Averto pri reta observado en Android: legu la ŝanĝon de fido

Tri avizoj aspektas simile sur telefono, kaj nur unu el ili temas pri atestilo. Linio pri VPN-stato, averto pri fidseno kaj rubando pri administrita aparato ĉiu nomas alian regilon, kaj la aplikaĵo sur la ekrano en tiu momento eble posedas neniun el ili. Legi unue la precizan vortigon savas vin de forigo de la malĝusta afero. Trapasu la kvin kontrolojn sube laŭ ordo kaj haltu ĉe la unua malsukcesa, ĉar la ĝusta ago tute ŝanĝiĝas ĉe ĉiu paŝo.

Paŝo 0: identigu, kiun avizon vi legas

La vortigo pli gravas ol la piktogramo. Avizo pri VPN-stato signifas, ke aplikaĵo tenas aktivan VpnService. Averto pri atestilo signifas, ke io estas instalita en fidseno. Avizo pri administrita aparato signifas, ke administranto aplikis politikon, kiu eble instaligis fidon kiel parton de tiu politiko.

Kiam la teksto laŭvorte diras «Network may be monitored», la sendinto estas la sistemo, ne la VPN-provizanto: Android presas tiun linion ĉiam, kiam aplikaĵo tenas aktivan VpnService, do ĉefa komerca kliento produktas ĝin sen meti ion ajn en la fidsenon. Du el la tri avizoj povas esti veraj samtempe, kaj tial la plendo kutime nomas la malĝustan. Se la frazo diras, ke CA estas instalita, la VPN estas plej multe suspektato, kaj malinstali ĝin eble lasos la averton ĝuste tie, kie ĝi estis.

Paŝo 1: trovu la legitimilon kaj ĝian konservejon

En Android 9 ĝis 12 la vojo estas Agordoj, poste Sekureco, poste Ĉifrado kaj legitimiloj, poste Fidindaj legitimiloj; Android 13 kaj postaj movas la saman ekranon sub Sekureco kaj privateco, poste Pliaj sekurecaj agordoj, kaj la fasadoj de OEM denove renomas la nivelojn, do serĉu en la agorda aplikaĵo «Fidindaj legitimiloj», kiam la vojo ne kongruas. La langeto Uzanto tenas aŭtoritatojn instalitajn de persono aŭ aplikaĵo, kaj la langeto Sistemo tenas tion, kio venis kun la konstruo. Aŭtoritato puŝita de administrado aperas per la aparata politiko aŭ ene de laboreja profilo, ne kiel ordinara frapeto en la uzanta konservejo.

Notu la eldonanton, la validajn datojn kaj kiu ajn instalas ĝin. Se la ero tute ne estas en la uzanta konservejo, haltu ĉi tie, ĉar ĝi estas sistema aŭ administrita ero kaj ne estas via por forigi el agorda ekrano. Forigi la malĝustan vicon tie estas kiel telefono perdas Wi-Fi aŭ laborkonton, dum la fido-demando restas sen responde.

Paŝo 2: apartigu la CA de VPN-profilo de la fido de la telefono

OpenVPN-profilo, aŭ iu ajn kliento, kiu aŭtentikigas sian serveron per TLS, povas porti CA uzatan nur de tiu kliento por kontroli sian propran serveron. WireGuard-profilo portas neniun CA: ĝi dependas de publikŝlosilaj paroj, do aŭtoritato sidanta en la fidseno de Android povis neniam veni de WireGuard-agordo. Tiu profil-loka atestilo atingas neniun alian aplikaĵon, kaj kopii ĝin en la sisteman fidsenon estas aparta operacio kun aparta efiko. Teni la du aparte estas la tuta celo de ĉi tiu paŝo, ĉar nur la dua ŝanĝas, kion aliaj aplikaĵoj akceptos.

VPN-profilo enhavanta CA do ne estas pruvo de interkapto, kaj VPN-aplikaĵo ne estas la posedanto de fida ero, kiun ĝi neniam kreis. La testo estas malmultekosta: haltigu la VPN kaj relegu la avizon. Se la atestila averto ankoraŭ estas, la VPN ne metis ĝin tie kaj forigo de la aplikaĵo ne forigos ĝin.

Paŝo 3: distingui servilan aŭtoritaton de klienta identeco

Klienta identeca atestilo kaj ĝia privata ŝlosilo aŭtentikigas ĉi tiun aparaton al servilo. CA estas fidata por aŭtentikigi servilojn al aplikaĵoj. Ili estas konservataj kune kaj aspektas simile en listo, tamen ili plenumas tute malsamajn taskojn.

Forigi klientan identecon povas rompi Wi-Fi aŭ VPN-aŭtentikigon, dum ĝi faras nenion pri HTTPS-fido, kaj forigi CA efikas al ĉiu aplikaĵo, kiu akceptas tiun aŭtoritaton. Decidu, kiun el la du vi rigardas, antaŭ ol premi ion ajn, ĉar la respondo nomas la posedanton kaj la restaŭran vojon.

Paŝo 4: demandu, kiuj aplikaĵoj fakte fidas ĝin

La Reta Sekureca Agordo de Android difinas la aplikaĵan limon. Aplikaĵoj celantaj API 24 aŭ poste fidas sistemajn aŭtoritatojn defaŭlte, dum aplikaĵoj celantaj API 23 aŭ pli frue ankaŭ fidas uzantajn aŭtoritatojn defaŭlte, kaj aplikaĵo povas nomi siajn proprajn ankrojn, aldoni regulojn laŭ domajno aŭ tute ekskludi la defaŭltojn.

Do «instalita sur la telefono» ne priskribas la HTTPS-fidon de ĉiu aplikaĵo: uzanta aŭtoritato povas esti honorata de pli malnova aplikaĵo, ignorata de nuntempa, kaj eksplicite fidata de aplikaĵo, kiu liveras siajn proprajn ankrojn. Se la aŭtoritato estis instalita por laboreja Wi-Fi, privata retservo aŭ aprobita inspekta aranĝo, la utila demando estas, kiuj aplikaĵoj kaj profiloj dependas de ĝi. La gvidilo pri Reta Sekureca Agordo estas la referenco por kiom malproksimen instalita aŭtoritato atingas en donita aplikaĵo, kaj ĝi estas la parto, kiun plej multaj resumoj de ĉi tiu averto ellandas.

Paŝo 5: decidu, poste notu la posedanton kaj la eliron

Se la aŭtoritato estas atendita, dokumentu, kiu instalas ĝin, kiuj konektoj dependas de ĝi kaj kiel ĝi estos emeritigita. Fidi aŭtoritaton estas grava decido eĉ kiam neniu interkapto okazas hodiaŭ, ĉar la fido estas tio, kio ebligas interkapton poste.

Se ĝi estas neatendita, esploru per la posedanto de la aparato aŭ servo antaŭ ol enigi sentemajn datumojn sur tiu telefono. Se ĝi estas eksdata, forigu tiun specifan eron per kiu ajn instalas ĝin, post kontroli, kio dependas de ĝi, kaj neniam komencu per forigo de ĉiuj legitimiloj. Kaŝi la averton ŝanĝas la ekranon kaj nenion alian. Privata ŝlosilo aŭ plena profilo neniam estu alŝutita al publika atestila kontrolservo por solvi la demandon.

Antaŭ ol vi lasos la ekranon, vi volas tri respondojn: kiu instalas ĝin, kiuj konektoj dependas de ĝi, kaj kiel ĝi estas emeritigita.