Προειδοποίηση Android για παρακολούθηση δικτύου: διαβάστε την αλλαγή εμπιστοσύνης

Τρεις ειδοποιήσεις μοιάζουν ίδιες σε ένα τηλέφωνο, αλλά μόνο μία αφορά πιστοποιητικό. Η γραμμή κατάστασης VPN, η προειδοποίηση του χώρου εμπιστοσύνης και το πλαίσιο διαχειριζόμενης συσκευής ονομάζουν διαφορετικό έλεγχο, και η εφαρμογή στην οθόνη μπορεί να μην κατέχει κανέναν από αυτούς. Η ανάγνωση της ακριβούς διατύπωσης πρώτα σας γλιτώνει από τη διαγραφή του λάθους. Εκτελέστε τους πέντε ελέγχους παρακάτω με σειρά και σταματήστε στον πρώτο που αποτυγχάνει, γιατί η σωστή ενέργεια αλλάζει εντελώς σε κάθε βήμα.

Βήμα 0: προσδιορίστε ποια ειδοποίηση βλέπετε

Η διατύπωση μετράει περισσότερο από το εικονίδιο. Ειδοποίηση κατάστασης VPN σημαίνει ότι μια εφαρμογή κρατά ενεργή VpnService. Προειδοποίηση πιστοποιητικού σημαίνει ότι κάτι είναι εγκατεστημένο σε χώρο εμπιστοσύνης. Ειδοποίηση διαχειριζόμενης συσκευής σημαίνει ότι ένας διαχειριστής εφάρμοσε πολιτική, η οποία μπορεί να εγκατέστησε και εμπιστοσύνη.

Όταν το κείμενο λέει κυριολεκτικά ότι το δίκτυο μπορεί να παρακολουθείται, ο αποστολέας είναι το σύστημα και όχι ο πάροχος VPN: το Android τυπώνει αυτή τη γραμμή κάθε φορά που μια εφαρμογή κρατά ενεργή VpnService, άρα ένας συνηθισμένος εμπορικός πελάτης την παράγει χωρίς να βάλει τίποτα στον χώρο εμπιστοσύνης. Δύο από τις τρεις ειδοποιήσεις μπορούν να ισχύουν ταυτόχρονα, γι’ αυτό η αναφορά συνήθως ονομάζει τη λάθος. Αν η πρόταση λέει ότι είναι εγκατεστημένο ένα CA, το VPN είναι το πολύ ύποπτο, και η απεγκατάσταση μπορεί να αφήσει την προειδοποίηση ακριβώς εκεί που ήταν.

Βήμα 1: βρείτε το διαπιστευτήριο και τον χώρο του

Στο Android 9 έως 12 η διαδρομή είναι Ρυθμίσεις, Ασφάλεια, Κρυπτογράφηση και διαπιστευτήρια, Αξιόπιστα διαπιστευτήρια· το Android 13 και νεότερο μετακινούν την ίδια οθόνη στην Ασφάλεια και απόρρητο, έπειτα Περισσότερες ρυθμίσεις ασφάλειας, και τα περιβλήματα κατασκευαστών μετονομάζουν ξανά τα επίπεδα, οπότε όταν η διαδρομή δεν ταιριάζει, αναζητήστε στην εφαρμογή ρυθμίσεων Αξιόπιστα διαπιστευτήρια. Η καρτέλα Χρήστης περιέχει αρχές που εγκατέστησε πρόσωπο ή εφαρμογή, και η καρτέλα Σύστημα ό,τι ήρθε με την έκδοση. Μια αρχή που ωθεί η διαχείριση εμφανίζεται μέσω πολιτικής συσκευής ή μέσα σε προφίλ εργασίας, όχι ως τυχαίο πάτημα στον χώρο χρήστη.

Καταγράψτε τον εκδότη, τις ημερομηνίες ισχύος και ποιος την εγκατέστησε. Αν η καταχώριση δεν βρίσκεται καθόλου στον χώρο χρήστη, σταματήστε εδώ, γιατί είναι στοιχείο συστήματος ή διαχείρισης και δεν είναι δική σας δουλειά να το διαγράψετε από οθόνη ρυθμίσεων. Η διαγραφή της λάθος γραμμής εκεί είναι ο τρόπος με τον οποίο ένα τηλέφωνο χάνει το Wi-Fi ή μια σύνδεση εργασίας, ενώ το ερώτημα εμπιστοσύνης μένει αναπάντητο.

Βήμα 2: χωρίστε το CA ενός προφίλ VPN από την εμπιστοσύνη του τηλεφώνου

Ένα προφίλ OpenVPN, ή οποιοσδήποτε πελάτης πιστοποιεί τον διακομιστή του μέσω TLS, μπορεί να φέρει CA που χρησιμοποιεί μόνο αυτός ο πελάτης για να επαληθεύσει τον δικό του διακομιστή. Ένα προφίλ WireGuard δεν φέρει καθόλου CA: βασίζεται σε ζεύγη δημόσιων κλειδιών, άρα μια αρχή στον χώρο εμπιστοσύνης του Android δεν μπορεί να προήλθε από ρύθμιση WireGuard. Αυτό το πιστοποιητικό, τοπικό στο προφίλ, δεν φτάνει σε καμία άλλη εφαρμογή, και η αντιγραφή του στον χώρο εμπιστοσύνης του συστήματος είναι ξεχωριστή ενέργεια με ξεχωριστή εμβέλεια. Το να κρατάτε τα δύο χωριστά είναι όλο το νόημα αυτού του βήματος, γιατί μόνο το δεύτερο αλλάζει τι θα δεχτούν άλλες εφαρμογές.

Ένα προφίλ VPN με CA δεν είναι λοιπόν απόδειξη υποκλοπής, και μια εφαρμογή VPN δεν είναι ιδιοκτήτης καταχώρισης εμπιστοσύνης που ποτέ δεν δημιούργησε. Η δοκιμή είναι φθηνή: σταματήστε το VPN και ξαναδιαβάστε την ειδοποίηση. Αν η προειδοποίηση πιστοποιητικού παραμένει, το VPN δεν την έβαλε εκεί και η αφαίρεση της εφαρμογής δεν θα την αφαιρέσει.

Βήμα 3: ξεχωρίστε αρχή διακομιστή από ταυτότητα πελάτη

Ένα πιστοποιητικό ταυτότητας πελάτη και το ιδιωτικό του κλειδί πιστοποιούν αυτή τη συσκευή σε έναν διακομιστή. Ένα CA είναι αξιόπιστο για να πιστοποιεί διακομιστές σε εφαρμογές. Αποθηκεύονται μαζί και μοιάζουν σε μια λίστα, αλλά κάνουν εντελώς διαφορετική δουλειά.

Η αφαίρεση ταυτότητας πελάτη μπορεί να χαλάσει την πιστοποίηση Wi-Fi ή VPN χωρίς να κάνει τίποτα για την εμπιστοσύνη HTTPS, και η αφαίρεση CA επηρεάζει κάθε εφαρμογή που δέχεται αυτή την αρχή. Αποφασίστε ποια από τις δύο βλέπετε πριν πατήσετε οτιδήποτε, γιατί η απάντηση ονομάζει τον ιδιοκτήτη και τη διαδρομή ανάκτησης.

Βήμα 4: ρωτήστε ποιες εφαρμογές την εμπιστεύονται πραγματικά

Η διαμόρφωση ασφάλειας δικτύου του Android ορίζει το όριο της εφαρμογής. Εφαρμογές με στόχο API 24 ή νεότερο εμπιστεύονται εξ ορισμού τις αρχές συστήματος, ενώ εφαρμογές με στόχο API 23 ή παλαιότερο εμπιστεύονται εξ ορισμού και αρχές που πρόσθεσε ο χρήστης, και μια εφαρμογή μπορεί να ονομάσει τις δικές της άγκυρες, να προσθέσει κανόνες ανά τομέα ή να εξαιρεθεί εντελώς από τις προεπιλογές.

Άρα το εγκατεστημένο στο τηλέφωνο δεν περιγράφει την εμπιστοσύνη HTTPS κάθε εφαρμογής: μια αρχή που πρόσθεσε ο χρήστης μπορεί να γίνεται σεβαστή από παλαιότερη εφαρμογή, να αγνοείται από τρέχουσα και να γίνεται ρητά αποδεκτή από εφαρμογή που φέρνει τις δικές της άγκυρες. Αν η αρχή εγκαταστάθηκε για Wi-Fi εργασίας, ιδιωτική υπηρεσία ιστού ή εγκεκριμένη επιθεώρηση, το χρήσιμο ερώτημα είναι ποιες εφαρμογές και προφίλ εξαρτώνται από αυτή. Ο Network Security Configuration guide είναι η αναφορά για το πόσο μακριά φτάνει μια εγκατεστημένη αρχή σε μια δεδομένη εφαρμογή, και αυτό είναι το μέρος που οι περισσότερες συνόψεις αυτής της προειδοποίησης παραλείπουν.

Βήμα 5: αποφασίστε, μετά καταγράψτε τον ιδιοκτήτη και το σχέδιο εξόδου

Αν η αρχή είναι αναμενόμενη, τεκμηριώστε ποιος την εγκατέστησε, ποιες συνδέσεις εξαρτώνται από αυτή και πώς θα αποσυρθεί. Το να εμπιστεύεστε μια αρχή είναι σημαντική απόφαση ακόμη και όταν σήμερα δεν γίνεται υποκλοπή, γιατί η εμπιστοσύνη είναι αυτό που κάνει την υποκλοπή δυνατή αργότερα.

Αν είναι απρόσμενη, ερευνήστε μέσω του ιδιοκτήτη της συσκευής ή της υπηρεσίας πριν εισαγάγετε ευαίσθητα δεδομένα σε αυτό το τηλέφωνο. Αν είναι παρωχημένη, αφαιρέστε ακριβώς αυτό το στοιχείο μέσω όποιου την εγκατέστησε, αφού ελέγξετε τι εξαρτάται από αυτή, και μην αρχίζετε ποτέ καθαρίζοντας όλα τα διαπιστευτήρια. Το να κρύψετε την προειδοποίηση αλλάζει την εμφάνιση και τίποτα άλλο. Ένα ιδιωτικό κλειδί ή ένα πλήρες προφίλ δεν πρέπει ποτέ να ανεβαίνει σε δημόσια υπηρεσία ελέγχου πιστοποιητικών για να λυθεί το ζήτημα.

Πριν φύγετε από την οθόνη θέλετε τρεις απαντήσεις: ποιος την εγκατέστησε, ποιες συνδέσεις εξαρτώνται από αυτή και πώς αποσύρεται.