Android VPN géint App-Berechtegungen: wat d'Warnung bedeit

Zwee Android-Dialogen gi stänneg mateneen verwiesselt: d'Ufro fir d'VPN-Zoustimmung an d'Berechtegungsufroe vun enger App op Är Daten. Déi éischt iwwerreecht eng Netzwierkpositioun, déi Plaz wou Pakete gelies a nei geschriwwe kënne ginn. Déi zweet iwwerreecht gespäicherten Inhalt, deen Android App fir App schützt. Wa mir se als eng eenzeg Saach behandelen, iwwerdreiwen mir entweder, wat en Tunnel ka gesinn, oder mir ënnerschätzen staark, wat eng entschloss App als nächst frot.

Wat den Zoustimmungsdialog tatsächlech iwwergëtt

Eng App, déi VpnService ëmsetzt an BIND_VPN_SERVICE deklaréiert, frot de System, d'VPN vum Apparat ze ginn. No der Genehmegung schaaft de Framework eng tun-Schnittstell an gëtt der App e Dateideskriptor dofir. Alles, wat d'App duerno mécht, fléisst duerch dësen Deskriptor: si liest IP-Paketen eraus, entscheet wat domat geschitt, a schreift Paketen erëm eran.

Den Ëmfang vun dëser Schnittstell ass explizit. Routen entscheeden, wéi eng Destinatiounen erfaasst ginn, an addAllowedApplication oder addDisallowedApplication entscheet, wéi eng Appen se fiddere. Eng VPN pro App, déi zwou Appen oplëscht, gesäit de Rescht vum Apparat net.

Dat ass eng Genehmegung op Paketniveau, net op Datenniveau. Den Déngscht gesäit d'Byten, déi eng App un den Netzwerkstack gëtt, adresséiert un eng Destinatioun. En kritt keen Zougang zum private Späicher vun der App, déi schéckt, zu hire Datebankfichieren oder zu hirem entschlësselten Erënnerung. Fichieren, déi eng App an hirer eegener Sandkëscht gespäichert huet, bleiwe genee esou schwéier ze liesen wéi virdrun.

Wou d'Paketusiicht ophält

TLS mécht nach ëmmer seng Aarbecht am Tunnel, well den Handshake tëscht der App an dem Server leeft, net tëscht der App an der VPN. D'VPN leet verschlësselten Text weider, deen se ouni d'Sessiounsschlëssel net entschlëssele kann. Dofir verroden en Tunnel eleng net den Inhalt vun enger HTTPS-Säit oder enger geschützter Mail-Sessioun.

D'Metadaten ronderëm de verschlësselten Text sinn eng aner Geschicht, an hei brécht de gréissten Deel vun de selbstséchere Behauptungen auserneen. D'Destinatiouns-IP, de Port, d'Paketgréissten an d'Timing si all siichtbar, plus den Numm vum Server am TLS ClientHello, dee normalerweis am Kloertext geschéckt gëtt, och ënner TLS 1.3. Encrypted Client Hello ännert dat, awer et ass net universell. Eeinfach DNS leckt Nimm genee esou liicht, wa Korrespondenzen onverschlësselt erausginn.

Méi al oder falsch konfiguréiert Protokoller iwwerreechen méi. Eeinfach HTTP, IMAP ouni TLS an eng Rei Spill- an IoT-Protokoller leeën hir Notzlaascht fir alles oppen, wat den tun-Deskriptor huet.

D'Berechtegungen, déi ni domat kommen

Eng VPN genehmegen heescht net Kontakter, SMS, Fotoen oder de Mediespäicher genehmegen. Dat sinn separat Laufzäitberechtegungen, jiddweree mat sengem eegenen Dialog a sengem eegene Widderruffswee op der Astellungssäit vun der App. E VPN-Client, deen Ären Uruffsprotokoll wëll, muss dee froen wéi all aner App, a Dir kënnt ofleenen an den Tunnel behalen.

D'Installatioun vun Zertifkater ass déi, op déi ee oppasse soll, well se wéi en Deel vun der VPN-Astellung ausgesäit an et net ass. Eng Benotzer-CA an de Referenzdaten-Späicher ze installéieren ännert, wéi eng Zertifkater Android akzeptéiert, a säit Android 7.0 ignoréiert eng App, déi op API 24 oder méi nei zilt, vum Benotzer bäigefüügte CAen, ausser hir Netzwierksécherheetskonfiguratioun wielt se mat engem Benotzervertrauensanker. En Client, deen op enger CA behaart, mécht vläicht legitim Betribsinterzeptioun, oder en freet eppes, wat den VPN-Dialog ni ernimmt huet.

Den Zougang zu der Accessibilitéit läit nach méi wäit dobaussen. En Déngscht mat aktivéierter Accessibilitéit ka Bildschirminhalt vun aneren Appen liesen, wat keng Positioun op Paketniveau bitt.

Lokale Filter oder Fern-Gateway

Déi selwecht API deckt zwee Produkter of, déi verschidde Vertrauensniveauen verdéngen. Eng Firewall oder en Annoncëblocker um Apparat hëlt den tun-Deskriptor a beäntwert den Traffic lokal, ouni en jeemools un e Server ze schécken, deen en selwer bedreift. En echte Tunnel leet dës Paketen un en Gateway soss anzwousch weider, an deen Operateur gesäit déiselwecht Metadaten aus der anerer Richtung an entscheet och, wat zréckkënnt.

Eng praktesch Manéier se z'ënnerscheeden ass, Är ëffentlech Adress mat ageschaltem an ausgeschaltem VPN ze kontrolléieren, an ze kucken, ob d'Notifikatioun en Fern-Endpunkt nennt. Wann d'Adress ni ännert, leeft den Traffic wahrscheinlech um Apparat selwer am Krees.

Béid Fäll sinn nach ëmmer eng Paketpositioun. Den Ënnerscheed ass, wien soss nach um Ausgang steet.

Auditezéiert, wat Dir genehmegt hutt

Maacht Astellungen op, dann Netzwierk an Internet, dann VPN, a liest den Asaz an net d'Ikon an der Statusleesch. Always-on VPN a Verbindunge blockéiere ouni VPN sinn Apparatsastellungen, déi d'Schnittstell lieweg halen an Lecke schneiden; se vergréisseren näischt. Vum selwechten Ecran aus kënnt Dir de Profil vergiessen an d'Genehmegung zréckzéien.

Gitt dann déi aner Berechtegungen duerch. App-Info weist, wéi eng Laufzäitgenehmegungen de Client huet, an d'Sécherheetsastellungen weisen, ob gläichzäiteg e Benotzerzertifkater installéiert gouf. Béides kann een onofhängeg ewechhuelen.

D'Fro, déi et wäert ass z'äntweren, ass enk: wéi eng Paketen an dësen Déngscht erakommen, wou si higinn, a wat d'Ëmsetzung behält. Alles anescht am Dialog ass Kaméidi. D'VpnService-Referenz ass déi autoritativ Lëscht vun deem, wat d'Schnittstell verroden.