Android VPN ба аппын зөвшөөрөл: анхааруулга юу гэсэн үг вэ

Android-ын хоёр цонхыг байнга андуурдаг: VPN-ийн зөвшөөрлийн хүсэлт ба апп таны өгөгдөлд тавьдаг зөвшөөрлийн хүсэлтүүд. Эхнийх нь сүлжээний байрлалыг, өөрөөр хэлбэл пакетыг уншиж, дахин бичиж болох цэгийг шилжүүлдэг. Хоёр дахь нь Android апп бүрээр хамгаалдаг хадгалагдсан агуулгыг шилжүүлдэг. Хоёулыг нэг зүйл гэж үзэх нь туннель юу харж чадахыг хэтрүүлэх, эсвэл зөрүүд апп дараа нь юу шаардахыг маш их дутуу үнэлэх юм.

Зөвшөөрлийн цонх яг юу шилжүүлдэг вэ

VpnService-г хэрэгжүүлж, BIND_VPN_SERVICE-г зарласан апп төхөөрөмжийн VPN болохыг системээс хүсдэг. Зөвшөөрсний дараа фрэймворк tun интерфейс үүсгэж, апп-д түүний файлын тодорхойлолтыг өгдөг. Үүний дараа апп-ын хийдэг бүхэн тэр тодорхойлолтоор урсдаг: IP пакетыг гадагш уншиж, тэдгээрийг юу хийхээ шийдэж, пакетыг буцааж дотогш бичдэг.

Тэр интерфейсийн хүрээ тодорхой. Аль чиглэлийг барихыг маршрутууд шийддэг бөгөөд addAllowedApplication эсвэл addDisallowedApplication аль апп түүнийг тэжээхийг шийддэг. Хоёр аппыг жагсаасан апп тус бүрийн VPN төхөөрөмжийн бусад хэсгийг хардаггүй.

Энэ нь пакетын түвшний зөвшөөрөл, өгөгдлийн түвшний биш. Үйлчилгээ нь апп сүлжээний стект өгдөг байтуудыг хардаг бөгөөд тэдгээр нь чиглэл рүү хаяглагдсан байдаг. Энэ нь илгээгч аппын хувийн санд, түүний өгөгдлийн сангийн файлуудад эсвэл тайлагдсан санах ойд нь хандах боломж авдаггүй. Апп өөрийн элсэн хайрцагт хадгалсан файлууд өмнөх шигээ л уншихад хэцүү хэвээр үлддэг.

Пакетын харагдац хаана зогсдог

TLS туннелийн дотор өөрийн ажлаа үргэлжлүүлсээр байдаг, учир нь гар барилт апп болон серверийн хооронд болдог, апп болон VPN-ийн хооронд биш. VPN нь сессын түлхүүргүйгээр тайлж чадахгүй шифрлэгдсэн текстийг дамжуулдаг. Тиймээс ганц туннель HTTPS хуудас эсвэл хамгаалагдсан шуудангийн сессийн агуулгыг илрүүлэхгүй.

Шифрлэгдсэн текстийн эргэн тойрон дахь мета өгөгдөл өөр түүх бөгөөд яг энд итгэлтэй мэдэгдлүүдийн ихэнх нь нуран унадаг. Чиглэлийн IP, порт, пакетын хэмжээ, цаг хугацаа бүгд харагдана, дээр нь TLS ClientHello дахь серверийн нэр, энэ нь ихэвчлэн TLS 1.3-ын үед ч нээлттэй илгээгддэг. Encrypted Client Hello үүнийг өөрчилдөг ч энэ нь бүх нийтийн биш. Энгийн DNS ч асуулга шифрлэлтгүй гарч байхад нэрсийг мөн адил амархан гоожуулдаг.

Хуучин эсвэл буруу тохируулсан протоколууд илүү ихийг шилжүүлдэг. Энгийн HTTP, TLS-гүй IMAP, мөн хэд хэдэн тоглоом болон IoT протокол нь ачаагаа tun тодорхойлолттой бүхэнд ил гаргадаг.

Хэзээ ч түүнтэй хамт ирдэггүй зөвшөөрлүүд

VPN-ийг зөвшөөрөх нь харилцагчид, SMS, зураг эсвэл медиа санг зөвшөөрөх биш. Тэдгээр нь тусдаа ажиллах үеийн зөвшөөрлүүд бөгөөд тус бүр өөрийн цонх, апп-ын тохиргооны хуудсанд өөрийн цуцлах замтай. Таны дуудлагын бүртгэлийг хүсэгч VPN клиент үүнийг бусад аппын адил хүсэх ёстой бөгөөд та туннелийг хадгалсаар татгалзаж болно.

Сертификат суулгах нь анхаарах ёстой зүйл, учир нь энэ нь VPN-ийн тохиргооны хэсэг мэт харагддаг ч тийм биш. Хэрэглэгчийн CA-г итгэмжлэлийн санд суулгах нь Android ямар сертификатыг хүлээн авахыг өөрчилдөг бөгөөд Android 7.0-оос хойш API 24 буюу түүнээс дээш хувилбарт чиглэсэн апп нь сүлжээний аюулгүй байдлын тохиргоо хэрэглэгчийн итгэлийн зангуугаар сонгохгүй бол хэрэглэгчийн нэмсэн CA-г үл тоомсорлодог. CA-г шаарддаг клиент хууль ёсны корпорацийн тагнуул хийж байж болно, эсвэл VPN-ийн цонх хэзээ ч дурдаагүй зүйлийг хүсч байж болно.

Хүртээмжийн хандалт бүр ч хол байрладаг. Хүртээмж идэвхжсэн үйлчилгээ бусад аппын дэлгэцийн агуулгыг уншиж чаддаг бөгөөд үүнийг пакетын түвшний ямар ч байрлал өгдөггүй.

Орон нутгийн шүүлтүүр эсвэл алсын гарц

Ижил API нь итгэлийн өөр түвшин хүртэх ёстой хоёр бүтээгдэхүүнийг хамардаг. Төхөөрөмж дээрх галт хана эсвэл зар сурталчилгаа блоклогч tun тодорхойлолтыг авч, трафикт орон нутгаар хариулдаг бөгөөд өөрийн ажиллуулдаг сервер рүү хэзээ ч илгээдэггүй. Жинхэнэ туннель тэдгээр пакетыг өөр газар байгаа гарц руу дамжуулдаг бөгөөд тэр оператор нөгөө талаас ижил мета өгөгдлийг харж, юу буцаж ирэхийг ч шийддэг.

Тэдгээрийг ялгах практик арга бол VPN асаалттай, унтраалттай үед нийтийн хаягаа шалгаж, мэдэгдэл алсын төгсгөлийн цэгийг нэрлэж байгаа эсэхийг харах юм. Хаяг хэзээ ч өөрчлөгдөхгүй бол трафик төхөөрөмж дээрээ эргэлдэж байгаа байх.

Хоёр тохиолдол ч пакетын байрлал хэвээр. Ялгаа нь гарах хаалган дээр өөр хэн зогсож байгаад байна.

Юу зөвшөөрснөө шалгаарай

Тохиргоог нээж, дараа нь Сүлжээ ба интернет, дараа нь VPN-ийг нээж, төлөвийн мөр дэх дүрс биш, бичлэгийг уншина уу. Always-on VPN ба VPN-гүй холболтыг блоклох нь интерфейсийг амьд байлгаж, алдагдлыг таслах төхөөрөмжийн тохиргоо юм; тэд юу ч өргөжүүлдэггүй. Тэр дэлгэцээс профайлыг мартаж, зөвшөөрлийг цуцалж болно.

Дараа нь бусад зөвшөөрлүүдийг тойрч үзээрэй. Аппын мэдээлэл клиент ямар ажиллах үеийн зөвшөөрөлтэйг харуулж, Аюулгүй байдлын тохиргоо тухайн үед хэрэглэгчийн сертификат суусан эсэхийг харуулна. Аль нэгийг нь ч бие даан устгаж болно.

Хариулах үнэ цэнэтэй асуулт явцуу: ямар пакетууд энэ үйлчилгээнд орж, хаашаа явж, хэрэгжүүлэлт юу хадгалдаг вэ. Цонхны бусад бүхэн чимээ шуугиан. VpnService-ийн лавлагаа нь интерфейс юу ил гаргадгийн эрх бүхий жагсаалт юм.