Androidin verkon valvonnan varoitus: lue luottamuksen muutos
Valvontailmoitus, asennettu CA ja hallittu käytäntö ovat kolme eri asiaa. Tarkista, minkä Android ilmoittaa, ennen kuin poistat tunnuksia.
Kolme ilmoitusta näyttävät puhelimessa samanlaisilta, ja vain yksi niistä koskee varmennetta. VPN-tilarivi, luottamusvaraston varoitus ja hallitun laitteen palkki nimeävät kukin eri ohjaimen, eikä sillä hetkellä näytöllä oleva sovellus ehkä omista yhtäkään niistä. Tarkan sanamuodon lukeminen ensin säästää sinut väärän asian poistamiselta. Käy alla olevat viisi tarkistusta järjestyksessä läpi ja pysähdy ensimmäiseen, joka epäonnistuu, koska oikea toimi muuttuu täysin joka vaiheessa.
Vaihe 0: tunnista, mitä ilmoitusta katsot
Sanamuoto merkitsee enemmän kuin kuvake. VPN-tilailmoitus tarkoittaa, että sovelluksella on aktiivinen VpnService. Varmennevaroitus tarkoittaa, että jotain on asennettu luottamusvarastoon. Hallitun laitteen ilmoitus tarkoittaa, että ylläpitäjä on ottanut käyttöön käytännön, joka on voinut asentaa luottamuksen osana sitä käytäntöä.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
Kun teksti sanoo kirjaimellisesti «Network may be monitored», lähettäjä on järjestelmä eikä VPN-palveluntarjoaja: Android tulostaa tuon rivin aina, kun sovelluksella on aktiivinen VpnService, joten tavallinen kaupallinen asiakasohjelma tuottaa sen laittamatta mitään luottamusvarastoon. Kaksi kolmesta ilmoituksesta voi olla totta yhtä aikaa, minkä vuoksi valitus yleensä nimeää väärän. Jos lause sanoo, että CA on asennettu, VPN on enintään epäilty, ja sen asennuksen poistaminen voi jättää varoituksen täsmälleen siihen, missä se oli.
Vaihe 1: etsi tunnus ja sen varasto
Androidissa 9–12 polku on Asetukset, sitten Turvallisuus, sitten Salaus ja tunnukset, sitten Luotetut tunnukset; Android 13 ja uudemmat siirtävät saman näytön kohtaan Turvallisuus ja yksityisyys, sitten Lisää turva-asetuksia, ja laitevalmistajien ulkoasut nimeävät tasot jälleen uudelleen, joten etsi asetussovelluksesta «Luotetut tunnukset», kun polku ei täsmää. Käyttäjä-välilehdellä ovat henkilön tai sovelluksen asentamat valtuudet ja Järjestelmä-välilehdellä se, mikä tuli laiteversion mukana. Hallinnan työntämä valtuus näkyy laitekäytännön kautta tai työprofiilin sisällä, ei tavallisena napautuksena käyttäjävarastossa.
Kirjaa myöntäjä, voimassaolopäivät ja se, kuka sen asensi. Jos merkintä ei ole lainkaan käyttäjävarastossa, pysähdy tähän, koska se on järjestelmän tai hallittu kohde eikä sinun poistettavasi asetusnäytöltä. Väärän rivin poistaminen siellä on se, miten puhelin menettää Wi-Fi-yhteyden tai työkirjautumisen, kun luottamuskysymys jää vaille vastausta.
Vaihe 2: erota VPN-profiilin CA puhelimen luottamuksesta
OpenVPN-profiili tai mikä tahansa asiakasohjelma, joka todentaa palvelimensa TLS:n kautta, voi kantaa CA:ta, jota vain se asiakasohjelma käyttää oman palvelimensa vahvistamiseen. WireGuard-profiili ei kanna CA:ta lainkaan: se nojaa julkisten avainten pareihin, joten Androidin luottamusvarastossa oleva valtuus ei ole voinut koskaan tulla WireGuard-määrityksestä. Se profiilikohtainen varmenne ei tavoita mitään muuta sovellusta, ja sen kopioiminen järjestelmän luottamusvarastoon on erillinen toimi, jolla on erillinen vaikutusalue. Näiden kahden erillään pitäminen on koko tämän vaiheen tarkoitus, koska vain jälkimmäinen muuttaa sitä, mitä muut sovellukset hyväksyvät.
CA:n sisältävä VPN-profiili ei siis ole todiste sieppauksesta, eikä VPN-sovellus ole sellaisen luottamusmerkinnän omistaja, jota se ei koskaan luonut. Testi on halpa: pysäytä VPN ja lue ilmoitus uudelleen. Jos varmennevaroitus on edelleen siellä, VPN ei laittanut sitä sinne eikä sovelluksen poistaminen poista sitä.
Vaihe 3: erota palvelinvaltuus asiakasidentiteetistä
Asiakasidentiteetin varmenne ja sen yksityinen avain todentavat tämän laitteen palvelimelle. CA:han luotetaan, jotta se todentaa palvelimet sovelluksille. Ne tallennetaan yhdessä ja näyttävät luettelossa samanlaisilta, mutta tekevät täysin eri työtä.
Asiakasidentiteetin poistaminen voi rikkoa Wi-Fi- tai VPN-todennuksen tekemättä mitään HTTPS-luottamukselle, ja CA:n poistaminen vaikuttaa jokaiseen sovellukseen, joka hyväksyy sen valtuuden. Päätä, kumpaa kahdesta katsot, ennen kuin painat mitään, koska vastaus nimeää omistajan ja palautumispolun.
Vaihe 4: kysy, mitkä sovellukset todella luottavat siihen
Androidin verkon suojausasetukset määrittävät sovelluksen rajan. API 24 tai uudempaan kohdistuvat sovellukset luottavat oletuksena järjestelmän valtuuksiin, kun taas API 23 tai vanhempaan kohdistuvat sovellukset luottavat oletuksena myös käyttäjän lisäämiin valtuuksiin, ja sovellus voi nimetä omat ankkurinsa, lisätä verkkotunnuskohtaisia sääntöjä tai jättää oletukset kokonaan pois.
Joten «puhelimeen asennettu» ei kuvaa jokaisen sovelluksen HTTPS-luottamusta: käyttäjän lisäämää valtuutta voi kunnioittaa vanhempi sovellus, jättää huomiotta nykyinen ja luottaa siihen nimenomaisesti sovellus, joka tuo omat ankkurinsa. Jos valtuus asennettiin työ-Wi-Fiä, yksityistä verkkopalvelua tai hyväksyttyä tarkastusjärjestelyä varten, hyödyllinen kysymys on, mitkä sovellukset ja profiilit ovat siitä riippuvaisia. Verkon suojausasetusten opas on lähde sille, kuinka pitkälle asennettu valtuus yltää tietyssä sovelluksessa, ja se on se osa, jonka useimmat tämän varoituksen yhteenvedot jättävät pois.
Vaihe 5: päätä ja kirjaa sitten omistaja ja poistumissuunnitelma
Jos valtuus on odotettu, dokumentoi kuka sen asensi, mitkä yhteydet ovat siitä riippuvaisia ja miten se poistetaan käytöstä. Valtuuteen luottaminen on merkittävä päätös myös silloin, kun sieppausta ei tapahdu tänään, koska luottamus on se, mikä tekee sieppauksen mahdolliseksi myöhemmin.
Jos se on odottamaton, selvitä laitteen tai palvelun omistajan kautta ennen arkaluontoisten tietojen syöttämistä siihen puhelimeen. Jos se on vanhentunut, poista juuri se tietty kohde sen kautta, kuka sen asensi, kun olet tarkistanut, mitä siitä on riippuvaista, äläkä koskaan aloita tyhjentämällä kaikki tunnukset. Varoituksen piilottaminen muuttaa näyttöä eikä mitään muuta. Yksityistä avainta tai kokonaista profiilia ei pitäisi koskaan ladata julkiseen varmenteiden tarkistuspalveluun kysymyksen ratkaisemiseksi.
Ennen kuin poistut näytöltä, haluat kolme vastausta: kuka sen asensi, mitkä yhteydet ovat siitä riippuvaisia ja miten se poistetaan käytöstä.