VPN Android yn erbyn caniatâd apiau: beth mae'r rhybudd yn ei olygu

Mae dau ddeialog Android yn cael eu drysu drwy'r amser: anogwr cydsynio VPN a'r ceisiadau am ganiatâd y mae ap yn eu gwneud ar gyfer eich data. Mae'r cyntaf yn trosglwyddo safle rhwydwaith, y man lle gellir darllen ac ailysgrifennu pecynnau. Mae'r ail yn trosglwyddo cynnwys storio y mae Android yn ei warchod bob ap. Mae trin y ddau fel un peth naill ai'n gor-bwysleisio'r hyn y gall twmnel ei weld, neu'n tan-bwysleisio'n wael yr hyn y bydd ap penderfynol yn ei ofyn nesaf.

Beth mae'r deialog cydsynio yn ei drosglwyddo mewn gwirionedd

Mae ap sy'n gweithredu VpnService ac yn datgan BIND_VPN_SERVICE yn gofyn i'r system ddod yn VPN y ddyfais. Ar ôl cymeradwyaeth mae'r fframwaith yn creu rhyngwyneb tun ac yn rhoi disgrifydd ffeil i'r ap ar ei gyfer. Mae popeth y mae'r ap yn ei wneud wedyn yn llifo drwy'r disgrifydd hwnnw: mae'n darllen pecynnau IP allan, yn penderfynu beth i'w wneud â nhw, ac yn ysgrifennu pecynnau yn ôl i mewn.

Mae cwmpas y rhyngwyneb hwnnw'n eglur. Mae llwybrau'n penderfynu pa gyrchfannau a gaiff eu dal, ac mae addAllowedApplication neu addDisallowedApplication yn penderfynu pa apiau sy'n bwydo iddo. Nid yw VPN fesul ap sy'n rhestru dau ap yn gweld gweddill y ddyfais.

Mae hynny'n ganiatâd ar lefel pecynnau, nid ar lefel data. Mae'r gwasanaeth yn gweld y beitiau y mae ap yn eu trosglwyddo i'r stac rhwydwaith, wedi'u cyfeirio at gyrchfan. Nid yw'n cael gafael ar storfa breifat yr ap sy'n anfon, ei ffeiliau cronfa ddata na'i gof wedi'i ddadgyfrifo. Mae ffeiliau y mae ap wedi'u cadw o fewn ei sandbox ei hun yn aros yr un mor anodd eu darllen ag o'r blaen.

Lle mae'r olwg ar becynnau yn stopio

Mae TLS yn dal i wneud ei waith y tu mewn i'r twmnel, oherwydd mae'r gafael-llaw yn rhedeg rhwng yr ap a'r gweinydd yn hytrach nag rhwng yr ap a'r VPN. Mae'r VPN yn anfon ymlaen destun siffer y na all ei ddadgyfrifo heb allweddi'r sesiwn. Dyna pam nad yw twmnel ar ei ben ei hun yn datgelu cynnwys tudalen HTTPS na sesiwn post wedi'i diogelu.

Mae'r metadata o amgylch y testun siffer yn stori wahanol, a dyma lle mae'r rhan fwyaf o honiadau hyderus yn chwalu. Mae IP cyrchfan, porth, meintiau pecynnau ac amseru i gyd yn weladwy, ynghyd ag enw'r gweinydd yn TLS ClientHello, sy'n cael ei anfon yn glir fel arfer hyd yn oed o dan TLS 1.3. Mae Encrypted Client Hello yn newid hynny, ond nid yw'n gyffredinol. Mae DNS plaen yn gollwng enwau yr un mor rhwydd pan fo ymholiadau'n mynd allan heb eu hamgryptio.

Mae protocolau hŷn neu wedi'u cam-gyflunio yn trosglwyddo mwy. Mae HTTP plaen, IMAP heb TLS a nifer o brotocolau gemau ac IoT yn datgelu eu llwythi i unrhyw beth sy'n dal y disgrifydd tun.

Y caniatadau nad ydynt byth yn dod gyda hynny

Nid yw cymeradwyo VPN yn cymeradwyo cysylltiadau, SMS, lluniau na'r storfa gyfryngau. Mae'r rheini'n ganiatadau amser rhedeg ar wahân, pob un â'i ddeialog ei hun a'i lwybr dadwneud ei hun yn y dudalen gosodiadau ap. Mae'n rhaid i gleient VPN sy'n dymuno'ch log galwadau ei ofyn fel unrhyw ap arall, a gallwch wrthod tra'n cadw'r twmnel.

Gosod tystysgrif yw'r un i wylio, oherwydd mae'n edrych fel rhan o osod y VPN ac nid yw. Mae gosod CA defnyddiwr yn y storfa gymwysterau yn newid pa dystysgrifau y bydd Android yn eu derbyn, ac ers Android 7.0 mae ap sy'n targedu API 24 neu'n ddiweddarach yn anwybyddu CAau a ychwanegwyd gan ddefnyddiwr oni bai bod ei gyfluniad diogelwch rhwydwaith yn dewis hynny gydag angor ymddiriedaeth defnyddiwr. Gall cleient sy'n mynnu CA fod yn gwneud rhyng-gipio menter cyfreithlon, neu gall fod yn gofyn am rywbeth na chrybwyllodd deialog y VPN erioed.

Mae mynediad hygyrchedd yn eistedd ymhellach fyth allan. Gall gwasanaeth sydd â hygyrchedd wedi'i alluogi ddarllen cynnwys sgrin apiau eraill, rhywbeth nad yw unrhyw safle ar lefel pecynnau yn ei ddarparu.

Hidlydd lleol neu borth allanol

Mae'r un API yn cwmpasu dau gynnyrch sy'n haeddu gwahanol lefelau o ymddiriedaeth. Mae mur ffyrlo neu flociwr hysbysebion ar y ddyfais yn cymryd y disgrifydd tun ac yn ateb y traffig yn lleol, gan fyth ei anfon i weinydd y mae'n ei weithredu. Mae gwir dwmnel yn anfon y pecynnau hynny ymlaen i borth yn rhywle arall, ac mae'r gweithredwr hwnnw'n gweld yr un metadata o'r pen arall tra hefyd yn penderfynu beth sy'n dod yn ôl.

Ffordd ymarferol o'u gwahaniaethu yw gwirio eich cyfeiriad cyhoeddus gyda'r VPN ymlaen ac i ffwrdd, a gweld a yw'r hysbysiad yn enwi pen draw allanol. Os nad yw'r cyfeiriad byth yn newid, mae'r traffig yn ôl pob tebyg yn troelli'n ôl ar y ddyfais.

Mae'r ddau achos yn dal i fod yn safle pecynnau. Y gwahaniaeth yw pwy arall sy'n sefyll yn yr allanfa.

Archwiliwch yr hyn a gymeradwyoch

Agorwch Gosodiadau, yna Rhwydwaith a'r rhyngrwyd, yna VPN, a darllenwch y cofnod yn hytrach na'r eicon yn y bar statws. Mae VPN bob amser ymlaen a Blocïo cysylltiadau heb VPN yn osodiadau dyfais sy'n cadw'r rhyngwyneb yn fyw ac yn torri gollyngiadau; nid ydynt yn lledu dim. O'r un sgrin gallwch anghofio'r proffil a dadwneud y caniatâd.

Yna ewch drwy'r caniatadau eraill. Mae gwybodaeth am yr ap yn dangos pa ganiatadau amser rhedeg sydd gan y cleient, ac mae gosodiadau Diogelwch yn dangos a osodwyd tystysgrif defnyddiwr ar yr un pryd. Gellir tynnu'r naill neu'r llall yn annibynnol.

Mae'r cwestiwn sy'n werth ei ateb yn gul: pa becynnau sy'n dod i mewn i'r gwasanaeth hwn, i ble maen nhw'n mynd, a beth mae'r gweithrediad yn ei gadw. Mae popeth arall yn y deialog yn sŵn. Cyfeirlyfr VpnService yw'r rhestr awdurdodol o'r hyn y mae'r rhyngwyneb yn ei ddatgelu.