VPN Android kontra l-permessi tal-apps: xi jfisser it-twissija

Żewġ dialogi f'Android jinbnew flimkien kontinwament: it-talba tal-kunsens tal-VPN u t-talbiet tal-permessi li app tagħmel għad-dejta tiegħek. L-ewwel waħda tgħaddi pożizzjoni fin-netwerk, il-post fejn il-pakketti jistgħu jinqraw u jerġgħu jinkitbu. It-tieni waħda tgħaddi kontenut maħżun li Android jħares app b'app. Jekk tittrattahom bħala ħaġa waħda, jew tkabbar dak li tista' tara mina, jew tnaqqas ħafna dak li app determinata se titlob wara.

X'inhu li d-dialog tal-kunsens tassew igħaddi

App li timplimenta VpnService u tiddikjara BIND_VPN_SERVICE titlob lis-sistema biex issir il-VPN tal-apparat. Wara l-approvazzjoni l-qafas joħloq interface tun u jagħti lill-app deskrittur tal-fajl għaliha. Kull ma tagħmel l-app wara dan jgħaddi minn dak id-deskrittur: taqra pakketti IP 'il barra, tiddeċiedi x'se tagħmel bihom, u tikteb pakketti lura 'l ġewwa.

L-ambitu ta' dak l-interface huwa espliċitu. Ir-rotot jiddeċiedu liema destinazzjonijiet jinqabdu, u addAllowedApplication jew addDisallowedApplication jiddeċiedi liema apps jitimgħuh. VPN għal kull app li jelenka żewġ apps ma jarax il-bqija tal-apparat.

Dan huwa għoti fil-livell tal-pakkett, mhux fil-livell tad-dejta. Is-servizz jara l-bytes li app tgħaddi lill-munzell tan-netwerk, indirizzati lejn destinazzjoni. Ma jiksibx aċċess għall-ħażna privata tal-app li tibgħat, għall-fajls tad-database tagħha jew għall-memorja deċifrata tagħha. Il-fajls li app tkun salvata fis-sandbox tagħha stess jibqgħu eżattament daqshekk diffiċli biex jinqraw bħal qabel.

Fejn tieqaf il-veduta tal-pakketti

TLS għadu jagħmel xogħlu ġewwa l-mina, għax il-handshake iseħħ bejn l-app u s-server, mhux bejn l-app u l-VPN. Il-VPN jgħaddi test ċifrat li ma jistax jiddeċifrah mingħajr iċ-ċwievet tas-sessjoni. Għalhekk mina waħedha ma tiżvelax il-kontenut ta' paġna HTTPS jew ta' sessjoni tal-posta protetta.

Il-metadejta madwar it-test ċifrat hija storja oħra, u hawn jinżlu l-biċċa l-kbira tal-affermazzjonijiet kunfidenti. L-IP tad-destinazzjoni, il-port, id-daqsijiet tal-pakketti u ż-żmien kollha huma viżibbli, flimkien mal-isem tas-server fit-TLS ClientHello, li normalment jintbagħat fil-miftuħ anki taħt TLS 1.3. Encrypted Client Hello ibiddel dan, imma mhuwiex universali. DNS sempliċi jnixxi l-ismijiet bl-istess faċilità meta l-mistoqsijiet joħorġu mhux ċifrati.

Protokolli eqdem jew ikkonfigurati ħażin igħaddu aktar. HTTP sempliċi, IMAP mingħajr TLS u għadd ta' protokolli tal-logħob u tal-IoT jesponu l-payload tagħhom lil kull ma jkollu d-deskrittur tun.

Il-permessi li qatt ma jiġu miegħu

L-approvazzjoni ta' VPN mhijiex approvazzjoni tal-kuntatti, tal-SMS, tal-fotografiji jew tal-maħżen tal-midja. Dawk huma għotjiet separati fi żmien il-ħidma, kull wieħed bid-dialog tiegħu u bit-triq tat-tħassir tiegħu fil-paġna tas-settings tal-app. Klijent tal-VPN li jrid il-log tat-telefonati tiegħek irid jitolbu bħal kull app oħra, u tista' tirrifjuta filwaqt li żżomm il-mina.

L-installazzjoni taċ-ċertifikat hija dik li trid tosserva, għax tidher bħala parti mill-konfigurazzjoni tal-VPN u mhijiex. L-installazzjoni ta' CA tal-utent fil-maħżen tal-kredenzjali tibdel liema ċertifikati se jaċċetta Android, u sa minn Android 7.0 app li timmira għal API 24 jew aktar ġdid tinjora s-CAs miżjuda mill-utent sakemm il-konfigurazzjoni tas-sigurtà tan-netwerk tagħha tagħżilhom b'ankra tal-fiduċja tal-utent. Klijent li jinsisti fuq CA jista' jkun qed jagħmel interċettazzjoni korporattiva leġittima, jew jista' jkun qed jitlob xi ħaġa li d-dialog tal-VPN qatt ma semma.

L-aċċess għall-aċċessibilità jinsab saħansitra aktar 'il barra. Servizz bi aċċessibilità attivata jista' jaqra l-kontenut tal-iskrin ta' apps oħra, li ebda pożizzjoni fil-livell tal-pakkett ma tipprovdi.

Filtru lokali jew gateway mill-bogħod

L-istess API tkopri żewġ prodotti li jistħoqqilhom livelli differenti ta' fiduċja. Firewall jew blocker tar-riklami fuq l-apparat jieħu d-deskrittur tun u jwieġeb it-traffiku lokalment, mingħajr qatt ma jibagħtu lil server li hu stess iħaddem. Mina vera tgħaddi dawk il-pakketti lil gateway f'post ieħor, u dak l-operatur jara l-istess metadejta mit-tarf l-ieħor u fl-istess ħin jiddeċiedi x'se jerġa' lura.

Mod prattiku kif tiddistingwihom huwa li tivverifika l-indirizz pubbliku tiegħek bil-VPN mixgħul u mitfi, u tara jekk in-notifika ssemmix endpoint mill-bogħod. Jekk l-indirizz qatt ma jinbidel, it-traffiku x'aktarx qed idur lura fuq l-apparat stess.

Iż-żewġ każijiet għadhom pożizzjoni tal-pakketti. Id-differenza hija min ieħor qed joqgħod fid-daħla.

Awtoverifika dak li approvajt

Iftaħ Settings, imbagħad Network and internet, imbagħad VPN, u aqra d-dħul minflok l-ikona fil-bar tal-istatus. Always-on VPN u Block connections without VPN huma settings tal-apparat li jżommu l-interface ħajja u jaqtgħu t-tnixxijiet; ma jwessgħu xejn. Mill-istess skrin tista' tinsa l-profil u tirtira l-għoti.

Imbagħad għaddi mill-permessi l-oħra. App info turi liema għotjiet fi żmien il-ħidma għandu l-klijent, u s-settings tas-Sigurtà juru jekk ġiex installat ċertifikat tal-utent fl-istess żmien. Kwalunkwe minnhom jista' jitneħħa b'mod indipendenti.

Il-mistoqsija li jistħoqqilha tweġiba hija dejqa: liema pakketti jidħlu f'dan is-servizz, fejn imorru, u x'jibqa' żżomm l-implimentazzjoni. Kull ħaġa oħra fid-dialog hija storbju. Ir-referenza tal-VpnService hija l-lista awtorevoli ta' dak li tesponi l-interface.