D’SSID-Firewall-Reeg huet nom Wi-Fi-Wiessel opgehalen ze filteren
Eng Firewall, déi op d’SSID setzt, fällt oppen, wann Android en onbekannten Netzwierknomm zréckgëtt. Trennt d’Identitéit vun der Duerchsetzung a gitt dem Onbekannten seng eege Politik.
D’Reeg war einfach: de Verkéier nëmme filteren, soulaang den Telefon mam Büro-Wi-Fi verbonnen ass. Si huet Méint gehal, an dann huet den Telefon ee Moien op der selwechter SSID mat dem selwechten Schlëssel-Symbol gesiess an d’Filterung war opgehal. Um Netzwierk huet sech näischt geännert; geännert huet sech, ob d’App den Numm vum Netzwierk ka gesinn. Op Android sinn «op wéi engem Wi-Fi sinn ech» an «block dëse Verkéier» zwee getrennt Aarbechten, an eng Firewall, déi se vermëscht, fällt oppen genau wann den Numm net méi disponibel ass.
D’Symptom: d’Identitéit verschwënnt an d’Politik follegt
Eng SSID-Reeg liest e Wäert an entscheet dann fir eng Branche. Wann d’Liese keng nëtzlech Resultat zréckgëtt, muss de Code eppes maachen, an den heefegste Standard ass «net dat erwaart Netzwierk, also net filteren». Dësen Standard mécht aus engem Permissiounsproblem en Traficleck. Dat Schlëssel-Symbol bleift siichtbar, well den VPN-Service nach leeft; en ëmsetzt just eng aner Branche.
Kuckt d’Reiefolleg vun de Evenementer, net d’Netzwierk. Eng verworf Permissiounsfro, en Systemupdate, deen den SSID-Zougang hannert eng aner Permissioun verluecht huet, ofgeschalt Lokalisiounsservicer oder eng geännert Politik vum Aarbechtsprofil kënnen all dat selwecht Resultat liwweren, wärend den Telefon um selwechten Access Point bleift.
Firwat den Numm onbekannt zréckkomme kann
WifiInfo.getSSID() gëtt den Déngschtmaterial-Identifikator vum aktuellen Netzwierk zréck, an Android dokumentéiert, datt den Zougang zu lokalisatiounssensiblen Felder vu enger Permissioun ofhänkt. Wann den Zougang net disponibel ass, gëtt den Opruff UNKNOWN_SSID zréck amplaz haart ze feelen. En eidele oder onbekannte Wäert ass also kee Beweis, datt den Telefon de Wi-Fi verlooss huet; en ass e Beweis, datt d’App d’Netzwierk net ka klassifizéieren.
Zwou Kontrollen trennen d’Fäll. Bestätegt, datt den Telefon verbonnen ass, a kuckt, wat de System mellt, da bestätegt, datt d’App wierklech d’Permissioun huet, déi se op dëser Android-Versioun brauch:
adb shell cmd wifi status
adb shell dumpsys package <your.app> | grep -i -E "ACCESS_FINE_LOCATION|NEARBY_WIFI_DEVICES"Wann d’Statuslinn en verbonnen Netzwierk weist, wärend d’App en onbekannten Numm gesäit, hutt Dir e Permissiouns- oder API-Niveau-Problem, kee Wi-Fi-Problem. Fixéiert dat, éier Dir d’Firewallregele beréiert, well all Reeg ënnerlee wierkt géint e Wäert, deen d’App net liese kann.
Wou d’Filterung tatsächlech leeft
Eng lokal Android-Firewall benotzt normalerweis de VpnService-Modell, ouni de Verkéier op e Fernserver ze schécken: se hëlt déi virtuell Interface, applizéiert hir eege Reegelen a leet weider, wat se erlaabt. D’Plattform erlaabt ee aktiven VPN-Service pro Benotzerprofil, an den zweete ersetzt den éischten, amplaz sech drop ze stapelen. Eng separat Firewall-App an e separate Aarbechts-VPN bilden also keng zweestufeg Kette; eng vun deenen zwee gewënnt.
Dat ass wichteg fir eng SSID-Reeg, well den Ëmsetzungs- an den Observatiounspunkt verschidde Komponente sinn. De VpnService entscheet, wat d’Gerät verléisst; d’Wi-Fi-API liwwert just en Etikett. Eng App kann richteg ëmsetzen an falsch klassifizéieren, an genau dat ass de Feeler an dësem Artikel.
Gitt dem Onbekannten seng eege Politik
Betruecht d’Netzwierkidentitéit als dräi Zoustänn, a schreift d’Politik fir jidderee virum Release vun der Reeg. Den drëtten Zoustand ass deen, deen een vergësst, an an deen setzt Iech en Ugräifer oder eng falsch Konfiguratioun.
| Observation | Policy to specify |
|---|---|
| Expected SSID is readable | The explicit filtering policy you designed |
| A different SSID is readable | The default policy for untrusted networks |
| Unknown, changing or unreadable | Fail closed until classification is reliable |
Geschloss feelen heescht, datt den onbekannten Zoustand déi strengst vernünfteg Politik ierft amplaz déi bequemst. Wann den Telefon doduerch an engem neien Netzwierk onbrauchbar gëtt, ass déi richteg Léisung eng bewosst, siichtbar Ausnam, net eng stille Vertrauensentscheedung, déi an enger Kontroll op eidele Wäert verstoppt ass.
Eng vertraut SSID ass en Etikett, kee Beweis fir den Netzwierkbetreiber. Jiddereen kann en Access Point mam Numm vum Büro bedreiwen, dofir sollt eng Nummübereestëmmung ni dat eenzegt sinn, wat tëscht enger sensibler Sitzung an engem net vertrauenswürdege Segment steet.
Test d’Iwwergäng, net de stabile Zoustand
Tester am stabile Zoustand bestinn am Netzwierk, wou Dir d’Reeg gebaut hutt. D’Feeler liewen an den Iwwergäng: verworf Permissioun, Wi-Fi op Mobil, eng SSID op eng aner, de VPN-Service nei gestart an eng aner VPN-App, déi d’Interface iwwerhëlt. Fir jiddereen, entscheet, ob existéierend Verbindungen nei bewäert ginn a ob de geschützte Verkéier blockéiert bleift, soulaang den Zoustand onbekannt ass.
Schreift d’Resultat an dräi Sätz: déi observéiert Bedingung, d’Komponent déi d’Entscheedung ëmsetzt, an de bewosste Réckzuch. Wann eng vun den dräi feelt, ass d’Reeg nach keng Politik; et ass eng Viraussetzung, déi zoufälleg um Büronetzwierk funktionéiert.