Peringatan pemantauan jaringan Android: baca perubahan kepercayaan
Pemberitahuan pemantauan, CA terpasang, dan kebijakan terkelola adalah tiga hal berbeda. Periksa mana yang dilaporkan Android sebelum menghapus kredensial.
Tiga pemberitahuan terlihat mirip di ponsel, dan hanya satu yang tentang sertifikat. Baris status VPN, peringatan penyimpanan kepercayaan, dan spanduk perangkat terkelola masing-masing menyebut kontrol yang berbeda, dan aplikasi yang ada di layar saat itu mungkin tidak memiliki satu pun. Membaca kata-katanya dengan tepat lebih dulu menyelamatkan Anda dari menghapus hal yang salah. Jalankan lima pemeriksaan di bawah secara berurutan dan berhenti pada yang pertama gagal, karena tindakan yang benar berubah total di setiap langkah.
Langkah 0: kenali pemberitahuan mana yang Anda lihat
Kata-katanya lebih penting daripada ikonnya. Pemberitahuan status VPN berarti ada aplikasi yang memegang VpnService aktif. Peringatan sertifikat berarti ada sesuatu yang terpasang di penyimpanan kepercayaan. Pemberitahuan perangkat terkelola berarti administrator menerapkan kebijakan, yang mungkin memasang kepercayaan sebagai bagian dari kebijakan itu.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
Ketika teksnya berbunyi persis «Network may be monitored», pengirimnya adalah sistem, bukan penyedia VPN: Android mencetak baris itu setiap kali aplikasi memegang VpnService aktif, jadi klien komersial arus utama menghasilkannya tanpa menaruh apa pun di penyimpanan kepercayaan. Dua dari tiga pemberitahuan bisa benar sekaligus, itulah sebabnya keluhan biasanya menyebut yang salah. Jika kalimatnya menyatakan CA terpasang, VPN paling-paling hanya tersangka, dan menghapusnya bisa membiarkan peringatan tetap persis di tempatnya.
Langkah 1: temukan kredensial dan penyimpanannya
Di Android 9 sampai 12 jalurnya adalah Setelan, lalu Keamanan, lalu Enkripsi dan kredensial, lalu Kredensial tepercaya; Android 13 dan yang lebih baru memindahkan layar yang sama ke Keamanan dan privasi, lalu Setelan keamanan lainnya, dan lapisan antarmuka pabrikan mengganti nama tingkatannya lagi, jadi cari «Kredensial tepercaya» di aplikasi Setelan bila jalurnya tidak cocok. Tab Pengguna berisi otoritas yang dipasang oleh orang atau aplikasi, dan tab Sistem berisi yang dibawa bersama build. Otoritas yang didorong oleh manajemen muncul melalui kebijakan perangkat atau di dalam profil kerja, bukan sebagai ketukan biasa di penyimpanan pengguna.
Catat penerbit, tanggal berlaku, dan siapa yang memasangnya. Jika entri itu sama sekali tidak ada di penyimpanan pengguna, berhenti di sini, karena itu item sistem atau terkelola dan bukan urusan Anda untuk menghapusnya dari layar setelan. Menghapus baris yang salah di sana adalah cara ponsel kehilangan Wi-Fi atau login kerja sementara pertanyaan kepercayaan tetap tak terjawab.
Langkah 2: pisahkan CA profil VPN dari kepercayaan ponsel
Profil OpenVPN, atau klien apa pun yang mengautentikasi servernya melalui TLS, dapat membawa CA yang hanya dipakai klien itu untuk memverifikasi servernya sendiri. Profil WireGuard sama sekali tidak membawa CA: ia bergantung pada pasangan kunci publik, jadi otoritas yang duduk di penyimpanan kepercayaan Android tidak mungkin berasal dari konfigurasi WireGuard. Sertifikat lokal profil itu tidak menjangkau aplikasi lain, dan menyalinnya ke penyimpanan kepercayaan sistem adalah operasi terpisah dengan jangkauan dampak terpisah. Menjaga keduanya tetap terpisah adalah inti langkah ini, karena hanya yang kedua mengubah apa yang akan diterima aplikasi lain.
Jadi profil VPN yang berisi CA bukan bukti penyadapan, dan aplikasi VPN bukan pemilik entri kepercayaan yang tidak pernah dibuatnya. Ujinya murah: hentikan VPN dan baca ulang pemberitahuannya. Jika peringatan sertifikat masih ada, VPN tidak menaruhnya di sana dan menghapus aplikasinya tidak akan menghapusnya.
Langkah 3: bedakan otoritas server dari identitas klien
Sertifikat identitas klien dan kunci privatnya mengautentikasi perangkat ini ke server. CA dipercaya untuk mengautentikasi server ke aplikasi. Keduanya disimpan bersama dan terlihat mirip dalam daftar, namun melakukan pekerjaan yang benar-benar berbeda.
Menghapus identitas klien dapat memutus autentikasi Wi-Fi atau VPN tanpa melakukan apa pun untuk kepercayaan HTTPS, dan menghapus CA memengaruhi setiap aplikasi yang menerima otoritas itu. Putuskan mana dari keduanya yang Anda lihat sebelum menekan apa pun, karena jawabannya menyebut pemilik dan jalur pemulihannya.
Langkah 4: tanyakan aplikasi mana yang benar-benar mempercayainya
Konfigurasi Keamanan Jaringan Android menetapkan batas aplikasi. Aplikasi yang menargetkan API 24 atau lebih baru memercayai otoritas sistem secara bawaan, sedangkan aplikasi yang menargetkan API 23 atau lebih lama juga memercayai otoritas yang ditambahkan pengguna secara bawaan, dan aplikasi dapat menyebut jangkarnya sendiri, menambahkan aturan per domain, atau keluar sepenuhnya dari nilai bawaan.
Jadi «terpasang di ponsel» bukan deskripsi kepercayaan HTTPS setiap aplikasi: otoritas yang ditambahkan pengguna bisa dihormati aplikasi lama, diabaikan aplikasi saat ini, dan dipercaya secara eksplisit oleh aplikasi yang membawa jangkarnya sendiri. Jika otoritas itu dipasang untuk Wi-Fi kerja, layanan web privat, atau penyiapan inspeksi yang disetujui, pertanyaan yang berguna adalah aplikasi dan profil mana yang bergantung padanya. Panduan Konfigurasi Keamanan Jaringan adalah rujukan seberapa jauh otoritas terpasang menjangkau pada aplikasi tertentu, dan itulah bagian yang paling sering dilewatkan ringkasan peringatan ini.
Langkah 5: putuskan, lalu catat pemilik dan rencana keluarnya
Jika otoritas itu diharapkan, dokumentasikan siapa yang memasangnya, koneksi mana yang bergantung padanya, dan bagaimana ia akan dipensiunkan. Mempercayai otoritas adalah keputusan penting bahkan ketika tidak ada penyadapan hari ini, karena kepercayaan itulah yang membuat penyadapan mungkin terjadi nanti.
Jika tidak diharapkan, selidiki melalui pemilik perangkat atau layanan sebelum memasukkan data sensitif di ponsel itu. Jika sudah usang, hapus item spesifik itu melalui siapa pun yang memasangnya, setelah memeriksa apa yang bergantung padanya, dan jangan pernah mulai dengan menghapus semua kredensial. Menyembunyikan peringatan hanya mengubah tampilan dan tidak yang lain. Kunci privat atau profil lengkap tidak boleh diunggah ke layanan pemeriksa sertifikat publik untuk menyelesaikan pertanyaan itu.
Sebelum meninggalkan layar, Anda menginginkan tiga jawaban: siapa yang memasangnya, koneksi mana yang bergantung padanya, dan bagaimana ia dipensiunkan.