התראת ניטור רשת באנדרואיד: קראו את שינוי האמון
הודעת ניטור, CA מותקן ומדיניות מנוהלת הם שלושה דברים שונים. בדקו מה אנדרואיד מדווח לפני שמוחקים אישורים.
שלוש התראות נראות דומות בטלפון, ורק אחת מהן עוסקת בתעודה. שורת מצב VPN, אזהרת מאגר אמון ובאנר של מכשיר מנוהל כל אחד מהם מציין בקרה אחרת, וייתכן שהאפליקציה שמוצגת כרגע על המסך אינה הבעלים של אף אחת מהן. קריאת הנוסח המדויק קודם מונעת מכם למחוק את הדבר הלא נכון. עברו על חמש הבדיקות שלמטה לפי הסדר ועצרו בראשונה שנכשלת, כי הפעולה הנכונה משתנה לחלוטין בכל שלב.
שלב 0: זהו איזו התראה אתם רואים
הנוסח חשוב יותר מהסמל. הודעת מצב VPN פירושה שאפליקציה מחזיקה ב-VpnService פעיל. אזהרת תעודה פירושה שמשהו מותקן במאגר אמון. הודעת מכשיר מנוהל פירושה שמנהל הפעיל מדיניות, שאולי התקינה את האמון כחלק מאותה מדיניות.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
כשהטקסט אומר במפורש Network may be monitored, השולח הוא המערכת ולא ספק ה-VPN: אנדרואיד מדפיס את השורה הזו בכל פעם שאפליקציה מחזיקה ב-VpnService פעיל, לכן לקוח מסחרי נפוץ מייצר אותה בלי לשים דבר במאגר האמון. שתיים משלוש ההתראות יכולות להיות נכונות בו-זמנית, וזו הסיבה שהתלונה בדרך כלל נוקבת בשגויה. אם המשפט אומר שהותקן CA, ה-VPN הוא בגדר חשוד לכל היותר, והסרתו עשויה להשאיר את האזהרה בדיוק במקום שבו הייתה.
שלב 1: אתרו את האישור ואת המאגר שלו
באנדרואיד 9 עד 12 הנתיב הוא הגדרות, אחר כך אבטחה, אחר כך הצפנה ואישורים, אחר כך אישורים מהימנים; אנדרואיד 13 ומעלה מעבירים את אותו מסך תחת אבטחה ופרטיות, אחר כך הגדרות אבטחה נוספות, וממשקי היצרנים משנים שוב את שמות הרמות, לכן חפשו «אישורים מהימנים» באפליקציית ההגדרות כשהנתיב אינו תואם. לשונית המשתמש מכילה רשויות שהותקנו בידי אדם או אפליקציה, ולשונית המערכת מכילה את מה שהגיע עם הגרסה. רשות שנדחפה על ידי ניהול מופיעה דרך מדיניות המכשיר או בתוך פרופיל עבודה, ולא כהקשה רגילה במאגר המשתמש.
רשמו את המנפיק, תאריכי התוקף ומי התקין אותו. אם הרשומה כלל אינה במאגר המשתמש, עצרו כאן, כי מדובר בפריט מערכת או מנוהל וזה לא שלכם למחוק אותו ממסך הגדרות. מחיקת השורה הלא נכונה שם היא הדרך שבה טלפון מאבד Wi-Fi או התחברות לעבודה בזמן ששאלת האמון נשארת ללא מענה.
שלב 2: הפרידו בין CA של פרופיל VPN לבין האמון של הטלפון
פרופיל OpenVPN, או כל לקוח שמאמת את השרת שלו דרך TLS, יכול לשא איתו CA שמשמש רק אותו לקוח כדי לאמת את השרת שלו. פרופיל WireGuard אינו נושא CA כלל: הוא נשען על זוגות מפתחות ציבוריים, לכן רשות שיושבת במאגר האמון של אנדרואיד לא יכלה לבוא מקונפיגורציית WireGuard. התעודה המקומית לפרופיל אינה מגיעה לשום אפליקציה אחרת, והעתקתה למאגר האמון של המערכת היא פעולה נפרדת עם טווח השפעה נפרד. הפרדת השניים היא כל מטרתו של שלב זה, כי רק השני משנה מה שאפליקציות אחרות יקבלו.
פרופיל VPN שמכיל CA אינו אפוא ראיה ליירוט, ואפליקציית VPN אינה הבעלים של רשומת אמון שהיא מעולם לא יצרה. המבחן זול: עצרו את ה-VPN וקראו שוב את ההודעה. אם אזהרת התעודה עדיין שם, ה-VPN לא שם אותה והסרת האפליקציה לא תסיר אותה.
שלב 3: הבחינו בין רשות שרת לזהות לקוח
תעודת זהות לקוח והמפתח הפרטי שלה מאמתים את המכשיר הזה מול שרת. ב-CA נותנים אמון כדי שיאמת שרתים מול אפליקציות. הם נשמרים יחד ונראים דומים ברשימה, אך ממלאים תפקידים שונים לחלוטין.
הסרת זהות לקוח עלולה לשבור אימות Wi-Fi או VPN בלי לעשות דבר לאמון HTTPS, והסרת CA משפיעה על כל אפליקציה שמקבלת את הרשות הזו. החליטו על איזו משתיהם אתם מסתכלים לפני שתלחצו על משהו, כי התשובה מציינת את הבעלים ואת מסלול השחזור.
שלב 4: שאלו אילו אפליקציות באמת נותנות בה אמון
תצורת אבטחת הרשת של אנדרואיד קובעת את גבול האפליקציה. אפליקציות שמכוונות ל-API 24 או יותר נותנות ברירת מחדל אמון ברשויות המערכת, ואילו שמכוונות ל-API 23 או מוקדם יותר נותנות ברירת מחדל אמון גם ברשויות שהוסיף המשתמש, ואפליקציה יכולה לנקוב בעוגנים של עצמה, להוסיף כללים לפי דומיין או לצאת לגמרי מברירות המחדל.
לכן «מותקן בטלפון» אינו תיאור של אמון ה-HTTPS של כל אפליקציה: רשות שהוסיף המשתמש עשויה לזכות לכיבוד מאפליקציה ישנה, להתעלמות מאפליקציה נוכחית, ולאמון מפורש מאפליקציה שמביאה עוגנים של עצמה. אם הרשות הותקנה עבור Wi-Fi של עבודה, שירות ווב פרטי או מערך בדיקה מאושר, השאלה המועילה היא אילו אפליקציות ופרופילים תלויים בה. מדריך תצורת אבטחת הרשת הוא המקור למידת ההגעה של רשות מותקנת באפליקציה נתונה, וזה החלק שרוב הסיכומים של האזהרה הזו משמיטים.
שלב 5: החליטו, ואז תעדו את הבעלים ואת תוכנית היציאה
אם הרשות צפויה, תעדו מי התקין אותה, אילו חיבורים תלויים בה וכיצד היא תסולק. אמון ברשות הוא החלטה משמעותית גם כשאין יירוט היום, כי האמון הוא מה שמאפשר יירוט מאוחר יותר.
אם היא בלתי צפויה, חקרו דרך בעל המכשיר או השירות לפני שתזינו נתונים רגישים באותו טלפון. אם היא מיושנת, הסירו את הפריט הספציפי הזה דרך מי שהתקין אותו, לאחר שבדקתם מה תלוי בו, ולעולם אל תתחילו בניקוי כל האישורים. הסתרת האזהרה משנה את התצוגה ולא דבר אחר. אין להעלות מפתח פרטי או פרופיל מלא לשירות ציבורי לבדיקת תעודות כדי להכריע בשאלה.
לפני שתעזבו את המסך אתם רוצים שלוש תשובות: מי התקין אותה, אילו חיבורים תלויים בה וכיצד היא נסוגת.