Android-waarschuwing over netwerkbewaking: lees de vertrouwenswijziging

Drie meldingen lijken op een telefoon op elkaar, en slechts één ervan gaat over een certificaat. Een VPN-statusregel, een waarschuwing uit de vertrouwensopslag en een banner voor een beheerd apparaat noemen elk een andere controle, en de app die op dat moment op het scherm staat, bezit er misschien geen enkele van. Eerst de exacte formulering lezen voorkomt dat u het verkeerde verwijdert. Doorloop de vijf controles hieronder in volgorde en stop bij de eerste die mislukt, want de juiste actie verandert bij elke stap volledig.

Stap 0: bepaal welke melding u ziet

De formulering is belangrijker dan het pictogram. Een VPN-statusmelding betekent dat een app een actieve VpnService heeft. Een certificaatwaarschuwing betekent dat er iets in een vertrouwensopslag is geïnstalleerd. Een melding over een beheerd apparaat betekent dat een beheerder beleid heeft toegepast, dat de vertrouwensinstelling als onderdeel van dat beleid kan hebben geïnstalleerd.

Als de tekst letterlijk «Network may be monitored» zegt, is de afzender het systeem en niet de VPN-aanbieder: Android drukt die regel af telkens wanneer een app een actieve VpnService heeft, dus een gangbare commerciële client produceert hem zonder iets in de vertrouwensopslag te zetten. Twee van de drie meldingen kunnen tegelijk waar zijn, waardoor de klacht meestal de verkeerde noemt. Als de zin zegt dat er een CA is geïnstalleerd, is de VPN hooguit verdacht, en het verwijderen ervan kan de waarschuwing precies laten staan waar ze was.

Stap 1: vind de inloggegevens en hun opslag

Op Android 9 tot en met 12 is het pad Instellingen, dan Beveiliging, dan Versleuteling en inloggegevens, dan Vertrouwde inloggegevens; Android 13 en later verplaatsen hetzelfde scherm naar Beveiliging en privacy, dan Meer beveiligingsinstellingen, en de skins van fabrikanten hernoemen de niveaus opnieuw, dus zoek in de Instellingen-app naar «Vertrouwde inloggegevens» als het pad niet klopt. Het tabblad Gebruiker bevat autoriteiten die door een persoon of app zijn geïnstalleerd, en het tabblad Systeem bevat wat met de build is meegekomen. Een autoriteit die door beheer wordt doorgeduwd, verschijnt via het apparaatbeleid of binnen een werkprofiel, niet als een gewone tik in de gebruikersopslag.

Noteer de uitgever, de geldigheidsdatums en wie het heeft geïnstalleerd. Als de vermelding helemaal niet in de gebruikersopslag staat, stop dan hier, want het is een systeem- of beheerd item en het is niet aan u om het vanaf een instellingenscherm te verwijderen. De verkeerde rij daar verwijderen is hoe een telefoon Wi-Fi of een werklogin verliest terwijl de vertrouwensvraag onbeantwoord blijft.

Stap 2: scheid de CA van een VPN-profiel van het vertrouwen van de telefoon

Een OpenVPN-profiel, of elke client die zijn server via TLS authenticeert, kan een CA bevatten die alleen die client gebruikt om zijn eigen server te verifiëren. Een WireGuard-profiel bevat helemaal geen CA: het leunt op paren van openbare sleutels, dus een autoriteit in de vertrouwensopslag van Android kan nooit uit een WireGuard-configuratie komen. Dat profiellokale certificaat bereikt geen enkele andere app, en het naar de systeemvertrouwensopslag kopiëren is een aparte handeling met een apart impactgebied. De twee gescheiden houden is het hele doel van deze stap, want alleen de tweede verandert wat andere apps accepteren.

Een VPN-profiel met een CA is dus geen bewijs van onderschepping, en een VPN-app is geen eigenaar van een vertrouwensvermelding die ze nooit heeft gemaakt. De test is goedkoop: stop de VPN en lees de melding opnieuw. Als de certificaatwaarschuwing er nog staat, heeft de VPN hem daar niet gezet en verwijdert het verwijderen van de app hem niet.

Stap 3: onderscheid een serverautoriteit van een clientidentiteit

Een clientidentiteitscertificaat en de bijbehorende privésleutel authenticeren dit apparaat bij een server. Een CA wordt vertrouwd om servers bij apps te authenticeren. Ze worden samen opgeslagen en lijken in een lijst op elkaar, maar doen volledig verschillende taken.

Het verwijderen van een clientidentiteit kan de Wi-Fi- of VPN-authenticatie breken zonder iets voor het HTTPS-vertrouwen te doen, en het verwijderen van een CA beïnvloedt elke app die die autoriteit accepteert. Bepaal welke van de twee u bekijkt voordat u iets indrukt, want het antwoord noemt de eigenaar en het herstelpad.

Stap 4: vraag welke apps er werkelijk op vertrouwen

De Netwerkbeveiligingsconfiguratie van Android bepaalt de grens van de app. Apps die op API 24 of hoger richten, vertrouwen standaard systeemautoriteiten, terwijl apps die op API 23 of lager richten standaard ook door de gebruiker toegevoegde autoriteiten vertrouwen, en een app kan zijn eigen ankers noemen, regels per domein toevoegen of zich volledig aan de standaardwaarden onttrekken.

Dus «op de telefoon geïnstalleerd» beschrijft niet het HTTPS-vertrouwen van elke app: een door de gebruiker toegevoegde autoriteit kan door een oudere app worden gerespecteerd, door een huidige worden genegeerd en door een app die zijn eigen ankers meebrengt expliciet worden vertrouwd. Als de autoriteit is geïnstalleerd voor werk-Wi-Fi, een private webservice of een goedgekeurde inspectie, is de nuttige vraag welke apps en profielen ervan afhangen. De handleiding Netwerkbeveiligingsconfiguratie is de referentie voor hoever een geïnstalleerde autoriteit in een bepaalde app reikt, en dat is het deel dat de meeste samenvattingen van deze waarschuwing weglaten.

Stap 5: beslis en leg daarna de eigenaar en het uitstapplan vast

Als de autoriteit verwacht is, documenteer dan wie haar heeft geïnstalleerd, welke verbindingen ervan afhangen en hoe ze wordt uitgefaseerd. Een autoriteit vertrouwen is een betekenisvolle beslissing, zelfs wanneer er vandaag geen onderschepping plaatsvindt, want dat vertrouwen is wat onderschepping later mogelijk maakt.

Als ze onverwacht is, onderzoek het dan via de eigenaar van het apparaat of de dienst voordat u gevoelige gegevens op die telefoon invoert. Als ze verouderd is, verwijder dan dat specifieke item via degene die het heeft geïnstalleerd, nadat u hebt gecontroleerd wat ervan afhangt, en begin nooit met het wissen van alle inloggegevens. De waarschuwing verbergen verandert de weergave en niets anders. Een privésleutel of een volledig profiel mag nooit naar een openbare certificaatcontroledienst worden geüpload om de vraag te beslechten.

Voordat u het scherm verlaat, wilt u drie antwoorden: wie haar heeft geïnstalleerd, welke verbindingen ervan afhangen en hoe ze wordt uitgefaseerd.