Android-warskôging foar netwurkbewalking: lês de fertrouwensferoaring
In bewakingsberjocht, in ynstallearre CA en in beheard belied binne trije ferskillende dingen. Kontrolearje wat Android rapportearret foardat jo bewiisstikken wiskje.
Trije berjochten lykje op in telefoan opinoar, en mar ien fan har giet oer in sertifikaat. In VPN-statusrige, in warskôging fan 'e fertrouwensopslach en in balke foar beheard apparaat neame elk in oare kontrôle, en de app dy't op dat stuit op it skerm stiet, hat miskien gjin ien fan har. It krekte wurden earst lêze rêdt jo fan it wiskjen fan it ferkearde ding. Wurkje de fiif kontrôles hjirûnder yn folchoarder ôf en stopje by de earste dy't mislearret, want de goede aksje feroaret by elke stap folslein.
Stap 0: identifisearje hokker berjocht jo sjogge
De wurden binne wichtiger as it byldkaike. In VPN-statusberjocht betsjut dat in app in aktive VpnService hat. In sertifikaatwarskôging betsjut dat der eat yn in fertrouwensopslach ynstallearre is. In berjocht oer in beheard apparaat betsjut dat in administrateur belied tapast hat, dat de fertrouwen as ûnderdiel fan dat belied ynstallearre hawwe kin.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
As de tekst letterlik «Network may be monitored» seit, is de ôfstjoerder it systeem en net de VPN-oanbieder: Android prints dy rigel altyd as in app in aktive VpnService hat, dus in gewoane kommersjele klant produsearret him sûnder eat yn 'e fertrouwensopslach te setten. Twa fan 'e trije berjochten kinne tagelyk wier wêze, en dêrom neamt de klacht meastentiids it ferkearde. As de sin seit dat der in CA ynstallearre is, is de VPN op syn heechst in fertochte, en it deïnstallearjen kin de warskôging krekt litte wêr't dy wie.
Stap 1: fyn it bewiisstik en syn opslach
Op Android 9 oant 12 is it paad Ynstellings, dan Feilichheid, dan Fersifering en bewiisstikken, dan Fertroude bewiisstikken; Android 13 en letter ferpleatse itselde skerm nei Feilichheid en privacy, dan Mear feilichheidsynstellings, en OEM-hûden neame de nivo's wer oars, dus sykje yn 'e ynstellingsapp nei «Fertroude bewiisstikken» as it paad net oerienkomt. It ljepblêd Brûker hat autoriteiten dy't troch in persoan of app ynstallearre binne, en it ljepblêd Systeem hat wat mei de build meikwam. In autoriteit dy't troch behear ynskood is, ferskynt fia it apparaatbelied of binnen in wurkprofyl, net as in gewoane tik yn 'e brûkersopslach.
Skriuw de ûtjouwer, de jildichheidsdatums en wa't it ynstallearre hat op. As de ynfier hielendal net yn 'e brûkersopslach stiet, stopje hjir, want it is in systeem- of beheard item en it is net oan jo om it fan in ynstellingsskerm te wiskjen. De ferkearde rige dêr wiskje is hoe't in telefoan Wi-Fi of in wurkoanmelding ferliest wylst de fertrouwensfraach ûnbeantwurde bliuwt.
Stap 2: skied de CA fan in VPN-profyl fan 'e fertrouwen fan 'e telefoan
In OpenVPN-profyl, of hokker klant dan ek dy't syn server oer TLS autentisearret, kin in CA drage dy't allinnich troch dy klant brûkt wurdt om syn eigen server te ferifiearjen. In WireGuard-profyl draacht hielendal gjin CA: it fertrout op pearen fan iepenbiere kaaien, dus in autoriteit yn 'e fertrouwensopslach fan Android kin nea fan in WireGuard-konfiguraasje kommen wêze. Dat sertifikaat eigen oan it profyl berikt gjin oare app, en it kopiearjen nei de systeemfertrouwensopslach is in aparte operaasje mei in apart berik. De twa skieden hâlde is it hiele doel fan dizze stap, want allinnich de twadde feroaret wat oare apps akseptearje.
In VPN-profyl mei in CA is dus gjin bewiis fan ôflústerjen, en in VPN-app is net de eigner fan in fertrouwensynfier dy't it nea makke hat. De test is goedkeap: stopje de VPN en lês it berjocht opnij. As de sertifikaatwarskôging der noch is, hat de VPN it der net set en sil it ferwiderjen fan 'e app it net fuorthelje.
Stap 3: ûnderskied in serverautoriteit fan in kliïntidentiteit
In sertifikaat foar kliïntidentiteit en syn priveekaaie autentisearje dit apparaat by in server. Fan in CA wurdt fertrout dat it servers by apps autentisearret. Se wurde byinoar bewarre en lykje yn in list opinoar, mar se dogge folslein ferskillend wurk.
It fuortheljen fan in kliïntidentiteit kin Wi-Fi- of VPN-autentikaasje brekke sûnder eat oan HTTPS-fertrouwen te dwaan, en it fuortheljen fan in CA beynfloedet elke app dy't dy autoriteit akseptearret. Beslis hokker fan de twa jo sjogge foardat jo earne op drukke, want it antwurd neamt de eigner en it herstelpaad.
Stap 4: freegje hokker apps der echt op fertrouwe
De Netwurkfeilichheidskonfiguraasje fan Android set de grins fan 'e app. Apps dy't op API 24 of letter rjochtsje fertrouwe standert op systeemautoriteiten, wylst apps dy't op API 23 of earder rjochtsje standert ek op troch de brûker tafoege autoriteiten fertrouwe, en in app kin syn eigen ankers neame, regels per domein tafoegje of him hielendal ôfmelde fan 'e standertwearden.
Dat «ynstallearre op 'e telefoan» beskriuwt net it HTTPS-fertrouwen fan elke app: in troch de brûker tafoege autoriteit kin troch in âldere app eare wurde, troch in hjoeddeiske negearre en eksplisyt fertroud wurde troch in app dy't syn eigen ankers meibringt. As de autoriteit ynstallearre is foar wurk-Wi-Fi, in privee webservice of in goedkarde ynspeksje-opset, is de nuttige fraach hokker apps en profilen derfan ôfhinklik binne. De gids foar Netwurkfeilichheidskonfiguraasje is de referinsje foar hoe fier in ynstallearre autoriteit yn in bepaalde app rikt, en it is it diel dat de measte gearfettings fan dizze warskôging weilitte.
Stap 5: beslute, en dân de eigner en it útstapplan fêstlizze
As de autoriteit ferwachte is, dokumintearje wa't it ynstallearre hat, hokker ferbiningen derfan ôfhinklik binne en hoe't it ût tsjinst nommen wurdt. Fertrouwen op in autoriteit is in betsjuttingsfol beslút sels as der hjoed gjin ôflústerjen bart, want de fertrouwen is wat ôflústerjen letter mooglik makket.
As it ûnferwachte is, ûndersykje it fia de eigner fan it apparaat of de service foardat jo gefoelige gegevens op dy telefoan ynfiere. As it ferâldere is, ferwiderje dat spesifike item fia wa't it ynstallearre hat, nei't jo kontrolearre hawwe wat derfan ôfhinklik is, en begjin nea mei it wiskjen fan alle bewiisstikken. De warskôging ferbergje feroaret it skerm en fierder neat. In priveekaaie of in folslein profyl moat nea nei in iepenbiere tsjinst foar sertifikaatkontrôle opladen wurde om de fraach te besljochtsjen.
Foardat jo it skerm ferlitte wolle jo trije antwurden: wa't it ynstallearre hat, hokker ferbiningen derfan ôfhinklik binne en hoe't it ût tsjinst nommen wurdt.