Android VPN және қолданба рұқсаттары: ескерту нені білдіреді

Android-тағы екі диалог үнемі шатастырылады: VPN келісімінің сұранысы және қолданбаның деректеріңіз үшін жасайтын рұқсат сұраулары. Біріншісі желідегі орынды береді, яғни пакеттерді оқуға және қайта жазуға болатын нүктені. Екіншісі Android қолданба сайын қорғайтын сақталған мазмұнды береді. Оларды бір нәрсе деп қарау не туннельдің нені көре алатынын асыра көрсетеді, не табанды қолданбаның келесіде нені сұрайтынын қатты төмендетеді.

Келісім диалогы шын мәнінде нені береді

VpnService іске асыратын және BIND_VPN_SERVICE жариялайтын қолданба жүйеден құрылғының VPN-і болуды сұрайды. Мақұлданғаннан кейін фреймворк tun интерфейсін жасайды және қолданбаға оның файл дескрипторын береді. Осыдан кейін қолданба жасайтынның бәрі сол дескриптор арқылы өтеді: ол IP пакеттерін сыртқа оқиды, олармен не істеу керегін шешеді және пакеттерді қайта ішке жазады.

Бұл интерфейстің ауқымы айқын. Маршруттар қай межелердің ұсталатынын шешеді, ал addAllowedApplication немесе addDisallowedApplication қай қолданбалардың оны қоректендіретінін шешеді. Екі қолданбаны тізбелейтін қолданба бойынша VPN құрылғының қалған бөлігін көрмейді.

Бұл пакет деңгейіндегі рұқсат, деректер деңгейіндегі емес. Қызмет қолданбаның желілік стекке беретін байттарын көреді, олар межеге адрестелген. Ол жіберуші қолданбаның жеке қоймасына, оның дерекқор файлдарына немесе шифры ашылған жадысына қол жеткізе алмайды. Қолданба өзінің құмсалдырғышында сақтаған файлдар бұрынғыдай оқуға қиын күйінде қалады.

Пакеттер көрінісі қай жерде тоқтайды

TLS туннельдің ішінде өз жұмысын жалғастырады, өйткені қол алысу қолданба мен сервер арасында болады, қолданба мен VPN арасында емес. VPN сессия кілттерінсіз шеше алмайтын шифрланған мәтінді жібереді. Сондықтан туннель жалғыз өзі HTTPS бетінің немесе қорғалған пошта сессиясының мазмұнын ашпайды.

Шифрланған мәтіннің айналасындағы метадеректер басқа әңгіме, және дәл осы жерде сенімді мәлімдемелердің көбісі күйрейді. Межелік IP, порт, пакет өлшемдері және уақыт белгісі көрінеді, қоса TLS ClientHello ішіндегі сервер атауы, ол әдетте TLS 1.3 кезінде де ашық жіберіледі. Encrypted Client Hello мұны өзгертеді, бірақ ол әмбебап емес. Қарапайым DNS те сұраулар шифрланбай шыққанда атауларды дәл сондай оңай ағызады.

Ескі немесе дұрыс конфигурацияланбаған хаттамалар көбірек береді. Қарапайым HTTP, TLS жоқ IMAP және бірқатар ойын мен IoT хаттамалары өз жүктемесін tun дескрипторы бар кез келген нәрсеге ашады.

Онымен ешқашан бірге келмейтін рұқсаттар

VPN-ді мақұлдау контактілерді, SMS-ті, суреттерді немесе медиа қойманы мақұлдауды білдірмейді. Бұлар жеке орындалу уақытындағы рұқсаттар, әрқайсысының өз диалогы және қолданба параметрлері бетінде өз күшін жою жолы бар. Қоңыраулар журналын қалайтын VPN клиенті оны кез келген басқа қолданба сияқты сұрауы керек, ал сіз туннельді сақтап қалу арқылы бас тарта аласыз.

Сертификатты орнату — назар аудару керек нәрсе, өйткені ол VPN баптауының бөлігі болып көрінеді, бірақ олай емес. Пайдаланушы CA-сын куәліктер қоймасына орнату Android қандай сертификаттарды қабылдайтынын өзгертеді, ал Android 7.0-ден бастап API 24 немесе одан жаңасына бағытталған қолданба пайдаланушы қосқан CA-ларды елемейді, егер оның желілік қауіпсіздік конфигурациясы пайдаланушы сенім тіреуішімен оны таңдамаса. CA-ны талап ететін клиент заңды корпоративтік араласуды жасап жатқан болуы мүмкін, немесе VPN диалогы ешқашан атап өтпеген нәрсені сұрап жатқан болуы мүмкін.

Қолжетімділік мүмкіндіктеріне рұқсат одан да әрі тұр. Қолжетімділік қосылған қызмет басқа қолданбалардың экран мазмұнын оқи алады, оны пакет деңгейіндегі ешбір орын бере алмайды.

Жергілікті сүзгі немесе қашықтағы шлюз

Сол API әртүрлі сенім деңгейіне лайық екі өнімді қамтиды. Құрылғыдағы брандмауэр немесе жарнама бұғаттаушы tun дескрипторын алып, трафикке жергілікті түрде жауап береді, оны ешқашан өзі басқаратын серверге жібермейді. Нағыз туннель бұл пакеттерді басқа жердегі шлюзге жібереді, ал сол оператор екінші жақтан дәл сол метадеректерді көреді және не қайтатынын да шешеді.

Оларды ажыратудың практикалық жолы — VPN қосулы және өшірулі күйде жалпыға ортақ мекенжайыңызды тексеру және хабарлама қашықтағы соңғы нүктені атай ма, соны қарау. Егер мекенжай ешқашан өзгермесе, трафик құрылғының өзінде айналып жүрген болуы мүмкін.

Екі жағдай да әлі пакет орны. Айырмашылық — шығыста тағы кім тұрғанында.

Нені мақұлдағаныңызды тексеріңіз

Параметрлерді, содан кейін Желі және интернет, содан кейін VPN ашып, күй жолағындағы белгішені емес, жазбаны оқыңыз. Always-on VPN және VPN жоқ кезде қосылымдарды блоктау — интерфейсті тірі ұстайтын және ағып кетуді кесетін құрылғы параметрлері; олар ештеңені кеңейтпейді. Сол экраннан профильді ұмытып, рұқсатты қайтарып алуға болады.

Содан кейін қалған рұқсаттарды аралап шығыңыз. Қолданба туралы ақпарат клиенттің қандай орындалу уақытындағы рұқсаттары бар екенін көрсетеді, ал Қауіпсіздік параметрлері сол уақытта пайдаланушы сертификаты орнатылғанын көрсетеді. Екеуін де жеке-жеке жоюға болады.

Жауап беруге тұрарлық сұрақ тар: бұл қызметке қандай пакеттер кіреді, олар қайда барады және іске асыру нені сақтайды. Диалогтағы қалғанның бәрі шу. VpnService анықтамалығы интерфейстің нені ашатынының беделді тізімі.