Android hálózatfigyelési figyelmeztetés: olvassa el a bizalmi változást

Három értesítés hasonlóan néz ki egy telefonon, és csak az egyik szól tanúsítványról. A VPN-állapotsor, a bizalmi tároló figyelmeztetése és a kezelt eszköz sávja mind más-más vezérlőt nevez meg, és az éppen a képernyőn lévő alkalmazás lehet, hogy egyiket sem birtokolja. A pontos szöveg elsőként való elolvasása megóvja attól, hogy a rossz dolgot törölje. Végezze el az alábbi öt ellenőrzést sorrendben, és álljon meg az elsőnél, amelyik elbukik, mert a helyes művelet minden lépésben teljesen megváltozik.

0. lépés: azonosítsa, melyik értesítést látja

A szöveg fontosabb, mint az ikon. A VPN-állapot értesítés azt jelenti, hogy egy alkalmazás aktív VpnService-t tart. A tanúsítványfigyelmeztetés azt jelenti, hogy valami telepítve van egy bizalmi tárolóban. A kezelt eszköz értesítés azt jelenti, hogy egy adminisztrátor szabályzatot alkalmazott, amely a bizalmat a szabályzat részeként telepíthette.

Amikor a szöveg szó szerint «Network may be monitored», a küldő a rendszer, nem a VPN-szolgáltató: az Android akkor nyomtatja ezt a sort, amikor egy alkalmazás aktív VpnService-t tart, így egy szokványos kereskedelmi kliens úgy állítja elő, hogy semmit nem tesz a bizalmi tárolóba. A három értesítésből kettő egyszerre is igaz lehet, ezért a panasz általában a rosszat nevezi meg. Ha a mondat azt mondja, hogy CA van telepítve, a VPN legfeljebb gyanúsított, és az eltávolítása pontosan ott hagyhatja a figyelmeztetést, ahol volt.

1. lépés: keresse meg a hitelesítő adatot és a tárolóját

Android 9–12 alatt az útvonal Beállítások, majd Biztonság, majd Titkosítás és hitelesítő adatok, majd Megbízható hitelesítő adatok; az Android 13 és újabb verziók ugyanezt a képernyőt a Biztonság és adatvédelem, majd További biztonsági beállítások alá helyezik, a gyártói felületek pedig ismét átnevezik a szinteket, ezért ha az útvonal nem egyezik, keressen rá a Beállítások alkalmazásban a «Megbízható hitelesítő adatok» kifejezésre. A Felhasználó lapon a személy vagy alkalmazás által telepített hatóságok vannak, a Rendszer lapon pedig az, ami a buildekkel érkezett. A felügyelet által áttolt hatóság az eszközszabályzaton keresztül vagy munkaprofillon belül jelenik meg, nem pedig alkalmi koppintásként a felhasználói tárolóban.

Jegyezze fel a kibocsátót, az érvényességi dátumokat és azt, hogy ki telepítette. Ha a bejegyzés egyáltalán nincs a felhasználói tárolóban, álljon meg itt, mert rendszer- vagy kezelt elem, és nem az Ön dolga törölni egy beállítási képernyőről. A rossz sor törlése ott az, ahogyan egy telefon elveszíti a Wi-Fi-t vagy a munkahelyi bejelentkezést, míg a bizalmi kérdés válasz nélkül marad.

2. lépés: válassza szét a VPN-profil CA-ját a telefon bizalmától

Egy OpenVPN-profil, vagy bármely kliens, amely TLS-en keresztül hitelesíti a szerverét, hordozhat olyan CA-t, amelyet csak az a kliens használ a saját szervere ellenőrzésére. A WireGuard-profil egyáltalán nem hordoz CA-t: nyilvános kulcspárokra támaszkodik, ezért az Android bizalmi tárolójában ülő hatóság soha nem származhatott WireGuard-konfigurációból. Az a profilhoz helyi tanúsítvány egyetlen más alkalmazáshoz sem jut el, és a rendszer bizalmi tárolójába másolása külön művelet, külön hatókörrel. A kettő szétválasztása ennek a lépésnek a teljes célja, mert csak a második változtatja meg azt, hogy más alkalmazások mit fogadnak el.

A CA-t tartalmazó VPN-profil tehát nem bizonyíték lehallgatásra, és egy VPN-alkalmazás nem tulajdonosa egy olyan bizalmi bejegyzésnek, amelyet soha nem hozott létre. A teszt olcsó: állítsa le a VPN-t, és olvassa el újra az értesítést. Ha a tanúsítványfigyelmeztetés még ott van, a VPN nem tette oda, és az alkalmazás eltávolítása nem fogja eltávolítani.

3. lépés: különböztesse meg a kiszolgálóhatóságot az ügyfél-identitástól

Az ügyfél-identitás tanúsítványa és titkos kulcsa hitelesíti ezt az eszközt egy kiszolgáló felé. Egy CA-ban azért bíznak, hogy kiszolgálókat hitelesítsen az alkalmazások felé. Együtt tárolódnak, és a listában hasonlónak tűnnek, mégis teljesen más feladatot látnak el.

Az ügyfél-identitás eltávolítása megtörheti a Wi-Fi vagy VPN hitelesítést anélkül, hogy bármit tenne a HTTPS-bizalommal, a CA eltávolítása pedig minden olyan alkalmazásra hat, amely elfogadja azt a hatóságot. Döntse el, melyiket látja, mielőtt bármit megnyom, mert a válasz megnevezi a tulajdonost és a helyreállítási útvonalat.

4. lépés: kérdezze meg, mely alkalmazások bíznak benne valóban

Az Android Hálózatbiztonsági konfigurációja határozza meg az alkalmazás határát. Az API 24-es vagy újabb célú alkalmazások alapértelmezés szerint bíznak a rendszerhatóságokban, míg az API 23-as vagy korábbi célú alkalmazások alapértelmezés szerint a felhasználó által hozzáadott hatóságokban is bíznak, és egy alkalmazás megnevezheti saját horgonyait, hozzáadhat tartományonkénti szabályokat, vagy teljesen kiléphet az alapértelmezésekből.

Tehát a «telefonon telepítve» nem írja le minden alkalmazás HTTPS-bizalmát: a felhasználó által hozzáadott hatóságot egy régebbi alkalmazás tisztelheti, egy jelenlegi figyelmen kívül hagyhatja, és egy saját horgonyokat hozó alkalmazás kifejezetten megbízhat benne. Ha a hatóságot munkahelyi Wi-Fihez, privát webszolgáltatáshoz vagy jóváhagyott vizsgálati beállításhoz telepítették, a hasznos kérdés az, mely alkalmazások és profilok függnek tőle. A Hálózatbiztonsági konfiguráció útmutatója az a hivatkozás, hogy egy telepített hatóság meddig ér el egy adott alkalmazásban, és ez az a rész, amelyet a figyelmeztetés legtöbb összefoglalója kihagy.

5. lépés: döntsön, majd rögzítse a tulajdonost és a kilépési tervet

Ha a hatóság várható, dokumentálja, ki telepítette, mely kapcsolatok függnek tőle, és hogyan vonják ki. Egy hatóságban bízni akkor is jelentős döntés, ha ma nem történik lehallgatás, mert a bizalom az, ami a lehallgatást később lehetővé teszi.

Ha nem várható, vizsgálja ki az eszköz vagy a szolgáltatás tulajdonosán keresztül, mielőtt érzékeny adatokat visz be arra a telefonra. Ha elavult, távolítsa el azt a bizonyos elemet azon keresztül, aki telepítette, miután megnézte, mi függ tőle, és soha ne az összes hitelesítő adat törlésével kezdje. A figyelmeztetés elrejtése a megjelenítést változtatja meg, és semmi mást. Titkos kulcsot vagy teljes profilt soha nem szabad nyilvános tanúsítvány-ellenőrző szolgáltatásba feltölteni a kérdés eldöntéséhez.

Mielőtt elhagyja a képernyőt, három választ szeretne: ki telepítette, mely kapcsolatok függnek tőle, és hogyan vonják ki.