Avviso di monitoraggio della rete su Android: leggi il cambio di fiducia

Tre avvisi si somigliano su un telefono, e solo uno riguarda un certificato. Una riga di stato VPN, un avviso dell'archivio di fiducia e un banner di dispositivo gestito indicano ciascuno un controllo diverso, e l'app sullo schermo in quel momento potrebbe non possederne nessuno. Leggere prima il testo esatto ti evita di eliminare la cosa sbagliata. Esegui i cinque controlli qui sotto in ordine e fermati al primo che fallisce, perché l'azione corretta cambia completamente a ogni passaggio.

Passaggio 0: identifica quale avviso stai guardando

Il testo conta più dell'icona. Un avviso di stato VPN significa che un'app detiene un VpnService attivo. Un avviso di certificato significa che qualcosa è installato in un archivio di fiducia. Un avviso di dispositivo gestito significa che un amministratore ha applicato un criterio, che potrebbe aver installato la fiducia come parte di quel criterio.

Quando il testo dice letteralmente «Network may be monitored», il mittente è il sistema e non il fornitore VPN: Android stampa quella riga ogni volta che un'app detiene un VpnService attivo, quindi un client commerciale comune la produce senza mettere nulla nell'archivio di fiducia. Due dei tre avvisi possono essere veri contemporaneamente, ed è per questo che la lamentela di solito indica quello sbagliato. Se la frase dice che è installata una CA, la VPN è al massimo un sospetto, e disinstallarla può lasciare l'avviso esattamente dov'era.

Passaggio 1: trova la credenziale e il suo archivio

Su Android 9 fino a 12 il percorso è Impostazioni, poi Sicurezza, poi Crittografia e credenziali, poi Credenziali attendibili; Android 13 e successivi spostano la stessa schermata in Sicurezza e privacy, poi Altre impostazioni di sicurezza, e le interfacce dei produttori rinominano di nuovo i livelli, quindi cerca «Credenziali attendibili» nell'app Impostazioni quando il percorso non corrisponde. La scheda Utente contiene le autorità installate da una persona o da un'app, e la scheda Sistema contiene ciò che è arrivato con la build. Un'autorità spinta dalla gestione compare tramite il criterio del dispositivo o dentro un profilo di lavoro, non come un tocco casuale nell'archivio utente.

Annota l'emittente, le date di validità e chi l'ha installata. Se la voce non è affatto nell'archivio utente, fermati qui, perché è un elemento di sistema o gestito e non spetta a te eliminarlo da una schermata di impostazioni. Eliminare la riga sbagliata lì è il modo in cui un telefono perde il Wi-Fi o un accesso di lavoro mentre la domanda sulla fiducia resta senza risposta.

Passaggio 2: separa la CA di un profilo VPN dalla fiducia del telefono

Un profilo OpenVPN, o qualsiasi client che autentichi il proprio server tramite TLS, può portare una CA usata solo da quel client per verificare il proprio server. Un profilo WireGuard non porta alcuna CA: si basa su coppie di chiavi pubbliche, quindi un'autorità presente nell'archivio di fiducia di Android non può mai essere arrivata da una configurazione WireGuard. Quel certificato locale al profilo non raggiunge nessun'altra app, e copiarlo nell'archivio di fiducia di sistema è un'operazione separata con un raggio d'azione separato. Tenere i due separati è tutto lo scopo di questo passaggio, perché solo il secondo cambia ciò che le altre app accetteranno.

Un profilo VPN che contiene una CA non è quindi prova di intercettazione, e un'app VPN non è proprietaria di una voce di fiducia che non ha mai creato. Il test è economico: ferma la VPN e rileggi l'avviso. Se l'avviso del certificato è ancora lì, la VPN non l'ha messo e rimuovere l'app non lo rimuoverà.

Passaggio 3: distingui un'autorità di server da un'identità client

Un certificato di identità client e la sua chiave privata autenticano questo dispositivo verso un server. A una CA si dà fiducia perché autentichi i server verso le app. Sono memorizzati insieme e in un elenco si somigliano, ma svolgono compiti del tutto diversi.

Rimuovere un'identità client può rompere l'autenticazione Wi-Fi o VPN senza fare nulla per la fiducia HTTPS, e rimuovere una CA influisce su ogni app che accetta quell'autorità. Decidi quale delle due stai guardando prima di premere qualcosa, perché la risposta indica il proprietario e il percorso di ripristino.

Passaggio 4: chiedi quali app si fidano davvero

La configurazione di sicurezza di rete di Android fissa il confine dell'app. Le app con target API 24 o successivo si fidano per impostazione predefinita delle autorità di sistema, mentre le app con target API 23 o precedente si fidano per impostazione predefinita anche delle autorità aggiunte dall'utente, e un'app può indicare le proprie ancore, aggiungere regole per dominio o uscire del tutto dalle impostazioni predefinite.

Quindi «installato sul telefono» non descrive la fiducia HTTPS di ogni app: un'autorità aggiunta dall'utente può essere rispettata da un'app più vecchia, ignorata da una attuale e un'app che porta le proprie ancore può fidarsene esplicitamente. Se l'autorità è stata installata per il Wi-Fi di lavoro, un servizio web privato o un'ispezione approvata, la domanda utile è quali app e profili ne dipendono. La guida alla configurazione di sicurezza di rete è il riferimento su quanto lontano arriva un'autorità installata in una data app, ed è la parte che quasi tutti i riassunti di questo avviso omettono.

Passaggio 5: decidi, poi registra il proprietario e il piano di uscita

Se l'autorità è attesa, documenta chi l'ha installata, quali connessioni ne dipendono e come verrà ritirata. Fidarsi di un'autorità è una decisione significativa anche quando oggi non c'è intercettazione, perché è la fiducia che rende possibile l'intercettazione in seguito.

Se non è attesa, indaga tramite il proprietario del dispositivo o del servizio prima di inserire dati sensibili su quel telefono. Se è obsoleta, rimuovi quella voce specifica tramite chi l'ha installata, dopo aver controllato cosa ne dipende, e non iniziare mai cancellando tutte le credenziali. Nascondere l'avviso cambia la visualizzazione e nient'altro. Una chiave privata o un profilo completo non dovrebbero mai essere caricati su un servizio pubblico di controllo dei certificati per risolvere la questione.

Prima di lasciare la schermata vuoi tre risposte: chi l'ha installata, quali connessioni ne dipendono e come viene ritirata.