Aviso de vixilancia de rede en Android: le o cambio de confianza
Un aviso de vixilancia, unha CA instalada e unha política xestionada son tres cousas distintas. Comproba cal informa Android antes de borrar credenciais.
Tres avisos parécense nun teléfono, e só un deles trata dun certificado. Unha liña de estado de VPN, unha advertencia do almacén de confianza e unha faixa de dispositivo xestionado nomean cada un un control distinto, e a aplicación que está na pantalla nese momento pode non ser dona de ningún. Ler primeiro o texto exacto sálvache de borrar o que non debes. Percorre as cinco comprobacións seguintes en orde e detente na primeira que falle, porque a acción correcta cambia por completo en cada paso.
Paso 0: identifica que aviso estás a ver
O texto importa máis que a icona. Un aviso de estado de VPN significa que unha aplicación mantén un VpnService activo. Unha advertencia de certificado significa que algo está instalado nun almacén de confianza. Un aviso de dispositivo xestionado significa que un administrador aplicou unha política, que pode ter instalado a confianza como parte desa política.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
Cando o texto di literalmente «Network may be monitored», o emisor é o sistema e non o provedor de VPN: Android imprime esa liña sempre que unha aplicación mantén un VpnService activo, así que un cliente comercial habitual prodúcea sen poñer nada no almacén de confianza. Dous dos tres avisos poden ser certos á vez, e por iso a queixa adoita nomear o equivocado. Se a frase di que hai unha CA instalada, a VPN é como moito unha sospeitosa, e desinstalala pode deixar a advertencia exactamente onde estaba.
Paso 1: atopa a credencial e o seu almacén
En Android 9 a 12 a ruta é Axustes, logo Seguridade, logo Cifrado e credenciais, logo Credenciais de confianza; Android 13 e posteriores moven a mesma pantalla a Seguridade e privacidade, logo Máis axustes de seguridade, e as capas dos fabricantes volven renomear os niveis, así que busca «Credenciais de confianza» na aplicación de axustes cando a ruta non coincida. A lapela Usuario contén autoridades instaladas por unha persoa ou unha aplicación, e a lapela Sistema contén o que veu coa compilación. Unha autoridade empurrada pola xestión aparece a través da política do dispositivo ou dentro dun perfil de traballo, non como un toque casual no almacén de usuario.
Anota o emisor, as datas de validez e quen o instalou. Se a entrada non está no almacén de usuario, detente aquí, porque é un elemento do sistema ou xestionado e non che corresponde borralo desde unha pantalla de axustes. Borrar a fila equivocada alí é como un teléfono perde o Wi-Fi ou un inicio de sesión de traballo mentres a pregunta sobre a confianza queda sen resposta.
Paso 2: separa a CA dun perfil de VPN da confianza do teléfono
Un perfil de OpenVPN, ou calquera cliente que autentique o seu servidor por TLS, pode levar unha CA usada só por ese cliente para verificar o seu propio servidor. Un perfil de WireGuard non leva ningunha CA: apóiase en pares de claves públicas, así que unha autoridade que estea no almacén de confianza de Android nunca puido vir dunha configuración de WireGuard. Ese certificado local ao perfil non chega a ningunha outra aplicación, e copialo ao almacén de confianza do sistema é unha operación aparte cun raio de impacto aparte. Manter os dous separados é o obxectivo deste paso, porque só o segundo cambia o que outras aplicacións aceptarán.
Un perfil de VPN que contén unha CA non é, por tanto, proba de interceptación, e unha aplicación de VPN non é dona dunha entrada de confianza que nunca creou. A proba é barata: detén a VPN e volve ler o aviso. Se a advertencia de certificado segue aí, a VPN non a puxo e quitar a aplicación non a quitará.
Paso 3: distingue unha autoridade de servidor dunha identidade de cliente
Un certificado de identidade de cliente e a súa clave privada autentican este dispositivo ante un servidor. Confíase nunha CA para autenticar servidores ante aplicacións. Gardan xuntos e parécense nunha lista, pero fan traballos completamente distintos.
Quitar unha identidade de cliente pode romper a autenticación de Wi-Fi ou de VPN sen facer nada pola confianza HTTPS, e quitar unha CA afecta a todas as aplicacións que aceptan esa autoridade. Decide cal das dúas estás a mirar antes de premer nada, porque a resposta nomea o dono e a vía de recuperación.
Paso 4: pregunta que aplicacións confían realmente nela
A Configuración de seguridade de rede de Android fixa o límite da aplicación. As aplicacións con obxectivo API 24 ou posterior confían por defecto nas autoridades do sistema, mentres que as aplicacións con obxectivo API 23 ou anterior tamén confían por defecto nas autoridades engadidas polo usuario, e unha aplicación pode nomear as súas propias áncoras, engadir regras por dominio ou excluírse por completo dos valores por defecto.
Así que «instalado no teléfono» non describe a confianza HTTPS de cada aplicación: unha autoridade engadida polo usuario pode ser respectada por unha aplicación antiga, ignorada por unha actual e confiada explicitamente por unha aplicación que trae as súas propias áncoras. Se a autoridade se instalou para Wi-Fi de traballo, un servizo web privado ou unha inspección aprobada, a pregunta útil é que aplicacións e perfís dependen dela. A guía de Configuración de seguridade de rede é a referencia sobre ata onde chega unha autoridade instalada nunha aplicación dada, e é a parte que case todos os resumos deste aviso omiten.
Paso 5: decide e logo anota o dono e o plan de saída
Se a autoridade é agardada, documenta quen a instalou, que conexións dependen dela e como se retirará. Confiar nunha autoridade é unha decisión importante mesmo cando hoxe non hai interceptación, porque a confianza é o que fará posible a interceptación despois.
Se non é agardada, investiga a través do dono do dispositivo ou do servizo antes de introducir datos sensibles nese teléfono. Se está obsoleta, elimina ese elemento concreto a través de quen o instalou, tras comprobar de que depende, e nunca comeces borrando todas as credenciais. Ocultar a advertencia cambia a pantalla e nada máis. Unha clave privada ou un perfil completo nunca deben subirse a un servizo público de comprobación de certificados para resolver a dúbida.
Antes de saír da pantalla queres tres respostas: quen a instalou, que conexións dependen dela e como se retira.