Android VPN pret lietotņu atļaujām: ko nozīmē brīdinājums

Divus Android dialogus pastāvīgi jauc: VPN piekrišanas pieprasījumu un atļauju pieprasījumus, ko lietotne veic attiecībā uz jūsu datiem. Pirmais nodod tīkla pozīciju, vietu, kur paketes var lasīt un pārrakstīt. Otrais nodod saglabātu saturu, ko Android aizsargā lietotni pa lietotnei. Ja tos uzskata par vienu lietu, tiek vai nu pārspīlēts, ko tuneļa var redzēt, vai arī nopietni novērtēts par zemu, ko apņēmīga lietotne prasīs tālāk.

Ko piekrišanas dialogs patiešām nodod

Lietotne, kas ievieš VpnService un deklarē BIND_VPN_SERVICE, lūdz sistēmu kļūt par ierīces VPN. Pēc apstiprināšanas ietvars izveido tun saskarni un dod lietotnei tās faila deskriptoru. Viss, ko lietotne pēc tam dara, plūst caur šo deskriptoru: tā nolasa IP paketes, izlemj, ko ar tām darīt, un ieraksta paketes atpakaļ.

Šīs saskarnes apjoms ir skaidri noteikts. Maršruti nosaka, kuri galamērķi tiek uztverti, un addAllowedApplication vai addDisallowedApplication nosaka, kuras lietotnes to baro. VPN atsevišķai lietotnei, kas uzskaita divas lietotnes, neredz pārējo ierīci.

Tas ir piešķīrums pakešu līmenī, nevis datu līmenī. Pakalpojums redz baitus, ko lietotne nodod tīkla stekam, adresētus galamērķim. Tas neiegūst piekļuvi sūtošās lietotnes privātajai krātuvei, tās datubāzes failiem vai tās atšifrētajai atmiņai. Faili, ko lietotne saglabājusi savā smilškastē, paliek tieši tikpat grūti lasāmi kā iepriekš.

Kur apstājas pakešu skats

TLS joprojām dara savu darbu tuneļa iekšpusē, jo rokasspiediens notiek starp lietotni un serveri, nevis starp lietotni un VPN. VPN pārsūta šifrētu tekstu, ko tas nevar atšifrēt bez sesijas atslēgām. Tāpēc tunelis vien nedaudz neatklāj HTTPS lapas vai aizsargātas pasta sesijas saturu.

Metadati ap šifrēto tekstu ir cits stāsts, un tieši šeit sabrūk lielākā daļa pārliecināto apgalvojumu. Galamērķa IP, ports, pakešu izmēri un laiks ir redzami, kā arī servera nosaukums TLS ClientHello, kas parasti tiek sūtīts atklātā veidā pat zem TLS 1.3. Encrypted Client Hello to maina, bet tas nav universāls. Vienkāršs DNS noplūdina nosaukumus tikpat viegli, kad vaicājumi iziet nešifrēti.

Vecāki vai nepareizi konfigurēti protokoli nodod vairāk. Vienkāršs HTTP, IMAP bez TLS un vairāki spēļu un IoT protokoli atklāj savu kravu visam, kam ir tun deskriptors.

Atļaujas, kas nekad nenāk līdzi

VPN apstiprināšana neapstiprina kontaktus, SMS, fotogrāfijas vai multivides krātuvi. Tās ir atsevišķas izpildlaika atļaujas, katrai ar savu dialogu un savu atsaukšanas ceļu lietotnes iestatījumu lapā. VPN klientam, kas vēlas jūsu zvanu žurnālu, tas jāpieprasa kā jebkurai citai lietotnei, un jūs varat atteikties, paturot tuneli.

Gan sertifikāta instalēšana ir tā, kam jāpievērš uzmanība, jo tā izskatās pēc VPN iestatīšanas daļas, bet tā nav. Lietotāja CA instalēšana akreditācijas datu krātuvē maina, kurus sertifikātus Android pieņems, un kopš Android 7.0 lietotne, kas mērķē uz API 24 vai jaunāku, ignorē lietotāja pievienotos CA, ja vien tās tīkla drošības konfigurācija to neizvēlas ar lietotāja uzticības enkuru. Klients, kas uzstāj uz CA, varbūt veic likumīgu uzņēmuma pārtveršanu, vai arī lūdz kaut ko tādu, ko VPN dialogs nekad nav pieminējis.

Pieejamības piekļuve atrodas vēl tālāk. Pakalpojums ar iespējotu pieejamību var lasīt citu lietotņu ekrāna saturu, ko nesniedz neviena pozīcija pakešu līmenī.

Vietējais filtrs vai attāls vārteja

Tā pati API aptver divus produktus, kas pelna atšķirīgu uzticības līmeni. Ugunsmūris vai reklāmu bloķētājs ierīcē paņem tun deskriptoru un atbild uz trafiku lokāli, nekad to nesūtot uz serveri, ko tas pats pārvalda. Īsts tunelis pārsūta šīs paketes uz vārteju citur, un šis operators redz tos pašus metadatus no otra gala un arī izlemj, kas atgriežas.

Praktisks veids, kā tos atšķirt, ir pārbaudīt savu publisko adresi ar ieslēgtu un izslēgtu VPN un paskatīties, vai paziņojumā ir nosaukts attāls galapunkts. Ja adrese nekad nemainās, trafiks, iespējams, riņķo pašā ierīcē.

Abos gadījumos tā joprojām ir pakešu pozīcija. Atšķirība ir tajā, kas vēl stāv pie izejas.

Pārbaudiet, ko esat apstiprinājis

Atveriet Iestatījumus, pēc tam Tīkls un internets, pēc tam VPN, un lasiet ierakstu, nevis ikonu statusa joslā. Vienmēr ieslēgts VPN un Bloķēt savienojumus bez VPN ir ierīces iestatījumi, kas uztur saskarni dzīvu un nogriež noplūdes; tie neko nepaplašina. No tā paša ekrāna varat aizmirst profilu un atsaukt piešķīrumu.

Pēc tam pārskatiet pārējās atļaujas. Lietotnes informācija parāda, kādi izpildlaika piešķīrumi klientam ir, un drošības iestatījumi parāda, vai tajā pašā laikā tika instalēts lietotāja sertifikāts. Jebkuru no tiem var noņemt neatkarīgi.

Jautājums, uz ko ir vērts atbildēt, ir šaurs: kuras paketes nonāk šajā pakalpojumā, kur tās iet un ko ieviešana patur. Viss pārējais dialogā ir troksnis. VpnService uzziņa ir autoritatīvs saraksts ar to, ko saskarne atklāj.