat de certificació pròpia.

L’accés addicional és una concessió separada amb efectes separats. Un client d’encaminament que el vulgui necessita un motiu propi.

On les peticions addicionals necessiten la seva pròpia explicació

Un servei d’accessibilitat pot llegir el contingut de la pantalla i actuar en nom vostre, cosa que va molt més enllà de l’encaminament. L’administració del dispositiu pot imposar polítiques de bloqueig i esborrar dades. Un certificat arrel instal·lat per la persona usuària permet a qui té la clau corresponent llegir trànsit que TLS altrament protegiria.

Qualsevol d’aquestes coses pot ser legítima. Els productes per a dispositius gestionats i de control parental poden necessitar poders de política, i una eina de suport pot necessitar accessibilitat per guiar-vos pels paràmetres.

El requisit és la traçabilitat: la petició apunta a una funció amb nom, i aquesta funció és visible al producte que heu instal·lat. Una petició de contactes sense cap pantalla que els mostri no té cap explicació a oferir. L’argument del xifratge tampoc no serveix, perquè protegir els paquets no diu res sobre qui són els vostres amics. Un producte legítim encara pot demanar massa a través d’una biblioteca inclosa, i això és un defecte a comunicar, no un delicte a denunciar.

Anoteu la petició i la funció a què correspon, i després decidiu. Aquesta nota és també el que mostrareu al suport quan una funció es trenqui després d’una denegació.

Llegir la petició al dispositiu

La fitxa de la botiga descriu la intenció, mentre que el paquet instal·lat descriu la realitat. Pregunteu al gestor de paquets què s’ha declarat i què s’ha concedit abans d’aprovar res més. Aquest parell és més important quan la fitxa i el manifest no coincideixen.

Dues consultes cobreixen la major part:

adb shell dumpsys package com.example.vpn | grep -E "requested permissions|install permissions" -A 30
adb shell cmd appops get com.example.vpn

La primera llista els permisos declarats enfront dels concedits, i aquesta és la comparació que exposa un manifest massa ampli. La segona mostra les operacions de l’aplicació en execució, inclosos accessos especials que mai no apareixen com a permisos ordinaris. On no hi hagi eines de desenvolupament, llegiu els mateixos fets a les pantalles de paràmetres de la plataforma.

Aquestes pantalles triguen un minut i no necessiten cap programari. Accessibilitat, administració del dispositiu i emmagatzematge de certificats llisten cadascun les aplicacions que tenen la concessió.

Decidir, i després limitar el dany

Concediu l’autorització de xarxa a un client que hàgiu triat i tracteu cada petició addicional com una decisió pròpia. Denegueu les que no tinguin una funció corresponent i mireu després què es trenca. Un client d’encaminament que falla quan es rebutja l’accés als contactes mai no demanava contactes en nom vostre.

Revocar un permís normalment desactiva una sola funció sense desinstal·lar l’aplicació ni desmuntar cada perfil. Torneu a connectar-vos després i confirmeu que el túnel encara s’estableix.

Separeu les dues preguntes que una petició sol fusionar: què pot fer aquest programa al dispositiu i què fa el seu operador amb el trànsit un cop el túnel és actiu. La primera es respon aquí. La segona necessita una política de retenció, i cap diàleg no la proporciona.