Upozornění Androidu na sledování sítě: přečtěte si změnu důvěry

Tři oznámení vypadají na telefonu stejně, ale jen jedno se týká certifikátu. Řádek stavu VPN, varování úložiště důvěry a banner spravovaného zařízení pojmenovávají různé kontroly a aplikace na obrazovce nemusí vlastnit ani jednu z nich. Přečtení přesné formulace nejdřív zabrání smazání špatné věci. Projděte pět kontrol níže v pořadí a zastavte se u první chyby, protože správný krok se v každé fázi úplně mění.

Krok 0: určete, které oznámení vidíte

Formulace je důležitější než ikona. Oznámení stavu VPN znamená, že aplikace drží aktivní VpnService. Varování certifikátu znamená, že je něco nainstalováno v úložišti důvěry. Oznámení spravovaného zařízení znamená, že správce použil zásadu, která mohla nainstalovat i důvěru.

Když text doslova říká, že síť může být sledována, odesílatelem je systém, ne poskytovatel VPN: Android tento řádek tiskne pokaždé, když aplikace drží aktivní VpnService, takže běžný komerční klient ho vytvoří, aniž by cokoli vložil do úložiště důvěry. Dvě ze tří oznámení mohou platit současně, a proto stížnost obvykle jmenuje to špatné. Pokud věta říká, že je nainstalována CA, je VPN nanejvýš podezřelá a odinstalování může varování nechat přesně tam, kde bylo.

Krok 1: najděte údaj a jeho úložiště

Na Androidu 9 až 12 vede cesta Nastavení, Zabezpečení, Šifrování a přihlašovací údaje, Důvěryhodné přihlašovací údaje; Android 13 a novější přesouvají stejnou obrazovku pod Zabezpečení a soukromí a pak Další nastavení zabezpečení a nástavby výrobců úrovně znovu přejmenovávají, takže když cesta nesedí, hledejte v aplikaci nastavení Důvěryhodné přihlašovací údaje. Karta Uživatel obsahuje autority nainstalované člověkem nebo aplikací, karta Systém to, co přišlo s buildem. Autorita protlačená správou se objeví přes zásadu zařízení nebo v pracovním profilu, ne jako běžné klepnutí v uživatelském úložišti.

Zapište vydavatele, data platnosti a kdo ji nainstaloval. Pokud záznam v uživatelském úložišti vůbec není, zastavte se, protože jde o systémovou nebo spravovanou položku a mazat ji z obrazovky nastavení není vaše věc. Smazání špatného řádku je způsob, jak telefon ztratí Wi-Fi nebo pracovní přihlášení, zatímco otázka důvěry zůstane nezodpovězená.

Krok 2: oddělte CA profilu VPN od důvěry telefonu

Profil OpenVPN nebo jakýkoli klient, který ověřuje svůj server přes TLS, může nést CA, který používá jen tento klient k ověření vlastního serveru. Profil WireGuard nenese žádnou CA: spoléhá na páry veřejných klíčů, takže autorita v úložišti důvěry Androidu nemohla přijít z konfigurace WireGuard. Tento certifikát lokální pro profil se nedostane k jiné aplikaci a jeho zkopírování do systémového úložiště důvěry je samostatná operace se samostatným dopadem. Držet obojí oddělené je smyslem tohoto kroku, protože jen to druhé mění, co budou ostatní aplikace přijímat.

Profil VPN s CA tedy není důkazem odposlechu a aplikace VPN není vlastníkem záznamu důvěry, který nikdy nevytvořila. Test je levný: zastavte VPN a znovu si přečtěte oznámení. Pokud varování certifikátu zůstane, VPN ho tam nedal a odebrání aplikace ho neodstraní.

Krok 3: rozlište autoritu serveru od identity klienta

Certifikát identity klienta a jeho soukromý klíč ověřují toto zařízení vůči serveru. CA se důvěřuje, aby ověřovala servery vůči aplikacím. Ukládají se společně a v seznamu vypadají podobně, ale dělají úplně jinou práci.

Odebrání identity klienta může rozbít ověřování Wi-Fi nebo VPN, aniž by cokoli udělalo s důvěrou HTTPS, a odebrání CA zasáhne každou aplikaci, která tuto autoritu přijímá. Rozhodněte, na kterou z těch dvou se díváte, než cokoli stisknete, protože odpověď pojmenuje vlastníka i cestu obnovy.

Krok 4: zeptejte se, které aplikace jí skutečně důvěřují

Konfigurace zabezpečení sítě Androidu určuje hranici aplikace. Aplikace s cílem API 24 nebo novějším ve výchozím stavu důvěřují systémovým autoritám, zatímco aplikace s cílem API 23 nebo starším ve výchozím stavu důvěřují i autoritám přidaným uživatelem, a aplikace může uvést vlastní kotvy, přidat pravidla pro doménu nebo se z výchozích hodnot zcela odhlásit.

Proto nainstalováno na telefonu nepopisuje důvěru HTTPS každé aplikace: autoritu přidanou uživatelem může starší aplikace respektovat, současná ignorovat a aplikace s vlastními kotvami výslovně přijmout. Pokud byla autorita nainstalována pro pracovní Wi-Fi, soukromou webovou službu nebo schválenou inspekci, užitečná otázka je, které aplikace a profily na ní závisí. Network Security Configuration guide je referencí, kam až nainstalovaná autorita v dané aplikaci dosáhne, a to je část, kterou většina shrnutí tohoto varování vynechává.

Krok 5: rozhodněte a pak zapište vlastníka a plán ukončení

Je-li autorita očekávaná, zdokumentujte, kdo ji nainstaloval, která připojení na ní závisí a jak bude vyřazena. Důvěřovat autoritě je významné rozhodnutí, i když dnes žádný odposlech neprobíhá, protože právě důvěra ho později umožňuje.

Není-li očekávaná, prošetřete to přes vlastníka zařízení nebo služby, než na tom telefonu zadáte citlivá data. Je-li zastaralá, odstraňte právě tuto položku přes toho, kdo ji nainstaloval, po kontrole, co na ní závisí, a nikdy nezačínejte smazáním všech přihlašovacích údajů. Skrytí varování mění zobrazení a nic jiného. Soukromý klíč nebo celý profil se nikdy nesmí nahrát do veřejné služby pro kontrolu certifikátů, aby se otázka vyřešila.

Než opustíte obrazovku, chcete tři odpovědi: kdo ji nainstaloval, která připojení na ní závisí a jak se vyřazuje.