Android VPNa aplikazioen baimenen aurrean: zer esan nahi du abisuak

Androiden bi elkarrizketa etengabe nahasten dira: VPN adostasunerako galdetegia eta aplikazio batek zure datuetarako egiten dituen baimen-eskaerak. Lehenak sare-posizio bat ematen du, paketeak irakurri eta berridatzi daitezkeen tokia. Bigarrenak Android-ek aplikazioz aplikazio zaintzen duen edukia ematen du. Biak gauza bakartzat hartzeak edo tunelak zer ikus dezakeen gehiegizkoa da, edo aplikazio tematak hurrengo urratsean zer eskatuko duen larriki gutxiesten du.

Zer ematen duen adostasun-elkarrizketak benetan

VpnService inplementatzen duen eta BIND_VPN_SERVICE deklaratzen duen aplikazio batek sistemari gailuaren VPN izateko eskatzen dio. Onespenaren ondoren, markoak tun interfaze bat sortzen du eta aplikazioari horretarako fitxategi-deskriptore bat ematen dio. Aplikazioak geroago egiten duen guztia deskriptore horretatik isurtzen da: IP paketeak irakurtzen ditu, haiekin zer egin erabakitzen du eta paketeak berriro barrura idazten ditu.

Interfaze horren esparrua lehenetsia da. Ibilbideek zehazten dute zein helburu harrapatzen diren, eta addAllowedApplication edo addDisallowedApplication ek zehazten dute zein aplikaziok elikatzen duten. Bi aplikazio zerrendatzen dituen aplikazio bakoitzeko VPN batek ez du gailuaren gainerakoa ikusten.

Hori pakete-mailako baimena da, ez datu-mailakoa. Zerbitzuak aplikazioak sare-pilari ematen dizkion byteak ikusten ditu, helmuga batera zuzenduta. Ez du sarbiderik lortzen bidaltzen duen aplikazioaren biltegiratze pribatura, ez haren datu-baseko fitxategietara, ez haren memoria deszifratura. Aplikazio batek bere sandboxean gordetako fitxategiak lehen bezain zailak dira irakurtzeko.

Non gelditzen den paketeen ikuspegia

TLS-k bere lana egiten jarraitzen du tunelaren barruan, esku-ematea aplikazioaren eta zerbitzariaren artean gertatzen baita, ez aplikazioaren eta VPN-aren artean. VPN-ak deskifratu ezin duen testu zifratua birbidaltzen du, saio-gakoak behar baitira horretarako. Horregatik tunel batek bakarrik ez du HTTPS orri baten edo posta-saio babestu baten edukia agerian uzten.

Testu zifratuaren inguruko metadatuak beste kontu bat dira, eta hemen erortzen dira ziurtzat emandako baieztapen gehienak. Helmugako IPa, ataka, paketeen tamainak eta denboratzea guztiak dira ikusgai, bai eta TLS ClientHello barneko zerbitzariaren izena ere, oro har argi bidaltzen dena TLS 1.3 erabiliz gero ere. Encrypted Client Hello hori aldatzen du, baina ez da unibertsala. DNS soilak izenak erraz askatzen ditu, kontsultak zifratu gabe ateratzen direnean.

Protokolo zaharren edo gaizki konfiguratuek gehiago ematen dute. HTTP soilak, TLSrik gabeko IMAPek eta hainbat joko- eta IoT-protokoloek beren karga erabilgarria tun deskriptorea duen edozein gauzari erakusten diote.

Inoiz harekin batera etortzen ez diren baimenak

VPN bat onartzeak ez ditu onartzen kontaktuak, SMSak, argazkiak edo multimedia biltegia. Exekuzio-denborako baimen bereiziak dira, eta bakoitzak bere elkarrizketa eta bere baliogabetze-bidea ditu aplikazioaren ezarpen orrian. Zure deien erregistroa nahi duen VPN bezero batek beste edozein aplikaziok bezala eskatu behar du, eta zu uko egin dezakezu tunela mantenduz.

Ziurtagiria instalatzea da zaindu beharrekoa, VPN ezarpenaren parte dirudielako eta ez delako. Erabiltzailearen CA bat kredentzialen biltegian instalatzeak aldatzen du Android-ek zein ziurtagiri onartuko dituen, eta Android 7.0tik aurrera API 24 edo berriagoa helburu duen aplikazio batek ez ditu erabiltzaileak gehitutako CAak aintzat hartzen, bere sare-segurtasun konfigurazioak erabiltzailearen konfiantza-ankla batekin hori hautatzen ez badu. CA bat behartzen duen bezero bat enpresa-intertzeptazio zilegia egiten egon daiteke, edo VPN elkarrizketak inoiz aipatu ez duen zerbait eskatzen egon daiteke.

Irisgarritasun-sarbidea areago dago. Irisgarritasuna gaituta duen zerbitzu batek beste aplikazioen pantaila-edukia irakur dezake, eta hori ez du pakete-mailako posizio batek ere ematen.

Tokiko iragazkia edo urrutiko atebidea

API berak konfiantza-maila desberdinak merezi dituzten bi produktu estaltzen ditu. Gailuko suebaki edo iragarki-blokeatzaile batek tun deskriptorea hartzen du eta trafikoari tokian bertan erantzuten dio, inoiz berak kudeatzen duen zerbitzari batera bidali gabe. Benetako tunel batek pakete horiek beste nonbaitera dagoen atebide batera birbidaltzen ditu, eta operadore horrek metadatu berak ikusten ditu beste muturretik, eta aldi berean erabakitzen du zer itzultzen den.

Haiek bereizteko modu praktikoa da zure helbide publikoa VPN aktibo eta itzalita egiaztatzea, eta jakinarazpenak urrutiko mutur bat aipatzen duen begiratzea. Helbidea inoiz aldatzen ez bada, trafikoak gailuan bertan biratzen du ziurrenik.

Bi kasuak pakete-posizio bat dira oraindik. Aldea da nor beste dagoen irteeran.

Ikuskatu onartu duzuna

Ireki Ezarpenak, gero Sarea eta internet, gero VPN, eta irakurri sarrera, ez egoera-barran dagoen ikonoa. Beti martxan dagoen VPN eta VPN gabe konexioak blokeatu gailuaren ezarpenak dira, interfazea bizirik edukitzen dute eta ihesak mozten dituzte; ez dute ezer zabaltzen. Pantaila beretik profilaren berri ahaztu eta baimena baliogabetu dezakezu.

Gero ibili beste baimenak. Aplikazioaren informazioak bezeroak zein exekuzio-denborako baimen dituen erakusten du, eta Segurtasun ezarpenek aldi berean erabiltzaile-ziurtagiri bat instalatu zen erakusten dute. Biak independenteki kenda daitezke.

Erantzuna merezi duen galdera estua da: zein pakete sartzen dira zerbitzu honetan, nora doaz eta zer gordetzen du inplementazioak. Elkarrizketako gainerako guztia zarata da. VpnService erreferentzia da interfazeak zer erakusten duen zerrenda autorizatua.