Amaran pemantauan rangkaian Android: baca perubahan kepercayaan

Tiga pemberitahuan kelihatan serupa pada telefon, dan hanya satu daripadanya tentang sijil. Baris status VPN, amaran stor kepercayaan dan sepanduk peranti terurus masing-masing menamakan kawalan berbeza, dan apl yang ada di skrin pada saat itu mungkin tidak memiliki mana-mana daripadanya. Membaca kata-kata tepat dahulu menyelamatkan anda daripada memadam perkara yang salah. Lakukan lima semakan di bawah mengikut urutan dan berhenti pada yang pertama gagal, kerana tindakan yang betul berubah sepenuhnya pada setiap langkah.

Langkah 0: kenal pasti pemberitahuan yang anda lihat

Kata-kata lebih penting daripada ikon. Pemberitahuan status VPN bermaksud apl memegang VpnService aktif. Amaran sijil bermaksud sesuatu dipasang dalam stor kepercayaan. Pemberitahuan peranti terurus bermaksud pentadbir menggunakan dasar, yang mungkin memasang kepercayaan sebagai sebahagian daripada dasar itu.

Apabila teks menyebut secara literal «Network may be monitored», penghantarnya ialah sistem, bukan pembekal VPN: Android mencetak baris itu setiap kali apl memegang VpnService aktif, jadi klien komersial biasa menghasilkannya tanpa meletakkan apa-apa dalam stor kepercayaan. Dua daripada tiga pemberitahuan boleh benar serentak, sebab itulah aduan biasanya menamakan yang salah. Jika ayat menyatakan CA dipasang, VPN paling tinggi hanyalah suspek, dan menyahpasangnya boleh membiarkan amaran kekal tepat di tempatnya.

Langkah 1: cari kelayakan dan storannya

Pada Android 9 hingga 12 laluannya ialah Tetapan, kemudian Keselamatan, kemudian Penyulitan dan kelayakan, kemudian Kelayakan dipercayai; Android 13 dan seterusnya memindahkan skrin yang sama ke bawah Keselamatan dan privasi, kemudian Tetapan keselamatan lain, dan kulit OEM menamakan semula peringkat itu sekali lagi, jadi cari «Kelayakan dipercayai» dalam apl Tetapan apabila laluan tidak sepadan. Tab Pengguna mengandungi pihak berkuasa yang dipasang oleh seseorang atau apl, dan tab Sistem mengandungi apa yang dibawa bersama binaan. Pihak berkuasa yang ditolak oleh pengurusan muncul melalui dasar peranti atau dalam profil kerja, bukan sebagai ketikan biasa dalam stor pengguna.

Catat pengeluar, tarikh sah dan siapa yang memasangnya. Jika entri itu langsung tiada dalam stor pengguna, berhenti di sini, kerana ia item sistem atau terurus dan bukan tugas anda memadamnya dari skrin tetapan. Memadam baris yang salah di situ ialah cara telefon kehilangan Wi-Fi atau log masuk kerja sementara persoalan kepercayaan kekal tidak terjawab.

Langkah 2: pisahkan CA profil VPN daripada kepercayaan telefon

Profil OpenVPN, atau mana-mana klien yang mengesahkan pelayannya melalui TLS, boleh membawa CA yang hanya digunakan klien itu untuk mengesahkan pelayannya sendiri. Profil WireGuard langsung tidak membawa CA: ia bergantung pada pasangan kunci awam, jadi pihak berkuasa yang duduk dalam stor kepercayaan Android tidak mungkin datang daripada konfigurasi WireGuard. Sijil setempat profil itu tidak sampai kepada apl lain, dan menyalinnya ke stor kepercayaan sistem ialah operasi berasingan dengan julat kesan berasingan. Memisahkan kedua-duanya ialah tujuan langkah ini, kerana hanya yang kedua mengubah apa yang akan diterima apl lain.

Jadi profil VPN yang mengandungi CA bukan bukti pemintasan, dan apl VPN bukan pemilik entri kepercayaan yang tidak pernah diciptanya. Ujiannya murah: hentikan VPN dan baca semula pemberitahuan itu. Jika amaran sijil masih ada, VPN tidak meletakkannya di situ dan membuang apl itu tidak akan membuangnya.

Langkah 3: bezakan pihak berkuasa pelayan daripada identiti klien

Sijil identiti klien dan kunci peribadinya mengesahkan peranti ini kepada pelayan. CA dipercayai untuk mengesahkan pelayan kepada apl. Kedua-duanya disimpan bersama dan kelihatan serupa dalam senarai, namun melakukan kerja yang sama sekali berbeza.

Membuang identiti klien boleh memecahkan pengesahan Wi-Fi atau VPN tanpa melakukan apa-apa untuk kepercayaan HTTPS, dan membuang CA menjejaskan setiap apl yang menerima pihak berkuasa itu. Tentukan yang mana antara keduanya yang anda lihat sebelum menekan apa-apa, kerana jawapannya menamakan pemilik dan laluan pemulihan.

Langkah 4: tanya apl mana yang benar-benar mempercayainya

Konfigurasi Keselamatan Rangkaian Android menetapkan sempadan apl. Apl yang menyasarkan API 24 atau lebih baru mempercayai pihak berkuasa sistem secara lalai, manakala apl yang menyasarkan API 23 atau lebih lama juga mempercayai pihak berkuasa yang ditambah pengguna secara lalai, dan apl boleh menamakan sauh sendiri, menambah peraturan mengikut domain atau keluar sepenuhnya daripada nilai lalai.

Jadi «dipasang pada telefon» bukan penerangan kepercayaan HTTPS setiap apl: pihak berkuasa yang ditambah pengguna mungkin dihormati oleh apl lama, diabaikan oleh apl semasa dan dipercayai secara eksplisit oleh apl yang membawa sauhnya sendiri. Jika pihak berkuasa itu dipasang untuk Wi-Fi kerja, perkhidmatan web peribadi atau persediaan pemeriksaan yang diluluskan, soalan berguna ialah apl dan profil mana yang bergantung padanya. Panduan Konfigurasi Keselamatan Rangkaian ialah rujukan sejauh mana pihak berkuasa yang dipasang menjangkau pada apl tertentu, dan itulah bahagian yang paling banyak ditinggalkan oleh ringkasan amaran ini.

Langkah 5: putuskan, kemudian catat pemilik dan pelan keluar

Jika pihak berkuasa itu dijangka, dokumentasikan siapa yang memasangnya, sambungan mana yang bergantung padanya dan bagaimana ia akan dimansuhkan. Mempercayai pihak berkuasa ialah keputusan bermakna walaupun tiada pemintasan hari ini, kerana kepercayaan itulah yang memungkinkan pemintasan kemudian.

Jika ia tidak dijangka, siasat melalui pemilik peranti atau perkhidmatan sebelum memasukkan data sensitif pada telefon itu. Jika ia sudah usang, buang item khusus itu melalui sesiapa yang memasangnya, selepas menyemak apa yang bergantung padanya, dan jangan sekali-kali bermula dengan memadam semua kelayakan. Menyembunyikan amaran mengubah paparan dan bukan yang lain. Kunci peribadi atau profil penuh tidak boleh dimuat naik ke perkhidmatan pemeriksaan sijil awam untuk menyelesaikan persoalan itu.

Sebelum meninggalkan skrin, anda mahukan tiga jawapan: siapa yang memasangnya, sambungan mana yang bergantung padanya dan bagaimana ia dimansuhkan.