Għaliex app Android imblukkata għadha turi l-użu tan-netwerk

Inti timblokka app fil-firewall VPN tal-Android tiegħek, l-app tieqaf taħdem, u r-ringiela tal-użu tagħha tkompli tiela’. Il-konklużjoni li tħajjar hi li l-imblokk nixx, jew li l-konta hija miksura. L-ebda waħda ma ssegwi. Rekord tal-użu jgħid li l-bytes ġew attribwiti lil dik l-identità f’xi punt ta’ osservazzjoni; ma jgħid xejn dwar jekk servizz imbiegħed aċċettax talba. Ladarba tkun taf liema fruntiera tkejlet u liema identità ġiet ċċarġjata biha, iż-żewġ osservazzjonijiet jieqfu jikkontradixxu lil xulxin.

Il-konta tkejjel bytes, mhux twassil

Android jattribwixxi t-traffiku lil UID u jgħoddu fiż-żewġ direzzjonijiet, u jagħmel dan fuq fruntiera tal-interface, mhux fil-mument li talba ta’ app tirnexxi.

Tentattiv ta’ konnessjoni miċħud xorta waħda jċaqlaq pakketti: is-SYN, ir-reset jew it-trażmissjonijiet mill-ġdid li jiġu wara, flimkien mat-talba DNS li ppreċediet it-tnejn. Dawk il-bytes jeżistu wkoll meta ma jitwassal xejn, u fuq xi mogħdijiet jingħaddu qabel ma kwalunkwe filtru jiddeċiedi x’jagħmel bihom.

Huwa għalhekk li r-ringiela ta’ app imblukkata tista’ tikber waqt li kull talba tfalli. Il-konta twieġeb «kemm-il byte ġew attribwiti lil din l-identità», mhux «din l-identità waslet għall-internet». Graff ma jistax jiddistingwi fluss aċċettat minn handshake miċħud bil-kortesija, u lanqas total li jgħodd iż-żewġ direzzjonijiet flimkien.

L-attribuzzjoni ssegwi l-UID, mhux l-ikona

Ir-ringiela hija għal kull UID, u UID wieħed jista’ jiġi maqsum minn aktar minn pakkett wieħed, filwaqt li app viżibbli tista’ tgħaddi x-xogħol lil komponent separat li jaħdem taħt l-identità tiegħu stess. Tab tal-browser imfassal minn proċess WebView maqsum, servizz ta’ sinkronizzazzjoni fl-isfond, jew pakkett sieħeb installat ħdejn l-app ewlenija kollha jipproduċu traffiku li l-iskrin tal-użu jista’ juri taħt isem li ma kontx qed tistenna, jew taħt l-app li fil-fatt imblukkajt. Pakkett imblukkat u assistent li jġorr it-talbiet tiegħu huma żewġ suġġetti differenti, u r-regola kopriet biss wieħed minnhom.

Meta n-numri jidhru ħżiena, qabbel l-UID u mhux it-tikketta. L-API tal-użu tiġi mistoqsija bl-UID, u adb shell dumpsys package <package> | grep userId= jipprintja n-numru li miegħu għandek tqabbel, għalhekk żewġ entrati bl-istess UID huma l-istess identità mill-perspettiva tal-konta.

It-tieqa tal-ħin tista’ tkun qabel ir-regola tiegħek

Id-data tal-użu tinġabar f’buckets u tiġi mistoqsija perjodikament, mhix streamed ħaj. Total ta’ kuljum jista’ jinkludi l-minuti qabel ma attivajt l-imblokk, sinkronizzazzjoni fl-isfond mis-siegħa ta’ qabel, jew traffiku li kien diġà fit-triq. Li tqabbel total kumulattiv ma’ talba waħda miċħuda u ssejjaħ id-differenza nixxija hija żball ta’ kejl, mhux sejba tal-firewall.

Uża tieqa iqsar u bidu nadif. Innota t-timestamp meta tibdel ir-regola, stenna intervall ta’ ġbir wieħed, imbagħad ħares biss lejn id-data warajh. Jekk it-total ikompli jitla’ f’tieqa li tibda wara r-regola, għandek xi tinvestiga; jekk jieqaf jitla’, it-tkabbir preċedenti kien storja murija.

Is-servizz VPN jista’ ma jkunx dak li kkonfigurajt

Firewall VPN jara biss it-traffiku li jġorr is-servizz tiegħu stess. Jekk app VPN oħra tibda u tieħu l-konnessjoni attiva, il-filtru tiegħek m’għadux fil-mogħdija filwaqt li l-interface tiegħu għadu jeżisti fis-settings. Il-listi ta’ bypass għal kull app jagħmlu l-istess affarijiet apposta, u profil li jeskludi app mhux nixxija meta l-app imbagħad taħdem.

IPv4, IPv6 u DNS jistgħu wkoll jiddevjazzjoni. Filtru li jittratta IPv4 jista’ jħalli IPv6 jew riżolver DNS privat barra minnu, hekk li parti mit-traffiku tal-app issegwi mogħdija li r-regoli tiegħek qatt ma ddeskrivew. Iċċekkja liema app bħalissa tippossjedi l-VPN u x’tgħid il-lista tal-esklużjonijiet qabel ma terġa’ tikteb xejn:

adb shell settings get secure always_on_vpn_app
adb shell dumpsys connectivity
adb shell dumpsys netstats detail

Ittestja talba ġdida waħda u nnota erba’ fatti

Agħżel talba bla ħsara, agħmilha darba, u ikteb erba’ fatti: ir-regola fis-seħħ, l-UID tal-app, l-istat tan-netwerk u l-ħin. Imbagħad iċċekkja jekk il-filtru tiegħek irreġistrax il-fluss, u jekk id-destinazzjoni jew il-gateway rawx l-istess konnessjoni. Fluss wieħed identifikat fuq iż-żewġ naħat huwa prova; total aggregat mhuwiex.

Konklużjoni difendibbli ssemmi x’ġie miċħud u liema osservazzjoni kkonfermat dan. «Il-konta telgħet» mhix sejba, u «il-konti tal-użu kollha huma foloz» lanqas. Slogan tal-livell OSI ma jsolvix dan: it-tweġiba onesta hija li l-konta u l-imblokk jistgħu t-tnejn ikunu korretti waqt li jiddeskrivu affarijiet differenti. Ir-referenza NetworkStatsManager tal-Android tiddokumenta kif dawk il-buckets jiġu mistoqsija u attribwiti.