Ir-regola tal-firewall tal-SSID waqfet tiffiltra wara bidla fil-Wi-Fi

Ir-regola kienet sempliċi: iffiltra t-traffiku biss waqt li t-telefon ikun konness mal-Wi-Fi tal-uffiċċju. Dammet xhur, u mbagħad f’xi filgħodu t-telefon kien fuq l-istess SSID bl-istess ikona taċ-ċavetta u l-filtrazzjoni kienet waqfet. Xejn fin-netwerk ma kien inbidel; li nbidel kien jekk l-app tistax tara l-isem tan-netwerk. F’Android, «liema Wi-Fi jien fuqha» u «imblokka dan it-traffiku» huma żewġ xogħlijiet separati, u firewall li jħallathom jonqos miftuħ eżattament meta l-isem ma jkunx disponibbli.

Is-sintomu: l-identità tisparixxi u l-politika tiġi warajha

Regola tal-SSID taqra valur u mbagħad tagħżel fergħa. Meta l-qari ma jirritornax xi ħaġa utli, il-kodiċi jrid jagħmel xi ħaġa, u l-valur awtomatiku komuni huwa «mhux in-netwerk mistenni, mela tiffiltrax». Dak il-valur awtomatiku jbiddel problema ta’ permess fi tnixxija ta’ traffiku. L-ikona taċ-ċavetta tibqa’ tidher għax is-servizz VPN għadu għaddej; sempliċement qed jinfurza fergħa oħra.

Ħares lejn l-ordni tal-ġrajjiet, mhux lejn in-netwerk. Dialog ta’ permess miċħud, aġġornament tas-sistema li ċaqlaq l-aċċess għall-SSID wara permess ieħor, servizzi tal-lokazzjoni mitfija, jew bidla fil-politika tal-profil tax-xogħol jistgħu kollha jagħtu l-istess riżultat waqt li t-telefon jibqa’ fuq l-istess punt ta’ aċċess.

Għaliex l-isem jista’ jerġa’ lura mhux magħruf

WifiInfo.getSSID() jirritorna l-identifikatur tas-sett tas-servizz tan-netwerk attwali, u Android jiddokumenta li l-aċċess għal oqsma sensittivi għal-lokazzjoni jiddependi mill-permess. Meta l-aċċess ma jkunx disponibbli, is-sejħa tirritorna UNKNOWN_SSID minflok ma tonqos b’ħoss kbir. Għalhekk valur vojt jew mhux magħruf mhuwiex prova li t-telefon ħalla l-Wi-Fi; hija prova li l-app ma tistax tikklassifika n-netwerk.

Żewġ kontrolli jifirdu l-każijiet. Ikkonferma li t-telefon huwa konness u ara x’jirrapporta s-sistema, imbagħad ikkonferma li l-app fil-fatt għandha l-permess li teħtieġ f’din il-verżjoni ta’ Android:

adb shell cmd wifi status
adb shell dumpsys package <your.app> | grep -i -E "ACCESS_FINE_LOCATION|NEARBY_WIFI_DEVICES"

Jekk il-linja tal-istat turi netwerk konness waqt li l-app tara isem mhux magħruf, għandek problema ta’ permess jew ta’ livell API, mhux problema ta’ Wi-Fi. Isewwi dan qabel ma tmiss ir-regoli tal-firewall, għax kull regola ’l bogħod tiġi evalwata kontra valur li l-app ma tistax taqra.

Fejn fil-fatt taħdem il-filtrazzjoni

Firewall lokali ta’ Android normalment juża l-mudell VpnService mingħajr ma jibgħat it-traffiku lil server remot: jieħu l-interfaċċa virtwali, japplika r-regoli tiegħu stess u jgħaddi ’l quddiem dak li jippermetti. Il-pjattaforma tippermetti servizz VPN attiv wieħed għal kull profil tal-utent, u t-tieni jissostitwixxi l-ewwel minflok ma jimxi fuqu. Għalhekk app tal-firewall separata u VPN tax-xogħol separata mhumiex katina b’żewġ stadji; waħda minnhom tirbaħ.

Dan hu importanti għal regola tal-SSID għax il-punt tal-infurzar u l-punt tal-osservazzjoni huma komponenti differenti. Il-VpnService jiddeċiedi x’joħroġ mill-apparat; l-API tal-Wi-Fi biss tforni tikketta. App tista’ tinfurza b’mod korrett u tikklassifika b’mod żbaljat, u dan huwa eżattament il-ħsara f’dan l-artiklu.

Agħti lill-każ mhux magħruf il-politika tiegħu stess

Ittratta l-identità tan-netwerk bħala tliet stati, u ikteb il-politika għal kull wieħed qabel ma toħroġ ir-regola. It-tielet stat huwa dak li jintesa, u huwa dak li attakkant jew konfigurazzjoni żbaljata jqiegħdek fih.

Li tonqos magħluq ifisser li l-istat mhux magħruf jiret l-aktar politika raġonevoli stretta minflok l-aktar komda. Jekk dan jagħmel it-telefon mhux użabbli fuq netwerk ġdid, is-soluzzjoni t-tajba hija eċċezzjoni intenzjonata u viżibbli, mhux deċiżjoni ta’ fiduċja siekta moħbija f’kontroll ta’ valur vojt.

SSID familjari hija tikketta, mhux prova tal-operatur tan-netwerk. Kulħadd jista’ jmexxi punt ta’ aċċess bl-isem tal-uffiċċju, għalhekk qbil fl-isem m’għandu qatt ikun l-unika ħaġa bejn sessjoni sensittiva u segment mhux affidabbli.

Ittestja t-transizzjonijiet, mhux l-istat stabbli

It-testijiet fl-istat stabbli jgħaddu fuq in-netwerk fejn bnejt ir-regola. Il-ħsarat jgħixu fit-transizzjonijiet: permess miċħud, Wi-Fi għal ċellulari, SSID wieħed għal ieħor, is-servizz VPN mitlub mill-ġdid, u app VPN oħra li tieħu l-interfaċċa. Għal kull waħda, iddeċiedi jekk konnessjonijiet eżistenti jiġux ikkunsidrati mill-ġdid u jekk it-traffiku protett jibqax imblukkat waqt li l-istat ikun mhux magħruf.

Ikteb ir-riżultat fi tliet sentenzi: il-kundizzjoni osservata, il-komponent li jinfurza d-deċiżjoni, u l-waqgħa intenzjonata. Jekk waħda mit-tlieta tkun nieqsa, ir-regola għadha mhijiex politika; hija suppożizzjoni li taħdem b’kumbinazzjoni fuq in-netwerk tal-uffiċċju.