Avertissement de surveillance réseau Android : lisez le changement de confiance
Un avis de surveillance, une AC installée et une stratégie gérée sont trois choses différentes. Vérifiez ce que signale Android avant de supprimer des identifiants.
Trois notifications se ressemblent sur un téléphone, et une seule concerne un certificat. Une ligne d'état VPN, un avertissement du magasin de confiance et une bannière d'appareil géré désignent chacun un contrôle différent, et l'application affichée à ce moment-là n'en possède peut-être aucun. Lire d'abord le libellé exact vous évite de supprimer la mauvaise chose. Faites les cinq vérifications ci-dessous dans l'ordre et arrêtez-vous à la première qui échoue, car l'action correcte change complètement à chaque étape.
Étape 0 : identifiez la notification que vous regardez
Le libellé compte plus que l'icône. Un avis d'état VPN signifie qu'une application détient un VpnService actif. Un avertissement de certificat signifie que quelque chose est installé dans un magasin de confiance. Un avis d'appareil géré signifie qu'un administrateur a appliqué une stratégie, qui a pu installer la confiance dans le cadre de cette stratégie.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
Quand le texte dit littéralement « Network may be monitored », l'émetteur est le système et non le fournisseur VPN : Android imprime cette ligne dès qu'une application détient un VpnService actif, donc un client commercial courant la produit sans rien mettre dans le magasin de confiance. Deux des trois notifications peuvent être vraies en même temps, ce qui explique que la plainte nomme généralement la mauvaise. Si la phrase dit qu'une AC est installée, le VPN est au plus un suspect, et le désinstaller peut laisser l'avertissement exactement où il était.
Étape 1 : trouvez l'identifiant et son magasin
Sur Android 9 à 12, le chemin est Paramètres, puis Sécurité, puis Chiffrement et identifiants, puis Identifiants de confiance ; Android 13 et ultérieur déplacent le même écran sous Sécurité et confidentialité, puis Autres paramètres de sécurité, et les surcouches des fabricants renomment encore les niveaux, donc cherchez « Identifiants de confiance » dans l'application Paramètres quand le chemin ne correspond pas. L'onglet Utilisateur contient les autorités installées par une personne ou une application, et l'onglet Système contient ce qui est livré avec la version. Une autorité poussée par la gestion apparaît via la stratégie d'appareil ou dans un profil professionnel, plutôt que comme un simple appui dans le magasin utilisateur.
Notez l'émetteur, les dates de validité et qui l'a installé. Si l'entrée n'est pas du tout dans le magasin utilisateur, arrêtez-vous ici, car c'est un élément système ou géré et il ne vous appartient pas de le supprimer depuis un écran de paramètres. Supprimer la mauvaise ligne ici, c'est ainsi qu'un téléphone perd le Wi-Fi ou une connexion professionnelle pendant que la question de confiance reste sans réponse.
Étape 2 : séparez l'AC d'un profil VPN de la confiance du téléphone
Un profil OpenVPN, ou tout client qui authentifie son serveur via TLS, peut porter une AC utilisée uniquement par ce client pour vérifier son propre serveur. Un profil WireGuard ne porte aucune AC : il repose sur des paires de clés publiques, donc une autorité présente dans le magasin de confiance d'Android n'a jamais pu venir d'une configuration WireGuard. Ce certificat propre au profil n'atteint aucune autre application, et le copier dans le magasin de confiance système est une opération distincte avec un rayon d'action distinct. Garder les deux séparés est tout l'objet de cette étape, car seule la seconde change ce que les autres applications accepteront.
Un profil VPN contenant une AC n'est donc pas une preuve d'interception, et une application VPN n'est pas propriétaire d'une entrée de confiance qu'elle n'a jamais créée. Le test est simple : arrêtez le VPN et relisez l'avis. Si l'avertissement de certificat est toujours là, le VPN ne l'a pas mis et supprimer l'application ne le supprimera pas.
Étape 3 : distinguez une autorité de serveur d'une identité client
Un certificat d'identité client et sa clé privée authentifient cet appareil auprès d'un serveur. Une AC est approuvée pour authentifier des serveurs auprès des applications. Ils sont stockés ensemble et se ressemblent dans une liste, mais ils remplissent des rôles entièrement différents.
Supprimer une identité client peut casser l'authentification Wi-Fi ou VPN sans rien faire pour la confiance HTTPS, et supprimer une AC affecte chaque application qui accepte cette autorité. Décidez laquelle des deux vous regardez avant d'appuyer sur quoi que ce soit, car la réponse nomme le propriétaire et le chemin de récupération.
Étape 4 : demandez quelles applications lui font réellement confiance
La configuration de sécurité réseau d'Android fixe la frontière de l'application. Les applications ciblant l'API 24 ou ultérieure font confiance aux autorités système par défaut, tandis que celles ciblant l'API 23 ou antérieure font aussi confiance aux autorités ajoutées par l'utilisateur par défaut, et une application peut nommer ses propres ancres, ajouter des règles par domaine ou se retirer entièrement des valeurs par défaut.
Ainsi « installé sur le téléphone » ne décrit pas la confiance HTTPS de chaque application : une autorité ajoutée par l'utilisateur peut être honorée par une application ancienne, ignorée par une application actuelle et explicitement approuvée par une application qui embarque ses propres ancres. Si l'autorité a été installée pour un Wi-Fi professionnel, un service web privé ou une inspection approuvée, la question utile est quelles applications et quels profils en dépendent. Le guide de configuration de sécurité réseau est la référence pour savoir jusqu'où une autorité installée porte dans une application donnée, et c'est la partie que la plupart des résumés de cet avertissement omettent.
Étape 5 : décidez, puis consignez le propriétaire et le plan de sortie
Si l'autorité est attendue, documentez qui l'a installée, quelles connexions en dépendent et comment elle sera retirée. Faire confiance à une autorité est une décision importante même quand aucune interception n'a lieu aujourd'hui, car c'est cette confiance qui rend l'interception possible plus tard.
Si elle est inattendue, enquêtez via le propriétaire de l'appareil ou du service avant de saisir des données sensibles sur ce téléphone. Si elle est obsolète, supprimez cet élément précis via la personne qui l'a installé, après avoir vérifié ce qui en dépend, et ne commencez jamais par effacer tous les identifiants. Masquer l'avertissement change l'affichage et rien d'autre. Une clé privée ou un profil complet ne doivent jamais être téléversés vers un service public de vérification de certificats pour trancher la question.
Avant de quitter l'écran, vous voulez trois réponses : qui l'a installée, quelles connexions en dépendent et comment elle est retirée.