Kloartext an Android-Appen blockéiere ouni sech op eng VPN ze verloossen

Zwee ganz verschidde Saache ginn als Blockéiere vu Kloartext op Android bezeechent. Dat eng ass eng Politik bannent enger App, déi hirem eegene Netzwierkstack seet, einfachen HTTP ze refuséieren. Dat anert ass eng Reegelung op Apparatniveau, déi probéiert alles um Telefon op eemol ze schützen, meeschtens andeems den Traffic duerch eng VPN geleet gëtt. Si léisen ënnerschiddlech Problemer, an dat zweet kann dat éischt net reparéieren: en Tunnel schützt d'Streck tëscht dem Telefon an dem Ausgang, wärend eng App, déi HTTP schwätzt, weider HTTP mat allem schwätzt, wat hannert deem Ausgang läit.

Zwee Problemer ënner engem Numm

Dat éischt Problem ass d'Notzlaascht: d'App schreift Umeldungsdaten oder Tokenen an eng Ufro, déi net vum Enn bis zum Enn verschlësselt ass, sou datt all Sprong, deen se gesäit, se liese kann. Dat zweet ass de Wee: d'App ka komplett korrekt sinn, an du wëlls trotzdem, datt den lokalen Wi-Fi-Betreiwer näischt doriwwer léiert, wou se sech verbënnt. Eng VPN adresséiert dat zweet an nëmmen dat zweet.

Dës Ënnerscheedung entscheet, wiem d'Reparatur gehéiert. D'Notzlaascht gehéiert deene, déi d'App ausliwweren, well nëmmen dee Code entscheet, wien URL opgeruff gëtt an ob en Zertifikat validéiert gëtt. De Wee gehéiert dem Apparat oder dem Netzwierk, well et drëm geet, wou Pakete reesen, net wat se enthalen.

Wee éischt: d'App, déi s du kontrolléiers

Wann s d'App ausliewwerst, ass d'Reparatur eng Entscheedung iwwer den Transport plus eng Politik, déi se duerchsetzt. Richt all Endpunkt op HTTPS, hal d'Validatioun vum Hostnumm an dem Zertifikat un, an läsch de Réckfall op einfachen HTTP, amplaz en een Konfiguratiounsflag wäit leien ze loossen. Eng Ëmleitung hëlleft hei net: eng HTTP-Ufro, déi en 301 kritt, huet hir Header an hire Kierper schonn opfälleg geschéckt, dofir däerfen Umeldungsdaten ni mat der Unhuel ausreesen, datt d'Ëmleitung se schützt.

Op Android 7.0 an duerno dréckt Network Security Configuration d'Politik aus. D'Datei hei drënner ass déi klengst nëtzlech Versioun: se refuséiert Kloartext iwwerall, ausser eng domänspezifesch Ausnam seet anescht.

<network-security-config>
    <base-config cleartextTrafficPermitted="false" />
</network-security-config>

Verweist aus dem Manifest op dës Ressource, a liest duerno déi Ausnamen, déi et schonn gëtt, ier s ausliewwerst. Eng al Debug-Domän oder en SDK-Andrag vun engem Bezahlungsprovider kann de Kloartext fir de Host, deen s probéiert hutt ze schützen, stëll nach eng Kéier erlaben.

Zwee Versiounsdetailer si wëssenswäert. Appen, déi op API 28 oder méi nei zielen, refuséiere Kloartext schonn als Standard, sou datt eng App, déi nach einfachen HTTP schwätzt, entweder op en eelere API-Niveau zilt oder irgendwou eng Ausnam huet. A wann eng Netzwierksécherheetskonfiguratioun do ass, entscheet dat eelere Manifest-Attribut android:usesCleartextTraffic d'Fro net méi, dofir gesäit et heiansdo aus, wéi wann d'Ännere vun deem Flag näischt mécht.

Wee zweet: d'App, déi s net kontrolléiers

Fir eng installéiert Drëttpartei-App kanns du hir Sécherheetskonfiguratioun net iwwer eng Benotzerastellung ëmschreiwen. Déi realistesch Optiounen sinn dem Produkt seng eege Kontrollen fir eng sécher Verbindung, eng ënnerhalen Alternativ, déi schonn TLS benotzt, oder eng Politik fir e verwalteten Apparat, déi begrenzt, wat den Apparat däerf lafen. Dat sinn ënnerschiddlech Engagementer, an nëmmen déi drëtt skalaart op eng Flott.

Netzwierkreegele si méi schwaach Ersatz wéi se ausgesäit. Nëmmen de Port 443 erlaben setzt keen authentifizéierten TLS duerch, well vill Kloartextprotokoller op dee Port kënne verluecht ginn, an de Port 80 blockéieren deckt de Kloartext op anere Porten net of. Och de Modus nëmmen-HTTPS vun engem Browser ass op dee Browser limitéiert, net op eng separat Mail- oder Chat-App um selwechten Telefon.

En Ofhuerzertifikat installéieren, sou datt den Traffic verschlësselt ausgesäit, ass eng Ännerung vum Vertrauen, keng Reparatur. Et ersetzt dem App seng Serverauthentifizéierung duerch deng, an eng App, déi vun Ufank un keng Zertifikater validéiert huet, gëtt doduerch net reparéiert; s hutt nëmmen verlagert, wien de Stroum liese kann.

Wou eng VPN hëlleft an wou net

En Tunnel ass dat richtegt Instrument, wann d'Fuerderung ass, datt dat lokalt Netzwierk näischt iwwer d'Verbindung léiert, oder datt d'App en private Service erreecht, deen se soss net erreecht. Et ass dat falscht Instrument, fir en HTTP-Client HTTPS schwätzen ze loossen, well d'Ufro den Tunnel genee sou verléisst, wéi se erakomm ass.

Android bäisetzt eng praktesch Aschränkung: d'Plattform bedreift ëmmer nëmmen een VPN-Service gläichzäiteg. Eng lokal Filter-App, déi dee Plaz hëlt, konkurréiert mat dem entfernten Tunnel, deen s wierklech braucht, an tëscht deenen zwee ze wiesselen ass eng Operatioun op Apparatniveau, net op App-Niveau. Dee eenzege Plaz ass e gudde Grond, d'Politik vun der Notzlaascht an d'App ze leeën an den Tunnel fir de Wee ze behalen.

Deen eenzege Fall, wou déi zwee sech iwwerschneiden, ass e private Server, deen s och selwer bedreift. Do kann en Tunnel de Wee privat maachen, och wann d'Protokoll nach Kloartext ass, wat d'Expositioun reduzéiert, awer net ännert, wat d'Notzlaascht ass. Behandelt dat als Risikoreduktioun, net als Verschlësselung vun den Daten.

Wat ze testen, ier s et blocéiert nennt

Fänkt mat dem Standard un, deen d'Leit iwwerrascht: eng App, déi op API 28 oder méi nei zilt, sollt de Kloartext schonn refuséieren, also kontrolléiert den Zilniveau, ier s eng Konfiguratioun bäisetzt, déi en Standard duplizéiert. Da testt de Fehlerfall bewosst: eng Ufro un en einfachen HTTP-Host muss feelen an net stëll iwwer e Réckfall geléngen.

adb shell dumpsys package com.example.app | grep -E 'targetSdk|versionName'
adb logcat | grep -i cleartext

Fir de Fall vum Erfolleg bestätegt, datt den HTTPS-Opruff eng richteg Zertifikatsketten validéiert an datt e Proxy mat engem net vertrauenswürdegen Zertifikat verworf gëtt amplaz toleréiert ze ginn. En Handschlag, deen et géint all Zertifikat packt, huet näischt iwwer Transportsécherheet bewisen.

Fir eng Drëttpartei-App schreif d'Grenz op, déi s wierklech duerchsetze kënnt, sief et eng Politik fir e verwalteten Apparat, eng Netzwierkreegel oder näischt, a sot et an den Akzeptanzkritären. Den Guide fir d'Android-Sécherheetskonfiguratioun listet d'Standarde vun der Plattform an déi Komponenten, déi d'Politik respektéieren, an dat ass den Deel, deen entscheet, ob deng Konfiguratioun iwwerhaapt eppes mécht.