Android-advarsel om netværksovervågning: læs tillidsændringen

Tre meddelelser ser ens ud på en telefon, men kun én handler om et certifikat. En VPN-statuslinje, en advarsel om tillidslageret og et banner om en administreret enhed navngiver hver sin kontrol, og appen på skærmen ejer måske ingen af dem. At læse den præcise ordlyd først forhindrer, at du sletter det forkerte. Gå gennem de fem kontroller nedenfor i rækkefølge, og stop ved den første, der fejler, fordi den rigtige handling ændrer sig fuldstændigt ved hvert trin.

Trin 0: afgør, hvilken meddelelse du ser

Ordlyden betyder mere end ikonet. En VPN-statusmeddelelse betyder, at en app holder en aktiv VpnService. En certifikatadvarsel betyder, at noget er installeret i et tillidslager. En meddelelse om en administreret enhed betyder, at en administrator har anvendt en politik, som måske også har installeret tillid.

Når teksten ordret siger, at netværket kan blive overvåget, er afsenderen systemet og ikke VPN-udbyderen: Android trykker den linje, hver gang en app holder en aktiv VpnService, så en almindelig kommerciel klient frembringer den uden at lægge noget i tillidslageret. To af de tre meddelelser kan være sande samtidig, og derfor nævner klagen normalt den forkerte. Hvis sætningen siger, at en CA er installeret, er VPN højst en mistænkt, og afinstallation kan efterlade advarslen præcis, hvor den var.

Trin 1: find legitimationsoplysningen og dens lager

På Android 9 til 12 er stien Indstillinger, Sikkerhed, Kryptering og legitimationsoplysninger, Betroede legitimationsoplysninger; Android 13 og nyere flytter den samme skærm under Sikkerhed og privatliv, derefter Flere sikkerhedsindstillinger, og OEM-skaller omdøber niveauerne igen, så søg efter Betroede legitimationsoplysninger i indstillingsappen, når stien ikke passer. Fanen Bruger indeholder myndigheder installeret af en person eller en app, og fanen System indeholder det, der fulgte med buildet. En myndighed, som administrationen skubber ud, vises via enhedspolitikken eller inde i en arbejdsprofil, ikke som et tilfældigt tryk i brugerlageret.

Notér udstederen, gyldighedsdatoerne og hvem der installerede den. Hvis posten slet ikke findes i brugerlageret, så stop her, fordi den er et system- eller administrationsobjekt, og det er ikke din opgave at slette den fra en indstillingsskærm. At slette den forkerte række er måden, hvorpå en telefon mister Wi-Fi eller et arbejdslogin, mens tillidsspørgsmålet står ubesvaret.

Trin 2: skil en VPN-profil CA fra telefonens tillid

En OpenVPN-profil eller enhver klient, der godkender sin server over TLS, kan bære en CA, som kun den klient bruger til at verificere sin egen server. En WireGuard-profil bærer slet ingen CA: den hviler på offentlige nøglepar, så en myndighed i Androids tillidslager kan ikke være kommet fra en WireGuard-konfiguration. Det profil-lokale certifikat når ingen andre apps, og at kopiere det til systemets tillidslager er en separat handling med en separat radius. At holde de to adskilt er hele pointen med dette trin, fordi kun det andet ændrer, hvad andre apps accepterer.

En VPN-profil med en CA er derfor ikke bevis på aflytning, og en VPN-app ejer ikke en tillidspost, den aldrig har oprettet. Testen er billig: stop VPN og læs meddelelsen igen. Hvis certifikatadvarslen stadig er der, har VPN ikke sat den der, og fjernelse af appen fjerner den ikke.

Trin 3: skel mellem en servermyndighed og en klientidentitet

Et klientidentitetscertifikat og dets private nøgle godkender denne enhed over for en server. En CA er betroet til at godkende servere over for apps. De gemmes sammen og ser ens ud på en liste, men de udfører helt forskellige opgaver.

Fjernelse af en klientidentitet kan ødelægge Wi-Fi- eller VPN-godkendelse uden at gøre noget ved HTTPS-tillid, og fjernelse af en CA påvirker enhver app, der accepterer den myndighed. Afgør, hvilken af de to du ser, før du trykker på noget, fordi svaret navngiver ejeren og gendannelsesvejen.

Trin 4: spørg, hvilke apps der faktisk stoler på den

Androids netværkssikkerhedskonfiguration sætter appgrænsen. Apps, der målretter API 24 eller nyere, stoler som standard på systemmyndigheder, mens apps, der målretter API 23 eller ældre, som standard også stoler på myndigheder tilføjet af brugeren, og en app kan navngive sine egne ankere, tilføje regler pr. domæne eller helt fravælge standarderne.

Så installeret på telefonen beskriver ikke hver apps HTTPS-tillid: en myndighed tilføjet af brugeren kan respekteres af en ældre app, ignoreres af en nuværende og udtrykkeligt accepteres af en app, der bringer sine egne ankere. Hvis myndigheden blev installeret til arbejds-Wi-Fi, en privat webtjeneste eller et godkendt inspektionssetup, er det nyttige spørgsmål, hvilke apps og profiler der afhænger af den. Network Security Configuration guide er referencen for, hvor langt en installeret myndighed rækker i en given app, og det er netop den del, de fleste resuméer af denne advarsel udelader.

Trin 5: beslut, og notér derefter ejeren og udgangsplanen

Hvis myndigheden er forventet, så dokumentér, hvem der installerede den, hvilke forbindelser der afhænger af den, og hvordan den udfases. At stole på en myndighed er en betydningsfuld beslutning, selv når der ikke sker aflytning i dag, fordi tilliden er det, der gør aflytning mulig senere.

Hvis den er uventet, så undersøg sagen gennem enhedens eller tjenestens ejer, før du indtaster følsomme data på telefonen. Hvis den er forældet, så fjern netop det element gennem den, der installerede det, efter at have kontrolleret, hvad der afhænger af det, og begynd aldrig med at rydde alle legitimationsoplysninger. At skjule advarslen ændrer visningen og intet andet. En privat nøgle eller en hel profil bør aldrig uploades til en offentlig certifikatkontrol for at afgøre spørgsmålet.

Før du forlader skærmen, vil du have tre svar: hvem installerede den, hvilke forbindelser afhænger af den, og hvordan udfases den.