Androidi võrgu jälgimise hoiatus: loe usalduse muudatust

Kolm teatist näevad telefonis sarnased välja ja ainult üks neist puudutab sertifikaati. VPN-i olekurida, usaldushoidla hoiatus ja hallatava seadme riba nimetavad igaüks eri juhtelementi ning hetkel ekraanil olev rakendus ei pruugi ühtegi neist omada. Täpse sõnastuse lugemine kõigepealt päästab sind vale asja kustutamisest. Käi allolevad viis kontrolli järjekorras läbi ja peatu esimesel, mis ebaõnnestub, sest õige tegevus muutub igal sammul täielikult.

Samm 0: tee kindlaks, millist teatist vaatad

Sõnastus loeb rohkem kui ikoon. VPN-i olekuteade tähendab, et rakendusel on aktiivne VpnService. Sertifikaadi hoiatus tähendab, et midagi on usaldushoidlasse paigaldatud. Hallatava seadme teade tähendab, et administraator rakendas poliitikat, mis võis selle poliitika osana usalduse paigaldada.

Kui tekst on sõna-sõnalt «Network may be monitored», on saatjaks süsteem, mitte VPN-i pakkuja: Android trükib selle rea alati, kui rakendusel on aktiivne VpnService, nii et tavaline äriklient tekitab selle ilma usaldushoidlasse midagi panemata. Kaks kolmest teatest võivad olla korraga tõesed, mistõttu kaebus nimetab tavaliselt vale. Kui lause ütleb, et CA on paigaldatud, on VPN kõige rohkem kahtlusalune ja selle desinstallimine võib jätta hoiatuse täpselt sinna, kus see oli.

Samm 1: leia tunnus ja selle hoidla

Androidis 9 kuni 12 on tee Seaded, siis Turvalisus, siis Krüpteerimine ja tunnused, siis Usaldusväärsed tunnused; Android 13 ja hilisemad viivad sama ekraani jaotisse Turvalisus ja privaatsus, siis Rohkem turbeseadeid, ja OEM-i kestad nimetavad tasemeid jälle ümber, nii et otsi seadete rakendusest «Usaldusväärsed tunnused», kui tee ei klapi. Vahekaart Kasutaja sisaldab isiku või rakenduse paigaldatud volitusi ja vahekaart Süsteem sisaldab seda, mis tuli koos buildiga. Halduse poolt lükatud volitus ilmub seadme poliitika kaudu või tööprofiili sees, mitte juhusliku puudutusena kasutajahoidlas.

Pane kirja väljaandja, kehtivuskuupäevad ja see, kes selle paigaldas. Kui kirje pole üldse kasutajahoidlas, peatu siin, sest see on süsteemi- või haldusüksus ja see pole sinu kustutada seadete ekraanilt. Vale rea kustutamine seal on viis, kuidas telefon kaotab Wi-Fi või töökonto, samal ajal kui usalduse küsimus jääb vastuseta.

Samm 2: eralda VPN-profiili CA telefoni usaldusest

OpenVPN-profiil või mis tahes klient, mis autendib oma serverit TLS-i kaudu, võib kanda CA-d, mida kasutab ainult see klient oma serveri kontrollimiseks. WireGuard-profiil ei kanna üldse CA-d: see tugineb avaliku võtme paaridele, nii et Androidi usaldushoidlas olev volitus ei saanud kunagi tulla WireGuard-konfiguratsioonist. See profiilipõhine sertifikaat ei jõua ühesssegi teise rakendusse ja selle kopeerimine süsteemi usaldushoidlasse on eraldi toiming eraldi mõjualaga. Nende kahe lahus hoidmine ongi selle sammu mõte, sest ainult teine muudab seda, mida teised rakendused aktsepteerivad.

CA-d sisaldav VPN-profiil ei ole seega tõend pealtkuulamise kohta ja VPN-rakendus ei ole usalduskirje omanik, mida see kunagi ei loonud. Test on odav: peata VPN ja loe teade uuesti. Kui sertifikaadi hoiatus on endiselt seal, ei pannud VPN seda sinna ja rakenduse eemaldamine ei eemalda seda.

Samm 3: erista serveri volitus kliendi identiteedist

Kliendi identiteedisertifikaat ja selle privaatvõti autendivad selle seadme serveri ees. CA-d usaldatakse serverite autentimiseks rakenduste ees. Neid hoitakse koos ja need näevad loendis sarnased välja, kuid teevad täiesti erinevat tööd.

Kliendi identiteedi eemaldamine võib lõhkuda Wi-Fi või VPN-i autentimise, tegemata midagi HTTPS-i usalduse heaks, ja CA eemaldamine mõjutab iga rakendust, mis selle volituse vastu võtab. Otsusta, kumba kahest vaatad, enne kui midagi vajutad, sest vastus nimetab omaniku ja taastamistee.

Samm 4: küsi, millised rakendused seda tegelikult usaldavad

Androidi võrgu turvakonfiguratsioon määrab rakenduse piiri. API 24 või hilisemale sihitud rakendused usaldavad vaikimisi süsteemi volitusi, samas kui API 23 või varasemale sihitud rakendused usaldavad vaikimisi ka kasutaja lisatud volitusi, ja rakendus võib nimetada oma ankrud, lisada domeenipõhiseid reegleid või vaikimisi täielikult välistada.

Seega «telefoni paigaldatud» ei kirjelda iga rakenduse HTTPS-i usaldust: kasutaja lisatud volitust võib austada vanem rakendus, eirata praegune ja otseselt usaldada rakendus, mis toob kaasa oma ankrud. Kui volitus paigaldati töö-Wi-Fi, privaatse veebiteenuse või kinnitatud järelevalvelahenduse jaoks, on kasulik küsimus, millised rakendused ja profiilid sellest sõltuvad. Võrgu turvakonfiguratsiooni juhend on viide selle kohta, kui kaugele paigaldatud volitus antud rakenduses ulatub, ja see on osa, mille enamik selle hoiatuse kokkuvõtteid välja jätab.

Samm 5: otsusta, seejärel kirjuta omanik ja väljumisplaan

Kui volitus on oodatud, dokumenteeri, kes selle paigaldas, millised ühendused sellest sõltuvad ja kuidas see kasutusest kõrvaldatakse. Volituse usaldamine on oluline otsus ka siis, kui täna pealtkuulamist ei toimu, sest usaldus on see, mis teeb pealtkuulamise hiljem võimalikuks.

Kui see on ootamatu, uurige seadme või teenuse omaniku kaudu enne tundlike andmete sisestamist sellesse telefoni. Kui see on vananenud, eemalda just see konkreetne üksus selle kaudu, kes selle paigaldas, pärast kontrollimist, mis sellest sõltub, ja ära kunagi alusta kõigi tunnuste kustutamisest. Hoiatuse peitmine muudab ekraani ja ei midagi muud. Privaatvõtit ega tervet profiili ei tohi kunagi laadida avalikku sertifikaadikontrolli teenusesse küsimuse lahendamiseks.

Enne ekraanilt lahkumist tahad kolme vastust: kes selle paigaldas, millised ühendused sellest sõltuvad ja kuidas see kasutusest kõrvaldatakse.