Android नेटवर्क निगरानी चेतावनी: ट्रस्ट बदलाव पढ़ें
निगरानी सूचना, इंस्टॉल किया गया CA और मैनेज्ड पॉलिसी तीन अलग चीज़ें हैं। क्रेडेंशियल हटाने से पहले जाँचें कि Android क्या बता रहा है।
फ़ोन पर तीन सूचनाएँ एक जैसी दिखती हैं, और उनमें सिर्फ़ एक प्रमाणपत्र के बारे में है। VPN स्थिति की पंक्ति, ट्रस्ट स्टोर की चेतावनी और मैनेज्ड डिवाइस का बैनर — हर एक अलग नियंत्रण का नाम लेता है, और उस पल स्क्रीन पर मौजूद ऐप शायद इनमें से किसी की मालिक न हो। पहले सटीक शब्दावली पढ़ना आपको गलत चीज़ हटाने से बचाता है। नीचे दी गई पाँच जाँचें क्रम से करें और पहली असफल जाँच पर रुक जाएँ, क्योंकि हर चरण पर सही कार्रवाई पूरी तरह बदल जाती है।
चरण 0: पहचानें कि आप कौन-सी सूचना देख रहे हैं
शब्दावली आइकन से ज़्यादा मायने रखती है। VPN स्थिति की सूचना का मतलब है कि कोई ऐप सक्रिय VpnService रखता है। प्रमाणपत्र की चेतावनी का मतलब है कि ट्रस्ट स्टोर में कुछ इंस्टॉल है। मैनेज्ड डिवाइस की सूचना का मतलब है कि किसी एडमिनिस्ट्रेटर ने पॉलिसी लागू की है, जिसने उस पॉलिसी के हिस्से के रूप में ट्रस्ट इंस्टॉल किया हो सकता है।
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
जब टेक्स्ट ठीक-ठीक «Network may be monitored» कहता है, तो भेजने वाला सिस्टम है, VPN प्रदाता नहीं: Android उस पंक्ति को तब छापता है जब भी कोई ऐप सक्रिय VpnService रखता है, इसलिए एक आम व्यावसायिक क्लाइंट ट्रस्ट स्टोर में कुछ भी डाले बिना उसे पैदा कर देता है। तीन में से दो सूचनाएँ एक साथ सच हो सकती हैं, इसीलिए शिकायत आमतौर पर गलत वाली का नाम लेती है। अगर वाक्य कहता है कि CA इंस्टॉल है, तो VPN ज़्यादा से ज़्यादा एक संदिग्ध है, और उसे अनइंस्टॉल करने से चेतावनी ठीक वहीं रह सकती है जहाँ वह थी।
चरण 1: क्रेडेंशियल और उसका स्टोर खोजें
Android 9 से 12 में रास्ता है सेटिंग्स, फिर सुरक्षा, फिर एन्क्रिप्शन और क्रेडेंशियल, फिर विश्वसनीय क्रेडेंशियल; Android 13 और बाद वाले वही स्क्रीन सुरक्षा और गोपनीयता, फिर अधिक सुरक्षा सेटिंग्स के अंतर्गत ले जाते हैं, और OEM स्किन स्तरों के नाम फिर बदल देते हैं, इसलिए जब रास्ता मेल न खाय तो सेटिंग्स ऐप में «विश्वसनीय क्रेडेंशियल» खोजें। उपयोगकर्ता टैब में किसी व्यक्ति या ऐप द्वारा इंस्टॉल किए गए प्राधिकारी होते हैं, और सिस्टम टैब में वह होता है जो बिल्ड के साथ आया। प्रबंधन द्वारा धकेला गया प्राधिकारी डिवाइस पॉलिसी के ज़रिए या कार्य प्रोफ़ाइल के अंदर दिखता है, उपयोगकर्ता स्टोर में साधारण टैप के रूप में नहीं।
जारीकर्ता, वैधता तिथियाँ और किसने इसे इंस्टॉल किया, यह दर्ज करें। अगर प्रविष्टि उपयोगकर्ता स्टोर में ही नहीं है, तो यहीं रुकें, क्योंकि यह सिस्टम या प्रबंधित वस्तु है और सेटिंग्स स्क्रीन से इसे हटाना आपका काम नहीं है। वहाँ गलत पंक्ति हटाने से फ़ोन Wi-Fi या कार्य लॉगिन खो देता है, जबकि ट्रस्ट का सवाल अनुत्तरित रह जाता है।
चरण 2: VPN प्रोफ़ाइल के CA को फ़ोन के ट्रस्ट से अलग करें
OpenVPN प्रोफ़ाइल, या कोई भी क्लाइंट जो TLS पर अपने सर्वर को प्रमाणित करता है, ऐसा CA रख सकता है जिसका उपयोग केवल वही क्लाइंट अपने सर्वर को सत्यापित करने के लिए करता है। WireGuard प्रोफ़ाइल कोई CA नहीं रखता: वह सार्वजनिक कुंजी युग्मों पर निर्भर करता है, इसलिए Android के ट्रस्ट स्टोर में बैठा प्राधिकारी कभी WireGuard कॉन्फ़िग से नहीं आ सकता। वह प्रोफ़ाइल-स्थानीय प्रमाणपत्र किसी अन्य ऐप तक नहीं पहुँचता, और उसे सिस्टम ट्रस्ट स्टोर में कॉपी करना अलग प्रभाव-क्षेत्र वाला अलग ऑपरेशन है। दोनों को अलग रखना इस चरण का पूरा उद्देश्य है, क्योंकि केवल दूसरा ही बदलता है कि अन्य ऐप क्या स्वीकार करेंगे।
इसलिए CA वाली VPN प्रोफ़ाइल इंटरसेप्शन का सबूत नहीं है, और VPN ऐप उस ट्रस्ट प्रविष्टि की मालिक नहीं है जिसे उसने कभी बनाया ही नहीं। परीक्षण सस्ता है: VPN रोकें और सूचना फिर पढ़ें। अगर प्रमाणपत्र की चेतावनी अब भी वहीं है, तो VPN ने उसे वहाँ नहीं रखा और ऐप हटाने से वह नहीं हटेगी।
चरण 3: सर्वर प्राधिकारी को क्लाइंट पहचान से अलग पहचानें
क्लाइंट पहचान प्रमाणपत्र और उसकी निजी कुंजी इस डिवाइस को सर्वर के सामने प्रमाणित करते हैं। CA पर भरोसा इसलिए किया जाता है कि वह ऐप के सामने सर्वर को प्रमाणित करे। दोनों साथ संग्रहीत होते हैं और सूची में एक जैसे दिखते हैं, फिर भी पूरी तरह अलग काम करते हैं।
क्लाइंट पहचान हटाने से Wi-Fi या VPN प्रमाणीकरण टूट सकता है और HTTPS ट्रस्ट के लिए कुछ नहीं होता, और CA हटाने से हर उस ऐप पर असर पड़ता है जो उस प्राधिकारी को स्वीकार करता है। कुछ भी दबाने से पहले तय करें कि आप दोनों में से किसे देख रहे हैं, क्योंकि जवाब मालिक और रिकवरी मार्ग का नाम बताता है।
चरण 4: पूछें कि कौन-से ऐप वास्तव में उस पर भरोसा करते हैं
Android का नेटवर्क सुरक्षा कॉन्फ़िगरेशन ऐप की सीमा तय करता है। API 24 या बाद के लक्ष्य वाले ऐप डिफ़ॉल्ट रूप से सिस्टम प्राधिकारियों पर भरोसा करते हैं, जबकि API 23 या पहले के लक्ष्य वाले ऐप डिफ़ॉल्ट रूप से उपयोगकर्ता द्वारा जोड़े गए प्राधिकारियों पर भी भरोसा करते हैं, और कोई ऐप अपने स्वयं के एंकर बता सकता है, प्रति-डोमेन नियम जोड़ सकता है या डिफ़ॉल्ट से पूरी तरह बाहर निकल सकता है।
इसलिए «फ़ोन पर इंस्टॉल» हर ऐप के HTTPS ट्रस्ट का विवरण नहीं है: उपयोगकर्ता द्वारा जोड़ा गया प्राधिकारी पुराने ऐप द्वारा सम्मानित, मौजूदा ऐप द्वारा अनदेखा, और अपने स्वयं के एंकर लाने वाले ऐप द्वारा स्पष्ट रूप से भरोसेमंद हो सकता है। अगर प्राधिकारी कार्य Wi-Fi, निजी वेब सेवा या स्वीकृत निरीक्षण सेटअप के लिए इंस्टॉल किया गया था, तो उपयोगी सवाल यह है कि कौन-से ऐप और प्रोफ़ाइल उस पर निर्भर हैं। नेटवर्क सुरक्षा कॉन्फ़िगरेशन गाइड इस बात का संदर्भ है कि किसी दिए गए ऐप में इंस्टॉल प्राधिकारी कितनी दूर तक पहुँचता है, और यही वह हिस्सा है जिसे इस चेतावनी के ज़्यादातर सारांश छोड़ देते हैं।
चरण 5: तय करें, फिर मालिक और निकास योजना दर्ज करें
अगर प्राधिकारी अपेक्षित है, तो दस्तावेज़ करें कि किसने इसे इंस्टॉल किया, कौन-से कनेक्शन इस पर निर्भर हैं और इसे कैसे सेवानिवृत्त किया जाएगा। किसी प्राधिकारी पर भरोसा करना आज इंटरसेप्शन न होने पर भी महत्वपूर्ण निर्णय है, क्योंकि वही भरोसा बाद में इंटरसेप्शन संभव बनाता है।
अगर यह अप्रत्याशित है, तो उस फ़ोन पर संवेदनशील डेटा दर्ज करने से पहले डिवाइस या सेवा के मालिक के ज़रिए जाँच करें। अगर यह अप्रचलित है, तो उस विशिष्ट आइटम को हटाएँ जिसने इसे इंस्टॉल किया उसके ज़रिए, यह जाँचने के बाद कि उस पर क्या निर्भर है, और कभी भी सभी क्रेडेंशियल साफ़ करके शुरू न करें। चेतावनी छिपाने से केवल प्रदर्शन बदलता है और कुछ नहीं। सवाल तय करने के लिए निजी कुंजी या पूरी प्रोफ़ाइल कभी सार्वजनिक प्रमाणपत्र-जाँच सेवा पर अपलोड नहीं करनी चाहिए।
स्क्रीन छोड़ने से पहले आपको तीन जवाब चाहिए: किसने इसे इंस्टॉल किया, कौन-से कनेक्शन इस पर निर्भर हैं और इसे कैसे सेवानिवृत्त किया जाता है।