Android VPN და აპის ნებართვები: რას ნიშნავს გაფრთხილება
Android-ის VPN თანხმობის დიალოგი პაკეტის დონეზე პოზიციას გაძლევთ და არა წვდომას თქვენს ელფოსტაზე, ფოტოებსა თუ კონტაქტებზე. სწორედ აქ გადის ეს ზღვარი.
Android-ში ორ დიალოგს მუდამ ერევა ერთმანეთში: VPN-ის თანხმობის მოთხოვნა და ნებართვების ის მოთხოვნები, რომლებსაც აპი თქვენს მონაცემებზე აყენებს. პირველი გადასცემს ქსელურ პოზიციას, იმ წერტილს, სადაც პაკეტების წაკითხვა და გადაწერა შეიძლება. მეორე გადასცემს შენახულ შიგთავსს, რომელსაც Android აპი-აპი იცავს. ორივეს ერთ რამედ მიჩნევა ან აჭარბებს იმას, რისი დანახვაც გვირაბს შეუძლია, ან სერიოზულად ამცირებს იმას, რასაც ჯიუტი აპი შემდეგ მოითხოვს.
რას გადასცემს თანხმობის დიალოგი სინამდვილეში
აპი, რომელიც ახორციელებს VpnService-ს და აცხადებს BIND_VPN_SERVICE-ს, სისტემას სთხოვს, გახდეს მოწყობილობის VPN. დამტკიცების შემდეგ ჩარჩო ქმნის tun ინტერფეისს და აძლევს აპს მისი ფაილის აღწერილობას. ყველაფერი, რასაც აპი შემდეგ აკეთებს, ამ აღწერილობაში გადის: კითხულობს IP პაკეტებს გარეთ, წყვეტს, რა უყოს მათ, და პაკეტებს ისევ შიგნით წერს.
ამ ინტერფეისის მოცულობა ცხადია. მარშრუტები წყვეტს, რომელი დანიშნულებები იჭერება, ხოლო addAllowedApplication თუ addDisallowedApplication წყვეტს, რომელი აპები კვებავს მას. აპზე მორგებული VPN, რომელიც ორ აპს ჩამოთვლის, ვერ ხედავს მოწყობილობის დანარჩენ ნაწილს.
ეს პაკეტის დონის ნებართვაა და არა მონაცემთა დონის. სერვისი ხედავს იმ ბაიტებს, რომლებსაც აპი ქსელურ დასტას გადასცემს, მიმართულს დანიშნულებაზე. ის არ იღებს წვდომას გამომგზავნი აპის პირად საცავზე, მის მონაცემთა ბაზის ფაილებზე ან მის გაშიფრულ მეხსიერებაზე. ფაილები, რომლებიც აპმა საკუთარ ქვიშის ყუთში შეინახა, ზუსტად ისევე ძნელად საკითხავი რჩება, როგორც ადრე.
სად წყდება პაკეტების ხედვა
TLS კვლავ ასრულებს თავის საქმეს გვირაბის შიგნით, რადგან ხელის ჩამორთმევა აპსა და სერვერს შორის ხდება და არა აპსა და VPN-ს შორის. VPN გადასცემს დაშიფრულ ტექსტს, რომლის გაშიფრვაც სესიის გასაღებების გარეშე არ შეუძლია. სწორედ ამიტომ გვირაბი მარტო არ ამჟღავნებს HTTPS გვერდის ან დაცული საფოსტო სესიის შიგთავსს.
დაშიფრული ტექსტის გარშემო მეტამონაცემები სხვა ამბავია და სწორედ აქ იშლება თავდაჯერებული მტკიცებების უმეტესობა. დანიშნულების IP, პორტი, პაკეტების ზომები და დროში განაწილება ყველა ჩანს, ასევე სერვერის სახელი TLS ClientHello-ში, რომელიც ჩვეულებრივ ღიად იგზავნება TLS 1.3-ის პირობებშიც. Encrypted Client Hello ამას ცვლის, მაგრამ ის არ არის საყოველთაო. ჩვეულებრივი DNS სახელებს ისევე ადვილად ჟონავს, როცა მოთხოვნები დაშიფვრის გარეშე გადის.
უფრო ძველი ან არასწორად გამართული პროტოკოლები მეტს გადასცემენ. ჩვეულებრივი HTTP, IMAP TLS-ის გარეშე და არაერთი თამაშისა და IoT პროტოკოლი თავის დატვირთვას უხილავს ყველაფერს, რასაც tun-ის აღწერილობა აქვს.
ნებართვები, რომლებიც არასდროს ახლავს
VPN-ის დამტკიცება არ ნიშნავს კონტაქტების, SMS-ის, ფოტოების ან მედია საცავის დამტკიცებას. ეს ცალკეული მუშაობის დროის ნებართვებია, თითოეულს თავისი დიალოგი და თავისი გაუქმების გზა აქვს აპის პარამეტრების გვერდზე. VPN კლიენტმა, რომელსაც თქვენი ზარების ისტორია სურს, უნდა ითხოვოს ის, როგორც ნებისმიერი სხვა აპი, და თქვენ შეგიძლიათ უარი თქვათ გვირაბის შენარჩუნებით.
სერტიფიკატის ინსტალაციაა ის, რასაც უნდა მიაქციოთ ყურადღება, რადგან ის VPN-ის გამართვის ნაწილად გამოიყურება და არ არის. მომხმარებლის CA-ის სერტიფიკატების საცავში ინსტალაცია ცვლის, რომელ სერტიფიკატებს მიიღებს Android, და Android 7.0-დან მოყოლებული API 24 ან უფრო ახალზე მიმართული აპი უგულებელყოფს მომხმარებლის მიერ დამატებულ CA-ებს, თუ მისი ქსელური უსაფრთხოების კონფიგურაცია მომხმარებლის ნდობის სამაგრით არ აირჩევს მათ. კლიენტი, რომელიც CA-ზე დაჟინებით მოითხოვს, შეიძლება კანონიერ კორპორატიულ ჩარევას ახორციელებდეს, ან შეიძლება ითხოვდეს იმას, რაც VPN-ის დიალოგს არასდროს უხსენებია.
ხელმისაწვდომობის წვდომა კიდევ უფრო შორს დგას. ჩართული ხელმისაწვდომობის მქონე სერვისს შეუძლია სხვა აპების ეკრანის შიგთავსის წაკითხვა, რასაც პაკეტის დონის არცერთი პოზიცია არ იძლევა.
ლოკალური ფილტრი თუ დისტანციური კარიბჭე
იგივე API ორ პროდუქტს მოიცავს, რომლებიც ნდობის სხვადასხვა დონეს იმსახურებენ. მოწყობილობაზე არსებული ფაილქსელი ან რეკლამის ბლოკირება იღებს tun-ის აღწერილობას და ტრაფიკს ლოკალურად პასუხობს, არასდროს უგზავნის მას საკუთარ მართულ სერვერზე. ნამდვილი გვირაბი ამ პაკეტებს სადღაც სხვაგან მდებარე კარიბჭეს გადასცემს და ის ოპერატორი მეორე ბოლოდან იმავე მეტამონაცემებს ხედავს და ამავდროულად წყვეტს, რა დაბრუნდება.
მათი გარჩევის პრაქტიკული გზაა შეამოწმოთ თქვენი საჯარო მისამართი VPN-ის ჩართულ და გამორთულ მდგომარეობაში და ნახოთ, ასახელებს თუ არა შეტყობინება დისტანციურ წერტილს. თუ მისამართი არასდროს იცვლება, ტრაფიკი ალბათ თავად მოწყობილობაზე ბრუნავს.
ორივე შემთხვევაში ეს კვლავ პაკეტის პოზიციაა. განსხვავებაა ის, თუ კიდევ ვინ დგას გასასვლელთან.
შეამოწმეთ, რა დაამტკიცეთ
გახსენით პარამეტრები, შემდეგ ქსელი და ინტერნეტი, შემდეგ VPN, და წაიკითხეთ ჩანაწერი და არა სტატუსის ზოლის ხატულა. Always-on VPN და კავშირების დაბლოკვა VPN-ის გარეშე მოწყობილობის პარამეტრებია, რომლებიც ინტერფეისს ცოცხლად ინარჩუნებენ და გაჟონვებს წყვეტენ; ისინი არაფერს აფართოებენ. იმავე ეკრანიდან შეგიძლიათ პროფილის დავიწყება და ნებართვის გაუქმება.
შემდეგ გადაუარეთ დანარჩენ ნებართვებს. აპის ინფორმაცია აჩვენებს, რომელი მუშაობის დროის ნებართვები აქვს კლიენტს, ხოლო უსაფრთხოების პარამეტრები აჩვენებს, დაყენდა თუ არა იმავდროულად მომხმარებლის სერტიფიკატი. ორივე დამოუკიდებლად შეიძლება მოიხსნას.
პასუხის ღირსი კითხვა ვიწროა: რომელი პაკეტები შედის ამ სერვისში, სად მიდიან ისინი და რას ინახავს განხორციელება. დანარჩენი ყველაფერი დიალოგში ხმაურია. VpnService-ის ცნობარი არის ავტორიტეტული სია იმისა, რას ამჟღავნებს ინტერფეისი.