Android upozorenje o nadzoru mreže: pročitajte promjenu povjerenja

Tri obavijesti na telefonu izgledaju slično, a samo se jedna odnosi na certifikat. Redak stanja VPN-a, upozorenje spremišta povjerenja i traka upravljanog uređaja svaki imenuje drugu kontrolu, a aplikacija koja je trenutno na zaslonu možda ne posjeduje nijednu od njih. Čitanje točnog teksta najprije spasit će vas od brisanja pogrešne stvari. Prođite pet provjera u nastavku redom i zaustavite se na prvoj koja ne uspije, jer se ispravna radnja potpuno mijenja u svakom koraku.

Korak 0: prepoznajte koju obavijest gledate

Tekst je važniji od ikone. Obavijest o stanju VPN-a znači da aplikacija drži aktivni VpnService. Upozorenje o certifikatu znači da je nešto instalirano u spremištu povjerenja. Obavijest o upravljanom uređaju znači da je administrator primijenio politiku, koja je možda instalirala povjerenje kao dio te politike.

Kad tekst doslovno kaže «Network may be monitored», pošiljatelj je sustav, a ne pružatelj VPN-a: Android ispisuje taj redak kad god aplikacija drži aktivni VpnService, pa ga uobičajeni komercijalni klijent stvara bez stavljanja ičega u spremište povjerenja. Dvije od tri obavijesti mogu biti istodobno istinite, zbog čega žalba obično imenuje pogrešnu. Ako rečenica kaže da je CA instaliran, VPN je najviše osumnjičenik, a njegovo uklanjanje može ostaviti upozorenje točno tamo gdje je bilo.

Korak 1: pronađite vjerodajnicu i njezino spremište

Na Androidu 9 do 12 put je Postavke, zatim Sigurnost, zatim Šifriranje i vjerodajnice, zatim Pouzdane vjerodajnice; Android 13 i noviji premještaju isti zaslon pod Sigurnost i privatnost, zatim Dodatne sigurnosne postavke, a sučelja proizvođača ponovno preimenuju razine, pa u aplikaciji Postavke potražite «Pouzdane vjerodajnice» kad se put ne podudara. Kartica Korisnik sadrži autoritete koje je instalirala osoba ili aplikacija, a kartica Sustav sadrži ono što je došlo s izdanjem. Autoritet koji gura upravljanje pojavljuje se kroz politiku uređaja ili unutar radnog profila, a ne kao običan dodir u korisničkom spremištu.

Zabilježite izdavatelja, datume valjanosti i to tko ju je instalirao. Ako unos uopće nije u korisničkom spremištu, zaustavite se ovdje, jer je to sustavna ili upravljana stavka i nije na vama da je brišete sa zaslona postavki. Brisanje pogrešnog retka ondje je način na koji telefon izgubi Wi-Fi ili radnu prijavu dok pitanje povjerenja ostaje bez odgovora.

Korak 2: odvojite CA VPN profila od povjerenja telefona

Profil OpenVPN, ili bilo koji klijent koji autentificira svoj poslužitelj putem TLS-a, može nositi CA koji samo taj klijent koristi za provjeru vlastitog poslužitelja. WireGuard profil uopće ne nosi CA: oslanja se na parove javnih ključeva, pa autoritet koji stoji u Androidovu spremištu povjerenja nikada nije mogao doći iz WireGuard konfiguracije. Taj certifikat lokalan za profil ne doseže nijednu drugu aplikaciju, a kopiranje u sustavno spremište povjerenja zasebna je operacija sa zasebnim dosegom. Držati njih dvoje odvojenima cijela je svrha ovog koraka, jer samo drugi mijenja ono što će druge aplikacije prihvatiti.

VPN profil koji sadrži CA stoga nije dokaz presretanja, a VPN aplikacija nije vlasnik unosa povjerenja koji nikada nije stvorila. Test je jeftin: zaustavite VPN i ponovno pročitajte obavijest. Ako je upozorenje o certifikatu još ondje, VPN ga nije stavio tamo i uklanjanje aplikacije neće ga ukloniti.

Korak 3: razlikujte autoritet poslužitelja od identiteta klijenta

Certifikat identiteta klijenta i njegov privatni ključ autentificiraju ovaj uređaj prema poslužitelju. CA se pouzdaje da autentificira poslužitelje prema aplikacijama. Pohranjuju se zajedno i u popisu izgledaju slično, ali obavljaju posve različite poslove.

Uklanjanje identiteta klijenta može slomiti Wi-Fi ili VPN autentifikaciju, a da pritom ne učini ništa za HTTPS povjerenje, a uklanjanje CA utječe na svaku aplikaciju koja prihvaća taj autoritet. Odlučite koje od dvoga gledate prije nego što bilo što pritisnete, jer odgovor imenuje vlasnika i put oporavka.

Korak 4: pitajte koje aplikacije doista vjeruju u njega

Androidova konfiguracija mrežne sigurnosti postavlja granicu aplikacije. Aplikacije koje ciljaju API 24 ili noviji prema zadanim postavkama vjeruju sustavnim autoritetima, dok aplikacije koje ciljaju API 23 ili stariji prema zadanim postavkama vjeruju i autoritetima koje je dodao korisnik, a aplikacija može navesti vlastita sidrišta, dodati pravila po domeni ili se posve isključiti iz zadanih vrijednosti.

Dakle «instalirano na telefonu» ne opisuje HTTPS povjerenje svake aplikacije: autoritet koji je dodao korisnik može poštovati starija aplikacija, ignorirati trenutna i izričito mu vjerovati aplikacija koja donosi vlastita sidrišta. Ako je autoritet instaliran za radni Wi-Fi, privatnu web uslugu ili odobrenu postavku inspekcije, korisno je pitanje koje aplikacije i profili ovise o njemu. Vodič za konfiguraciju mrežne sigurnosti referenca je za to dokle instalirani autoritet doseže u određenoj aplikaciji, i to je dio koji većina sažetaka ovog upozorenja izostavlja.

Korak 5: odlučite, zatim zabilježite vlasnika i plan izlaska

Ako je autoritet očekivan, dokumentirajte tko ga je instalirao, koje veze ovise o njemu i kako će se povući. Vjerovati autoritetu značajna je odluka čak i kad danas nema presretanja, jer povjerenje je ono što presretanje kasnije čini mogućim.

Ako nije očekivan, istražite kroz vlasnika uređaja ili usluge prije nego što na taj telefon unesete osjetljive podatke. Ako je zastario, uklonite tu određenu stavku kroz onoga tko ga je instalirao, nakon što provjerite što o njemu ovisi, i nikada ne počinjite brisanjem svih vjerodajnica. Skrivanje upozorenja mijenja prikaz i ništa drugo. Privatni ključ ili cijeli profil nikada se ne smiju prenijeti na javnu uslugu za provjeru certifikata da bi se pitanje riješilo.

Prije nego što napustite zaslon želite tri odgovora: tko ga je instalirao, koje veze ovise o njemu i kako se povlači.