Android-ის ქსელის მონიტორინგის გაფრთხილება: წაიკითხეთ ნდობის ცვლილება
მონიტორინგის შეტყობინება, დაყენებული CA და მართული პოლიტიკა სამი სხვადასხვა რამ არის. სანამ რწმუნებულებს წაშლით, შეამოწმეთ რას აცხადებს Android.
სამი შეტყობინება ტელეფონზე ერთნაირად გამოიყურება და მათგან მხოლოდ ერთი ეხება სერტიფიკატს. VPN-ის სტატუსის ხაზი, ნდობის საცავის გაფრთხილება და მართული მოწყობილობის ბანერი თითოეული სხვა კონტროლს ასახელებს, და იმ მომენტში ეკრანზე მყოფ აპს შეიძლება არც ერთი მათგანიც არ ჷონდეს. ზუსტი ფორმულირების პირველად წაკითხვა გიხსნით არასწორი რამის წაშლისგან. შეასრულეთ ქვემოთ მოცემული ხუთი შემოწმება რიგითობით და გაჩერდით პირველზე, რომელიც ვერ გაივლის, რადგან სწორი ქმედება ყოველ საფეხურზე სრულად იცვლება.
ნაბიჯი 0: დაადგინეთ, რომელ შეტყობინებას უყურებთ
ფორმულირება უფრო მნიშვნელოვანია, ვიდრე ხატულა. VPN-ის სტატუსის შეტყობინება ნიშნავს, რომ აპი ფლობს აქტიურ VpnService-ს. სერტიფიკატის გაფრთხილება ნიშნავს, რომ რაღაც დაყენებულია ნდობის საცავში. მართული მოწყობილობის შეტყობინება ნიშნავს, რომ ადმინისტრატორმა გამოიყენა პოლიტიკა, რომელმაც შეიძლება ნდობა დაყენებული ყოფული ამ პოლიტიკის ნაწილად.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
როცა ტექსტი პირდაპირ ამბობს Network may be monitored, გამომგზავნი სისტემაა და არა VPN-ის მომწოდებელი: Android ამ ხაზს ბეჭდავს ყოველ ჯერზე, როცა აპი ფლობს აქტიურ VpnService-ს, ამიტომ ჩვეულებრივი კომერციული კლიენტი მას აწარმოებს ნდობის საცავში არაფრის ჩადების გარეშე. სამი შეტყობინებიდან ორი შეიძლება ერთდროულად მართლი იყოს, ამიტომ საჩივარი ჩვეულებრივად არასწორს ასახელებს. თუ წინადადება ამბობს, რომ CA დაყენებულია, VPN მაქსიმუმ ექვმიტანილია, და მისი წაშლა შეიძლება გაფრთხილება ზუსტად იმ ადგილაზე დატოვოს, სადაც იყო.
ნაბიჯი 1: იპოვეთ რწმუნებული და მისი საცავი
Android 9-დან 12-მდე გზაა პარამეტრები, შემდეგ უსაფრთხოება, შემდეგ დაშიფრება და რწმუნებულები, შემდეგ სანდო რწმუნებულები; Android 13 და უფრო ახლები იმავე ეკრანს გდააქვენ უსაფრთხოება და კონფიდენციალურობა, შემდეგ სხვა უსაფრთხოების პარამეტრები, და მწარმოებლების გარსები კვლავ ასახელენენ დონებს, ამიტომ როცა გზა არ ემთხვევა, პარამეტრების აპში მოძებნეთ «სანდო რწმუნებულები». მომხმარებლის ჩანართი შეიცავს პირის ან აპის მიერ დაყენებულ ორგანოებს, ხოლო სისტემის ჩანართი — იმას, რაც აწყობასთან ერთად მოვიდა. მართვის მიერ გატარებული ორგანო ჩნდება მოწყობილობის პოლიტიკის გავლით ან სამუშაო პროფილის შიგნით, და არა როგორც ჩვეულებრივი შეხება მომხმარებლის საცავში.
ჩაწერეთ გამომცემი, მოქმედების თარიღები და ვინ დააყენა ის. თუ ჩანაწერი საერთოდ არ არის მომხმარებლის საცავში, აქ გაჩერდით, რადგან ეს სისტემური ან მართული ელემენტია და პარამეტრების ეკრანიდან მისი წაშლა თქვენი საქმე არ არის. იქ არასწორი რიგის წაშლა არის ის, რითაც ტელეფონი კარგავს Wi-Fi-ს ან სამუშაო შესვლას, სანამ ნდობის კითხვა უპასუხოდ რჩება.
ნაბიჯი 2: გამოყვით VPN პროფილის CA ტელეფონის ნდობისგან
OpenVPN პროფილი, ან ნებისმიერი კლიენტი, რომელიც TLS-ით ამოწმებს თავის სერვერს, შეიძლება ატარდენ დეოდეს CA, რომელსაც მხოლოდ ის კლიენტი იყენებს საკუთარი სერვერის გადასამოწმებლად. WireGuard პროფილი საერთოდ არ ატარებს CA-ს: ის ეფუდნება საშინაარო გასაღების წყვებს, ამიტომ Android-ის ნდობის საცავში მჯდი ორგანო ვერასოდეს მოვიდება WireGuard-ის კონფიგურაციიდან. ის პროფილზე ლოკალური სერტიფიკატი არც ერთ სხვა აპს არ აწევს, და მისი სისტემის ნდობის საცავში კოპირება ცალკე ოპერაციაა ცალკე ზემოქმედის არეალით. ამ ორის განცალკევება ამ ნაბიჯის მთლიანი მიზანია, რადგან მხოლოდ მეორე ცვლის იმას, რასაც სხვა აპები მიიღებენ.
ამიტომ CA-ს შემცველი VPN პროფილი ჩახრის მტკიცებულება არ არის, და VPN აპი არ არის იმ ნდობის ჩანაწერის მფლობელი, რომელიც არასოდეს შექმნია. ტესტი იაფია: გააჩერეთ VPN და ხელახლა წაიკითხეთ შეტყობინება. თუ სერტიფიკატის გაფრთხილება ჯერ კიდევ იქ არის, VPN-მა ის იქ არ დაადგა და აპის წაშლა მას არ წაშლის.
ნაბიჯი 3: გაარჩით სერვერის ორგანო კლიენტის იდენტობისგან
კლიენტის იდენტობის სერტიფიკატი და მისი პირადი გასაღები ამ მოწყობილობას სერვერის წინაშე ამოწმებს. CA-ს ენდობიან იმისთვის, რომ სერვერები აპების წინაშე ამოწმინოს. ისინი ერთად ინახება და სიაში მსგავსად გამოიყურება, თუმცა სრულად სხვა საქმეს ასრულებენ.
კლიენტის იდენტობის წაშლამ შეიძლება დაარგვიოს Wi-Fi-ის ან VPN-ის ავთენტიფიკაცია, HTTPS-ის ნდობისთვის არაფერის გაზების გარეშე, ხოლო CA-ს წაშლა მოქმედება ყოველ აპზე, რომელიც ამ ორგანოს იღებს. სანამ რამეს დააჭერთ, გადაწყვიტთ, რომელს უყურებთ, რადგან პასუხი ასახელებს მფლობელსა და აღდგენის გზას.
ნაბიჯი 4: ჰკითხეთ, რომელი აპები ენდობიან მას სინამდვილში
Android-ის ქსელური უსაფრთხოების კონფიგურაცია ადგენს აპის საზღვარს. API 24 ან უფრო ახლზე მიმართული აპები ნაგულისხმევად სისტემურ ორგანოებს ენდობიან, ხოლო API 23 ან უფრო ძველზე მიმართული აპები ნაგულისხმევად მომხმარებლის მიერ დამატებულ ორგანოებსაც ენდობიან, და აპს შეუძლება დაასახელოს საკუთარი ანკრები, დაამატოს დომენური წესები ან სრულად გავიდეს ნაგულისხმევიდან.
ასე რომ «ტელეფონზე დაყენებული» არ აღწერს ყოველი აპის HTTPS ნდობას: მომხმარებლის მიერ დამატებულ ორგანოს შეიძლება პატივსცყოს ძველი აპი, გაუთვალისწოფოს მიმდინარე აპი და ცხადად ენდობიან აპმა, რომელიც საკუთარ ანკრებს მოიქცევს. თუ ორგანო დაყენებულია სამუშაო Wi-Fi-ისთვის, პრივატული ვებ სერვისთვის ან დამტკიცებული შემოწმებისთვის, სასარგებლო კითხვაა, რომელი აპები და პროფილები არიან მაზე დამოკიდებული. ქსელური უსაფრთხოების კონფიგურაციის გზამკვლევი არის მთითება იმისა, რამდენად შორს აწევს დაყენებული ორგანო მოცემულ აპში, და სწორედ ეს ნაწილია, რომელსაც ამ გაფრთხილების შეჟამებთა უმეტესობა გამოტოვებენ.
ნაბიჯი 5: გადაწყვიტთ, შემდეგ ჩაწერეთ მფლობელი და გასვლის გეგმა
თუ ორგანო მოსალოდნელია, დააფიქსირეთ, ვინ დააყენა ის, რომელი კავშირები არიან მაზე დამოკიდებული და როგორ მოიხსნება ის. ორგანოს ნდობა მნიშვნელოვანი გეგმაა დღესაც, როცა დღეს ჩახრის არ ხდება, რადგან სწორედ ნდობაა ის, რომელიც ჩახრის შესაძლებლს ქმნის უნდერ.
თუ ის მოულოდნელია, გამოიმჩინეთ მოწყობილობის ან სერვისის მფლობელის მეშვეობით, სანამ ამ ტელეფონში მგრძნობიერ მონაცემებს შეიყვანთ. თუ ის მოძველდია, წაშალეთ სწორედ ის კონკრეტული ელემენტი იმის მეშვეობით, ვინც დააყენა ის, მასზე დამოკიდებულების შემოწმების შემდეგ, და არასოდეს დაიწყებთ ყველა რწმუნებულის გაწმენთ. გაფრთხილების დამალვა ცვლის მხოლოდ ჩვენებას და სხვა არაფერს. პირადი გასაღები ან სრული პროფილი არასოდეს უნდა აიტვირთოს საჯარო სერტიფიკატების შემოწმების სერვისთვის, რათა კითხვა გადაწყვიტ.
ეკრანიდან გასვლამდე გსურთ სამი პასუხი: ვინ დააყენა ის, რომელი კავშირები არიან მაზე დამოკიდებული და როგორ მოიხსნება გასვლას.