Android-en sare zaintzaren abisua: irakurri konfiantzaren aldaketa
Zaintza-ohar bat, instalatutako CA bat eta kudeatutako politika bat hiru gauza desberdinak dira. Egiaztatu Android-ek zer jakinarazten duen kredentzialak ezabatu aurretik.
Hiru ohar antzekoak dira telefono batean, eta horietako bakarra da ziurtagiri bati buruzkoa. VPN egoeraren lerro batek, konfiantza-biltegiko abisu batek eta gailu kudeatu baten bandak kontrol desberdin bat izendatzen dute bakoitzak, eta une horretan pantailan dagoen aplikazioak agian bat ere ez du berea. Testu zehatza lehenengo irakurtzeak okerreko gauza ezabatetik salbatzen zaitu. Jarraitu beheko bost egiaztapenak hurrenez hurren eta gelditu huts egiten duen lehenengoan, ekintza zuzena erabat aldatzen baita urrats bakoitzean.
0. urratsa: identifikatu zein ohar ari zaren ikusten
Testuak ikonoak baino gehiago balio du. VPN egoeraren ohar batek esan nahi du aplikazio batek VpnService aktibo bat duela. Ziurtagiri abisu batek esan nahi du zerbait konfiantza-biltegi batean instalatuta dagoela. Gailu kudeatuaren ohar batek esan nahi du administratzaile batek politika bat aplikatu duela, eta politika horren parte gisa konfiantza instalatu izana gerta liteke.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
Testuak hitzez hitz «Network may be monitored» dioenean, igorlea sistema da, ez VPN hornitzailea: Android-ek lerro hori inprimatzen du aplikazio batek VpnService aktibo bat duen bakoitzean, beraz bezero komertzial arrunt batek hura sortzen du konfiantza-biltegian ezer jarri gabe. Hiru oharretatik bi aldi berean egia izan daitezke, eta horregatik kexak normalean okerra izendatzen du. Esaldiak CA bat instalatuta dagoela badio, VPN-a susmagarri bat da gehienez, eta hura desinstalatzeak abisua zegoen leku berean utz dezake.
1. urratsa: aurkitu kredentziala eta haren biltegia
Android 9tik 12ra bidea Ezarpenak, gero Segurtasuna, gero Zifratzea eta kredentzialak, gero Konfiantzazko kredentzialak da; Android 13 eta berriagoek pantaila bera Segurtasuna eta pribatutasuna, gero Segurtasun-ezarpen gehiago atalean jartzen dute, eta OEM azalek mailak berriz ere izendatzen dituzte, beraz bilatu «Konfiantzazko kredentzialak» ezarpenen aplikazioan bidea bat ez badator. Erabiltzailea fitxak pertsona edo aplikazio batek instalatutako autoritateak ditu, eta Sistema fitxak eraikitzearekin batera etorri zena. Kudeaketak bultzatutako autoritate bat gailuaren politikan edo laneko profilean agertzen da, ez erabiltzailearen biltegian ukitu arrunt gisa.
Erregistratu igorlea, baliozko datak eta nor izan zen instalatu zuena. Sarrera ez badago erabiltzailearen biltegian, gelditu hemen, sistema edo kudeatutako elementua baita eta ez baita zurea ezarpenen pantaila batetik ezabatzeko. Han okerreko errenkada ezabatuz galtzen du telefonoak Wi-Fi edo laneko saioa, konfiantzaren galdera erantzunik gabe geratzen den bitartean.
2. urratsa: bereizi VPN profil baten CA telefonoaren konfiantzatik
OpenVPN profil batek, edo bere zerbitzaria TLS bidez autentifikatzen duen edozein bezerok, bere zerbitzaria egiaztatzeko bezero horrek bakarrik erabiltzen duen CA bat eraman dezake. WireGuard profilek ez du CArik eramaten: gako publikoen bikoteetan oinarritzen da, beraz Android-en konfiantza-biltegian dagoen autoritate bat ezin izan zen inoiz WireGuard konfigurazio batetik etorri. Profilari dagokion ziurtagiri horrek ez du beste aplikaziorik iristen, eta sistema-konfiantzako biltegira kopiatzea eragin-esparru desberdineko eragiketa bereizia da. Biak bereizita edukitzea da urrats honen gakoa, bigarrenak bakarrik aldatzen baitu beste aplikazioek onartuko dutena.
CA bat duen VPN profil bat, beraz, ez da atzematearen froga, eta VPN aplikazio bat ez da inoiz sortu ez zuen konfiantza-sarrera baten jabea. Proba merkea da: gelditu VPN-a eta irakurri berriro oharra. Ziurtagiri abisua oraindik han badago, VPN-ak ez zuen hara jarri eta aplikazioa kentzeak ez du kenduko.
3. urratsa: bereizi zerbitzari-autoritatea bezero-identitatetik
Bezero-identitatearen ziurtagiri batek eta haren gako pribatuak gailu hau zerbitzari baten aurrean autentifikatzen dute. CA batean konfiantza jartzen da zerbitzariak aplikazioen aurrean autentifikatzeko. Elkarrekin gordetzen dira eta antzekoak dirudite zerrenda batean, baina erabat desberdinak diren lanak egiten dituzte.
Bezero-identitatea kentzeak Wi-Fi edo VPN autentifikazioa hautsi dezake HTTPS konfiantzari buruz ezer egin gabe, eta CA bat kentzeak autoritate hori onartzen duen aplikazio guztiei eragiten die. Erabaki zein ari zaren ikusten bi horietatik edozer sakatu aurretik, erantzunak jabea eta berreskuratze-bidea izendatzen baititu.
4. urratsa: galdetu zein aplikaziok fidatzen duten benetan
Android-en Sarearen Segurtasun Konfigurazioak aplikazioaren muga ezartzen du. API 24 edo geroagora zuzendutako aplikazioek sistemaren autoritateetan fidatzen dute lehenespenez, API 23 edo lehenagora zuzendutakoek erabiltzaileak gehitutako autoritateetan ere fidatzen dute lehenespenez, eta aplikazio batek bere aingurak izenda ditzake, domeinuko arauak gehitu edo lehenespenak erabat baztertu.
Beraz «telefonoan instalatuta» ez da aplikazio guztien HTTPS konfiantzaren deskribapena: erabiltzaileak gehitutako autoritate bat aplikazio zaharrago batek errespetatu dezake, uneko batek baztertu, eta bere aingurak dakartzan aplikazio batek berariaz fidatu. Autoritatea laneko Wi-Fi, web zerbitzu pribatu edo onartutako ikuskapen-ezarpen baterako instalatu bazen, galdera erabilgarria da zein aplikazio eta profilek duten hura behar. Sarearen Segurtasun Konfigurazioaren gidak dio zenbateraino iristen den instalatutako autoritate bat aplikazio jakin batean, eta hori da abisu honen laburpen gehienek uzten duten zatia.
5. urratsa: erabaki, eta gero jaso jabea eta irteera-plana
Autoritatea espero bada, dokumentatu nork instalatu zuen, zein konexiok duten hura behar eta nola erretiratuko den. Autoritate batean fidatzea erabaki garrantzitsua da gaur atzematerik gertatzen ez denean ere, konfiantza baita geroago atzematea posible egiten duena.
Espero ez bada, ikertu gailuaren edo zerbitzuaren jabearen bidez telefono horretan datu sentikorrik sartu aurretik. Zaharkituta badago, kendu elementu zehatz hori instalatu zuenaren bidez, zer duen hura behar egiaztatu ondoren, eta inoiz ez hasi kredentzial guztiak garbitzen. Abisua ezkutatzeak pantaila aldatzen du eta beste ezer ez. Gako pribatu bat edo profil oso bat ez litzateke inoiz igo behar ziurtagiriak egiaztatzeko zerbitzu publiko batera zalantza argitzeko.
Pantaila utzi aurretik hiru erantzun nahi dituzu: nork instalatu zuen, zein konexiok dute hura behar eta nola erretiratzen den.