Androidi VPN versus rakenduste load: mida hoiatus tähendab

Kahte Androidi dialoogi aetakse pidevalt segamini: VPN-i nõusolekuküsimus ja lubade taotlused, mille rakendus sinu andmete jaoks esitab. Esimene annab üle võrgupositsiooni, koha, kus pakette saab lugeda ja ümber kirjutada. Teine annab üle salvestatud sisu, mida Android kaitseb rakendus rakenduse haaval. Kui kohelda neid ühe asjana, siis kas liialdatakse sellega, mida tunnel näha võib, või alahinnatakse tõsiselt seda, mida otsusekindel rakendus järgmisena küsib.

Mida nõusolekudialoog tegelikult üle annab

Rakendus, mis rakendab VpnService ja deklareerib BIND_VPN_SERVICE, palub süsteemil saada seadme VPN-iks. Kinnitamise järel loob raamistik tun-liidese ja annab rakendusele selle jaoks failideskriptori. Kõik, mida rakendus seejärel teeb, voolab läbi selle deskriptori: see loeb sealt välja IP-pakette, otsustab, mida nendega teha, ja kirjutab paketid tagasi sisse.

Selle liidese ulatus on selgesõnaline. Marsruudid otsustavad, millised sihtkohad tabatakse, ning addAllowedApplication või addDisallowedApplication otsustab, millised rakendused seda toidavad. Rakendusepõhine VPN, mis loetleb kahte rakendust, ei näe seadme ülejäänud osa.

See on luba paketi tasandil, mitte andmete tasandil. Teenus näeb baite, mille rakendus võrgupinule üle annab, suunatuna sihtkohta. See ei saa juurdepääsu saatva rakenduse privaatsele salvestusruumile, selle andmebaasifailidele ega selle dekrüpteeritud mälule. Failid, mille rakendus on oma liivakasti salvestanud, jäävad täpselt sama raskesti loetavaks nagu varem.

Kus paketivaade lõpeb

TLS teeb oma tööd endiselt tunneli sees, sest kätlus toimub rakenduse ja serveri vahel, mitte rakenduse ja VPN-i vahel. VPN edastab šifriteksti, mida see ei saa sessioonivõtmeteta dekrüpteerida. Seetõttu ei paljasta tunnel üksi HTTPS-lehe ega kaitstud meiliseansi sisu.

Šifriteksti ümbritsev metaandmed on hoopis teine lugu ja just siin lagunevad enamik enesekindlaid väiteid. Sihtkoha IP, port, paketi suurused ja ajastus on kõik nähtavad, lisaks serveri nimi TLS ClientHello sees, mis saadetakse tavaliselt avatud kujul ka TLS 1.3 korral. Encrypted Client Hello muudab seda, kuid see ei ole universaalne. Tavaline DNS lekitab nimesid sama kergesti, kui päringud väljuvad krüpteerimata.

Vanemad või valesti seadistatud protokollid annavad üle rohkem. Tavaline HTTP, TLS-ita IMAP ning mitmed mängu- ja IoT-protokollid paljastavad oma sisu kõigele, millel on tun-deskriptor.

Load, mis kunagi sellega kaasa ei tule

VPN-i kinnitamine ei kinnita kontakte, SMS-e, fotosid ega meediateeki. Need on eraldi käitusaegsed load, igaühel oma dialoog ja oma tühistamise tee rakenduse seadete lehel. VPN-klient, kes tahab sinu kõnulogi, peab seda küsima nagu iga teine rakendus, ja sina võid keelduda, jättes tunneli alles.

Sertifikaadi paigaldamine on see, millele tähelepanu pöörata, sest see näeb välja nagu VPN-i seadistamise osa, aga ei ole. Kasutaja CA paigaldamine mandaatide hoidlasse muudab seda, milliseid sertifikaate Android aktsepteerib, ja alates Android 7.0-st eirab API 24 või uuemat sihtiv rakendus kasutaja lisatud CA-sid, kui selle võrgu turvakonfiguratsioon ei vali seda kasutaja usaldusankruga. Klient, kes CA-d nõuab, võib teha seaduslikku ettevõttevahelist pealtkuulamist või küsida midagi, mida VPN-i dialoog kunagi ei maininud.

Juurdepääsetavuse juurdepääs asub veelgi kaugemal. Juurdepääsetavusega lubatud teenus saab lugeda teiste rakenduste ekraanisisu, mida ükski paketi tasandi positsioon ei anna.

Kohalik filter või kaugvärav

Sama API katab kahte toodet, mis väärivad erinevat usaldustaset. Seadmes olev tulemüür või reklaamiblokeerija võtab tun-deskriptori ja vastab liiklusele kohapeal, saatmata seda kunagi serverisse, mida see ise käitab. Tõeline tunnel edastab need paketid väravale mujale ning see operaator näeb teisest otsast samu metaandmeid ja otsustab ühtlasi, mis tagasi tuleb.

Praktiline viis neid eristada on kontrollida oma avalikku aadressi VPN-i sisse ja välja lülitatuna ning vaadata, kas teade nimetab kaugotspunkti. Kui aadress ei muutu kunagi, keerleb liiklus tõenäoliselt seadme enda sees.

Mõlemal juhul on see endiselt paketi positsioon. Erinevus on selles, kes veel väljapääsu juures seisab.

Kontrolli, mida sa kinnitasid

Ava Seaded, seejärel Võrk ja internet, seejärel VPN, ja loe kirjet, mitte olekuriba ikooni. Always-on VPN ja Blokeeri ühendused ilma VPN-ita on seadme seaded, mis hoiavad liidest elus ja lõikavad lekkeid; need ei laienda midagi. Samalt ekraanilt saad profiili unustada ja loa tühistada.

Seejärel käi läbi muud load. Rakenduse teave näitab, millised käitusaegsed load kliendil on, ja turbeseaded näitavad, kas samal ajal paigaldati kasutajasertifikaat. Kumbagi saab eemaldada sõltumatult.

Küsimus, millele tasub vastata, on kitsas: millised paketid sellesse teenusesse sisenevad, kuhu need lähevad ja mida teostus säilitab. Kõik muu dialoogis on müra. VpnService'i viide on autoriteetne loetelu sellest, mida liides paljastab.