Androidのネットワーク監視警告：信頼の変更を読み解く

スマートフォン上では三つの通知が似て見えますが、証明書に関するものはそのうち一つだけです。VPNステータスの行、トラストストアの警告、管理デバイスのバナーはそれぞれ別の制御を示しており、その瞬間に画面に出ているアプリがどれも所有していない可能性があります。まず正確な文言を読むことが、間違ったものを削除する事故を防ぎます。以下の五つの確認を順に行い、最初に失敗したところで止めてください。正しい対応は各段階でまったく変わるからです。

ステップ 0：どの通知を見ているかを特定する

アイコンより文言のほうが重要です。VPNステータスの通知は、アプリが有効なVpnServiceを保持していることを意味します。証明書の警告は、トラストストアに何かがインストールされていることを意味します。管理デバイスの通知は、管理者がポリシーを適用したことを意味し、そのポリシーの一部として信頼がインストールされた可能性があります。

テキストが文字通り「Network may be monitored」と表示する場合、送信者はVPNプロバイダーではなくシステムです。Androidはアプリが有効なVpnServiceを保持するたびにその行を表示するため、一般的な商用クライアントはトラストストアに何も入れずにこの表示を出します。三つの通知のうち二つは同時に真になり得るので、苦情は通常、間違ったほうを名指しします。文がCAがインストールされていると言っているなら、VPNはせいぜい容疑者にすぎず、アンインストールしても警告は元の場所に残る可能性があります。

ステップ 1：認証情報とその保存場所を特定する

Android 9から12では、設定、次にセキュリティ、次に暗号化と認証情報、次に信頼できる認証情報という経路です。Android 13以降は同じ画面をセキュリティとプライバシー、次にその他のセキュリティ設定の下へ移し、メーカーのスキンは階層名をさらに変えるので、経路が一致しないときは設定アプリで「信頼できる認証情報」を検索してください。ユーザータブには人やアプリがインストールした認証局が入り、システムタブにはビルドに同梱されたものが入ります。管理によって配布された認証局は、デバイスポリシー経由か仕事用プロファイル内に現れ、ユーザーストアでの気軽なタップとしては現れません。

発行者、有効期間、誰がインストールしたかを記録します。その項目がユーザーストアにまったくないなら、ここで止めてください。システムまたは管理された項目であり、設定画面から削除するのはあなたの役目ではありません。そこで間違った行を削除すると、信頼の疑問が未解決のまま、スマートフォンがWi-Fiや仕事のログインを失います。

ステップ 2：VPNプロファイルのCAと端末の信頼を分ける

OpenVPNプロファイル、またはTLSでサーバーを認証する任意のクライアントは、そのクライアントだけが自分のサーバーを検証するために使うCAを保持できます。WireGuardプロファイルはCAをまったく持ちません。公開鍵のペアに依存するため、Androidのトラストストアにある認証局がWireGuardの設定に由来することはあり得ません。そのプロファイル内の証明書は他のアプリには届かず、システムのトラストストアへコピーするのは別の影響範囲を持つ別の操作です。この二つを分けておくことがこのステップの目的です。他のアプリが何を受け入れるかを変えるのは二つ目だけだからです。

したがって、CAを含むVPNプロファイルは傍受の証拠ではなく、VPNアプリは自分が作っていない信頼エントリの所有者でもありません。テストは簡単です。VPNを停止して通知を読み直してください。証明書の警告がまだそこにあるなら、VPNがそれを置いたのではなく、アプリを削除しても消えません。

ステップ 3：サーバー認証局とクライアントIDを区別する

クライアントID証明書とその秘密鍵は、この端末をサーバーに対して認証します。CAは、サーバーをアプリに対して認証するために信頼されます。両者は一緒に保存され、一覧では似て見えますが、まったく異なる役割を果たします。

クライアントIDを削除すると、HTTPSの信頼には何もせずにWi-FiやVPNの認証が壊れることがあり、CAを削除するとその認証局を受け入れるすべてのアプリに影響します。何かを押す前に、どちらを見ているかを決めてください。答えが所有者と復旧経路を示すからです。

ステップ 4：どのアプリが実際に信頼しているかを尋ねる

Androidのネットワークセキュリティ構成がアプリの境界を定めます。API 24以降を対象とするアプリは既定でシステムの認証局を信頼し、API 23以前を対象とするアプリは既定でユーザーが追加した認証局も信頼します。また、アプリは独自のアンカーを指定し、ドメインごとのルールを追加し、既定から完全に外れることもできます。

つまり「端末にインストールされている」はすべてのアプリのHTTPS信頼を表す説明ではありません。ユーザーが追加した認証局は、古いアプリには尊重され、現在のアプリには無視され、独自のアンカーを持つアプリには明示的に信頼されることがあります。認証局が仕事用Wi-Fi、プライベートなWebサービス、承認された検査のためにインストールされたのなら、役に立つ質問はどのアプリとプロファイルがそれに依存しているかです。ネットワークセキュリティ構成のガイドは、インストールされた認証局が特定のアプリでどこまで届くかの参照であり、この警告の要約のほとんどが省いている部分です。

ステップ 5：判断し、所有者と終了計画を記録する

認証局が想定内なら、誰がインストールしたか、どの接続が依存しているか、どう廃止するかを文書化します。今日傍受がなくても、認証局を信頼することは意味のある判断です。その信頼が後で傍受を可能にするからです。

想定外なら、その端末に機密データを入力する前に、デバイスまたはサービスの所有者を通じて調査します。古くなっているなら、何が依存しているかを確認したうえで、インストールした人を通じてその特定の項目を削除し、すべての認証情報を消すことから始めないでください。警告を隠すのは表示を変えるだけで、それ以外は何もしません。秘密鍵やプロファイル全体を、疑問を解決するために公開の証明書チェックサービスへアップロードしてはいけません。

画面を離れる前に、三つの答えを欲しいはずです。誰がインストールしたか、どの接続が依存しているか、どう廃止するかです。