Εφαρμογή VPN ζητά επαφές και προσβασιμότητα: τι να επιτρέψετε

Ο εγκαταστάτης ζητά πρώτα πρόσβαση δικτύου, μετά επαφές, προσβασιμότητα και εγκατάσταση πιστοποιητικού. Μόνο το πρώτο αίτημα ανήκει στην εργασία. Η πραγματική απόφαση βρίσκεται στη δεύτερη οθόνη.

Κρίνετε κάθε αίτημα με βάση μια λειτουργία που επιλέξατε, στην πλατφόρμα που χρησιμοποιείτε. Καμία καθολική λίστα αδειών δεν καλύπτει κάθε προϊόν VPN, και μια μεγάλη λίστα δεν αποδεικνύει τίποτα από μόνη της.

Η μόνη άδεια που χρειάζεται πραγματικά η εργασία

Το Android ζητά από τον χρήστη να εγκρίνει μια υπηρεσία VPN μέσω συστήματος διαλόγου πριν ξεκινήσει οποιοδήποτε τούνελ, και η υπηρεσία της εφαρμογής δηλώνει BIND_VPN_SERVICE ώστε το σύστημα να μπορεί να δεθεί σε αυτή. Λειτουργικά, η εφαρμογή κάνει τη δουλειά της δρομολόγησης. Η συγκατάθεση προέρχεται από το πρόσωπο που κρατά τη συσκευή, σε διάλογο που ονομάζει την εφαρμογή, και η ανάκλησή της αργότερα είναι υποστηριζόμενη ενέργεια.

Οι πλατφόρμες Apple εκφράζουν την ίδια ιδέα μέσω επέκτασης δικτύου και έγκρισης εγκατάστασης αντί για οθόνη αδειών. Τα Windows χρησιμοποιούν οδηγό εικονικού προσαρμογέα και προτροπή ανύψωσης δικαιωμάτων. Δύο μορφές, μία σημασία: αυτό το πρόγραμμα μπορεί να χειρίζεται πακέτα. Τίποτα σε αυτή την άδεια δεν καλύπτει την ανάγνωση του βιβλίου διευθύνσεών σας ή την έκδοση δικής του αρχής πιστοποιητικών.

Η πρόσθετη πρόσβαση είναι ξεχωριστή παραχώρηση με ξεχωριστές συνέπειες. Ένας πελάτης δρομολόγησης που τη θέλει χρειάζεται δικό του λόγο.

Πού χρειάζονται τα πρόσθετα αιτήματα τη δική τους ιστορία

Μια υπηρεσία προσβασιμότητας μπορεί να διαβάζει το περιεχόμενο της οθόνης και να ενεργεί για λογαριασμό σας, κάτι πολύ πέρα από τη δρομολόγηση. Η διαχείριση συσκευής μπορεί να επιβάλλει πολιτικές κλειδώματος και να διαγράφει δεδομένα. Ένα πιστοποιητικό ρίζας που εγκαθιστά ο χρήστης επιτρέπει σε όποιον κρατά το αντίστοιχο κλειδί να διαβάζει κίνηση που το TLS θα προστάτευε.

Κάθε ένα από αυτά μπορεί να είναι νόμιμο. Προϊόντα για διαχειριζόμενες συσκευές και γονικό έλεγχο μπορεί να χρειάζονται εξουσίες πολιτικής, και ένα εργαλείο υποστήριξης μπορεί να χρειάζεται προσβασιμότητα για να σας καθοδηγήσει στις ρυθμίσεις.

Η απαίτηση είναι ιχνηλασιμότητα: το αίτημα δείχνει σε μια ονομασμένη λειτουργία, και αυτή η λειτουργία είναι ορατή στο προϊόν που εγκαταστήσατε. Ένα αίτημα επαφών χωρίς οθόνη που αφορά επαφές δεν έχει εξήγηση να προσφέρει. Ούτε το επιχείρημα της κρυπτογράφησης μεταφέρεται, γιατί η προστασία των πακέτων δεν λέει τίποτα για το ποιοι είναι οι φίλοι σας. Ένα νόμιμο προϊόν μπορεί ακόμη να ζητά υπερβολικά μέσω μιας ενσωματωμένης βιβλιοθήκης, και αυτό είναι ελάττωμα που αναφέρεται, όχι έγκλημα που καταγγέλλεται.

Καταγράψτε το αίτημα και τη λειτουργία στην οποία αντιστοιχεί, και μετά αποφασίστε. Αυτή η σημείωση είναι επίσης αυτό που δείχνετε στην υποστήριξη όταν μια λειτουργία χαλάσει μετά από άρνηση.

Διαβάζοντας το αίτημα στη συσκευή

Η καταχώριση στο κατάστημα περιγράφει την πρόθεση, ενώ το εγκατεστημένο πακέτο περιγράφει την πραγματικότητα. Ρωτήστε τον διαχειριστή πακέτων τι δηλώθηκε και τι παραχωρήθηκε πριν εγκρίνετε οτιδήποτε άλλο. Το ζεύγος μετρά περισσότερο όταν η καταχώριση και το μανιφέστο διαφωνούν.

Δύο ερωτήματα καλύπτουν τα περισσότερα:

adb shell dumpsys package com.example.vpn | grep -E "requested permissions|install permissions" -A 30
adb shell cmd appops get com.example.vpn

Το πρώτο απαριθμεί τις δηλωμένες έναντι των παραχωρημένων αδειών, και αυτή η σύγκριση αποκαλύπτει ένα υπερβολικά ευρύ μανιφέστο. Το δεύτερο δείχνει τις λειτουργίες της εφαρμογής σε χρόνο εκτέλεσης, μαζί με ειδικές προσβάσεις που δεν εμφανίζονται ποτέ ως συνηθισμένες άδειες. Όπου δεν υπάρχουν εργαλεία προγραμματιστή, διαβάστε τα ίδια γεγονότα από τις οθόνες ρυθμίσεων της πλατφόρμας.

Αυτές οι οθόνες παίρνουν ένα λεπτό και δεν χρειάζονται λογισμικό. Προσβασιμότητα, διαχείριση συσκευής και αποθήκευση πιστοποιητικών απαριθμούν η καθεμία τις εφαρμογές που έχουν την παραχώρηση.

Αποφασίζοντας, και μετά περιορίζοντας τη ζημιά

Δώστε την άδεια δικτύου σε έναν πελάτη που επιλέξατε και αντιμετωπίστε κάθε πρόσθετο αίτημα ως δική του απόφαση. Αρνηθείτε όσα δεν έχουν αντίστοιχη λειτουργία και μετά δείτε τι χαλάει. Ένας πελάτης δρομολόγησης που αποτυγχάνει όταν αρνείται η πρόσβαση στις επαφές δεν ζητούσε ποτέ επαφές για λογαριασμό σας.

Η ανάκληση μιας άδειας συνήθως απενεργοποιεί μία μόνο λειτουργία χωρίς απεγκατάσταση της εφαρμογής ή διάλυση κάθε προφίλ. Επανασυνδεθείτε μετά και επιβεβαιώστε ότι το τούνελ εξακολουθεί να στήνεται.

Χωρίστε τις δύο ερωτήσεις που ένα αίτημα τείνει να συγχωνεύσει: τι επιτρέπεται να κάνει αυτό το πρόγραμμα στη συσκευή και τι κάνει ο φορέας του με την κίνηση όταν το τούνελ είναι ενεργό. Η πρώτη απαντιέται εδώ. Η δεύτερη χρειάζεται πολιτική διατήρησης, και κανένας διάλογος δεν την παρέχει.