Android-Netzwierk-Iwwerwaachungswarnung: lies d'Ännerung vum Vertrauen

Dräi Notizen gesinn op engem Telefon ähnlech aus, an nëmmen eng dovun ass iwwer en Zertifika. Eng VPN-Statuslinn, eng Warnung vum Vertrauensspäicher an e Banner vun engem geréierten Apparat nennen all een anere Kontroll, an d'App um Écran zu deem Moment besëtzt vläicht keen dovun. D'genau Formuléierung als éischt liesen erspuert der d'Läschen vum falschen Ding. Maach déi fënnef Kontrollen hei ënnen der Rei no a bleif bei der éischter stoen, déi feelt, well déi richteg Aktioun sech op all Schrëtt komplett ännert.

Schrëtt 0: identifizéier, wéi eng Notiz s du gesäis

D'Formuléierung ass méi wichteg wéi d'Animatioun. Eng VPN-Statusnotiz heescht, datt eng App en aktiiv VpnService huet. Eng Zertifikatswarnung heescht, datt eppes an engem Vertrauensspäicher installéiert ass. Eng Notiz vun engem geréierten Apparat heescht, datt en Administrateur eng Richtlinn applizéiert huet, déi vläicht d'Vertrauen als Deel vun där Richtlinn installéiert huet.

Wann den Text wierklech «Network may be monitored» seet, ass den Ofsender d'System an net den VPN-Ubidder: Android dréckt déi Linn all Kéier, wann eng App en aktiiv VpnService huet, also produzéiert en normale kommerzielle Client se, ouni eppes an de Vertrauensspäicher ze setzen. Zwou vun den dräi Notizen kënnen zur selwechter Zäit wouer sinn, an dofir nennt d'Plain dacks déi falsch. Wann de Saz seet, datt eng CA installéiert ass, ass de VPN héchstens verdächteg, an en ze deinstalléieren kann d'Warnung genau do loosse wou se war.

Schrëtt 1: fann d'Umeldung an hire Späicher

Op Android 9 bis 12 ass de Wee Astellungen, dann Sécherheet, dann Verschësselung an Umeldungen, dann Vertrauenswürdeg Umeldungen; Android 13 an duerno réckelen deen selwechten Écran ënner Sécherheet a Privatsphär, dann Weider Sécherheetsastellungen, an d'OEM-Interface benennt d'Niveaue nach eng Kéier ëm, also sief an der Astellungsapp no «Vertrauenswürdeg Umeldungen», wann de Wee net passt. Den Uschloch Benotzer enthält Autoritéiten, déi eng Persoun oder eng App installéiert huet, an den Uschloch System enthält dat, wat mat dem Build komm ass. Eng Autoritéit, déi d'Gestioun dréckt, erschéngt iwwer d'Apparatrichtlinn oder bannent engem Aarbechtsprofil, net als gewéinlechen Tippen am Benotzerspäicher.

Notéier den Aussteller, d'Gëltegkeetsdatumer a wien se installéiert huet. Wann den Andrag guer net am Benotzerspäicher ass, bleif hei stoen, well et en System- oder geréierten Element ass an et net däi ass, en aus engem Astellungsecran ze läschen. Déi falsch Rei do ze läschen ass de Wee, wéi en Telefon de Wi-Fi oder en Aarbechtslogin verléiert, wärend d'Vertrauensfro onbeäntwert bleift.

Schrëtt 2: trenn d'CA vun engem VPN-Profil vum Vertrauen vum Telefon

E Profil vun OpenVPN, oder all Client, deen säi Server iwwer TLS authentifizéiert, kann eng CA droen, déi nëmmen dee Client benotzt, fir säin eigenen Server ze préiwen. E WireGuard-Profil dréit guer keng CA: et stäipt sech op ëffentlech Schlësselpaarer, also kann eng Autoritéit am Vertrauensspäicher vun Android ni aus enger WireGuard-Konfiguratioun komm sinn. Dat profilintern Zertifika erreecht keng aner App, an et an de System-Vertrauensspäicher ze kopéieren ass eng separat Operatioun mat engem separaten Impaktberäich. Déi zwee getrennt ze halen ass den Zweck vun dësem Schrëtt, well nëmmen déi zweet ännert, wat aner Appen akzeptéieren.

En VPN-Profil mat enger CA ass also keng Beweis vu Ofhora, an eng VPN-App ass net de Besëtzer vun engem Vertrauensandrag, deen se ni erstallt huet. Den Test ass bëlleg: stopp de VPN a lies d'Notiz nach eng Kéier. Wann d'Zertifikatswarnung nach ëmmer do ass, huet de VPN se net dohinner gesat an d'App ze läschen hëlt se net ewech.

Schrëtt 3: ënnerscheed eng Serverautoritéit vun enger Clientidentitéit

E Clientidentitéitszertifika an säi private Schlëssel authentifizéieren dësen Apparat vis-à-vis vun engem Server. Engem CA gëtt vertraut, fir Server vis-à-vis vun Appen z'authentifizéieren. Si ginn zesumme gespäichert an gesinn an enger Lëscht ähnlech aus, awer si maachen komplett verschidden Aufgaben.

Eng Clientidentitéit ewechzehuelen kann d'Wi-Fi- oder VPN-Authentifikatioun briechen, ouni eppes fir den HTTPS-Vertrauen ze maachen, an eng CA ewechzehuelen beaflosst all App, déi déi Autoritéit akzeptéiert. Entscheed, wéi eng vun deenen zwee s du gesäis, ier s du eppes drécks, well d'Äntwert den Eegentümer an de Widderhierstellungswee nennt.

Schrëtt 4: fro, wéi eng Appen hirem wierklech vertrauen

D'Netzwierksécherheetskonfiguratioun vun Android setzt d'Grenz vun der App. Appen, déi op API 24 oder méi nei zilen, vertrauen standardméisseg Systemautoritéiten, wärend Appen, déi op API 23 oder méi al zilen, standardméisseg och vum Benotzer bäigefügten Autoritéiten vertrauen, an eng App kann hir eege Anker nennen, Regele pro Domain bäifügen oder sech komplett vun den Standarde lösen.

Also «um Telefon installéiert» beschreift net den HTTPS-Vertraue vun all App: eng vum Benotzer bäigefügten Autoritéit ka vun enger eelerer App respektéiert, vun enger aktueller ignoréiert a vun enger App, déi hir eege Anker matbréngt, ausdrécklech vertraut ginn. Wann d'Autoritéit fir Aarbechts-Wi-Fi, en private Webservice oder eng approuvéiert Inspektioun installéiert gouf, ass déi nëtzlech Fro, wéi eng Appen a Profiler dovun ofhänken. De Guide fir d'Netzwierksécherheetskonfiguratioun ass d'Referenz, wéi wäit eng installéiert Autoritéit an enger bestëmmter App geet, an et ass deen Deel, deen déi meescht Zesummefassunge vun dëser Warnung ewechloossen.

Schrëtt 5: entscheed, dann notéier den Eegentümer an den Ausgangsplang

Wann d'Autoritéit erwaart gëtt, dokumentéier, wien se installéiert huet, wéi eng Verbindungen dovun ofhänken a wéi se pensionéiert gëtt. Engem Autoritéit ze vertrauen ass eng bedeitend Entscheedung och wann haut keng Ofhora geschitt, well dat Vertrauen ass, wat Ofhora méi spéit méiglech mécht.

Wann se onerwaart ass, fuersch duerch den Eegentümer vum Apparat oder Service, ier s du sensibel Donnéeën op deem Telefon agëss. Wann se veroudert ass, läsch dee spezifeschen Element duerch dejenegen, deen en installéiert huet, nodeems s du gepréift hues, wat dovun ofhängt, a fänk ni domat un, all Umeldungen ze läschen. D'Warnung ze verstoppen ännert d'Affichage an soss näischt. E private Schlëssel oder e komplette Profil sollten ni op en ëffentleche Zertifikatspréifservice eropgeluede ginn, fir d'Fro ze klären.

Ier s den Écran verléis, wëlls du dräi Äntwerten: wien en installéiert huet, wéi eng Verbindungen dovun ofhänken a wéi en pensionéiert gëtt.