Ostrzeżenie Androida o monitorowaniu sieci: przeczytaj zmianę zaufania

Trzy powiadomienia wyglądają na telefonie podobnie, a tylko jedno z nich dotyczy certyfikatu. Wiersz stanu VPN, ostrzeżenie magazynu zaufania i baner urządzenia zarządzanego wskazują każde inną kontrolę, a aplikacja widoczna w tej chwili na ekranie może nie być właścicielem żadnej z nich. Przeczytanie najpierw dokładnego brzmienia chroni przed usunięciem niewłaściwej rzeczy. Wykonaj pięć poniższych kontroli po kolei i zatrzymaj się na pierwszej, która zawiedzie, bo właściwe działanie zmienia się całkowicie na każdym etapie.

Krok 0: ustal, które powiadomienie widzisz

Brzmienie jest ważniejsze niż ikona. Powiadomienie o stanie VPN oznacza, że aplikacja utrzymuje aktywny VpnService. Ostrzeżenie o certyfikacie oznacza, że coś jest zainstalowane w magazynie zaufania. Powiadomienie o urządzeniu zarządzanym oznacza, że administrator zastosował politykę, która mogła zainstalować zaufanie jako część tej polityki.

Gdy tekst dosłownie mówi „Network may be monitored”, nadawcą jest system, a nie dostawca VPN: Android drukuje tę linię za każdym razem, gdy aplikacja utrzymuje aktywny VpnService, więc zwykły klient komercyjny tworzy ją, nie umieszczając niczego w magazynie zaufania. Dwa z trzech powiadomień mogą być prawdziwe jednocześnie, dlatego skarga zwykle wskazuje niewłaściwe. Jeśli zdanie mówi, że zainstalowano CA, VPN jest co najwyżej podejrzanym, a jego odinstalowanie może pozostawić ostrzeżenie dokładnie tam, gdzie było.

Krok 1: znajdź dane logowania i ich magazyn

W Androidzie 9–12 ścieżka to Ustawienia, potem Zabezpieczenia, potem Szyfrowanie i dane logowania, potem Zaufane dane logowania; Android 13 i nowsze przenoszą ten sam ekran do Zabezpieczenia i prywatność, potem Więcej ustawień zabezpieczeń, a nakładki producentów ponownie zmieniają nazwy poziomów, więc gdy ścieżka się nie zgadza, wyszukaj w aplikacji Ustawienia „Zaufane dane logowania”. Karta Użytkownik zawiera urzędy zainstalowane przez osobę lub aplikację, a karta System zawiera to, co przyszło z kompilacją. Urząd wypchnięty przez zarządzanie pojawia się przez politykę urządzenia lub w profilu służbowym, a nie jako zwykłe dotknięcie w magazynie użytkownika.

Zapisz wystawcę, daty ważności i to, kto to zainstalował. Jeśli wpisu w ogóle nie ma w magazynie użytkownika, zatrzymaj się tutaj, bo jest to element systemowy lub zarządzany i nie do ciebie należy usuwanie go z ekranu ustawień. Usunięcie tam niewłaściwego wiersza to sposób, w jaki telefon traci Wi-Fi lub logowanie służbowe, podczas gdy pytanie o zaufanie pozostaje bez odpowiedzi.

Krok 2: oddziel CA profilu VPN od zaufania telefonu

Profil OpenVPN lub dowolny klient, który uwierzytelnia swój serwer przez TLS, może zawierać CA używany tylko przez tego klienta do weryfikacji własnego serwera. Profil WireGuard nie zawiera żadnego CA: opiera się na parach kluczy publicznych, więc urząd w magazynie zaufania Androida nigdy nie mógł pochodzić z konfiguracji WireGuard. Ten certyfikat lokalny dla profilu nie dociera do żadnej innej aplikacji, a skopiowanie go do systemowego magazynu zaufania to osobna operacja z osobnym zakresem wpływu. Trzymanie ich osobno jest całym celem tego kroku, ponieważ tylko drugi zmienia to, co zaakceptują inne aplikacje.

Profil VPN zawierający CA nie jest więc dowodem przechwytywania, a aplikacja VPN nie jest właścicielem wpisu zaufania, którego nigdy nie utworzyła. Test jest tani: zatrzymaj VPN i przeczytaj powiadomienie ponownie. Jeśli ostrzeżenie o certyfikacie nadal tam jest, VPN go tam nie umieścił, a usunięcie aplikacji go nie usunie.

Krok 3: odróżnij urząd serwera od tożsamości klienta

Certyfikat tożsamości klienta i jego klucz prywatny uwierzytelniają to urządzenie wobec serwera. CA jest zaufany, aby uwierzytelniać serwery wobec aplikacji. Są przechowywane razem i wyglądają podobnie na liście, ale pełnią zupełnie różne funkcje.

Usunięcie tożsamości klienta może zepsuć uwierzytelnianie Wi-Fi lub VPN, nie robiąc nic dla zaufania HTTPS, a usunięcie CA wpływa na każdą aplikację, która akceptuje ten urząd. Zdecyduj, który z dwóch widzisz, zanim cokolwiek naciśniesz, bo odpowiedź wskazuje właściciela i ścieżkę odzyskiwania.

Krok 4: zapytaj, które aplikacje naprawdę mu ufają

Konfiguracja zabezpieczeń sieci Androida wyznacza granicę aplikacji. Aplikacje kierowane na API 24 lub nowsze domyślnie ufają urzędom systemowym, natomiast aplikacje kierowane na API 23 lub starsze domyślnie ufają także urzędom dodanym przez użytkownika, a aplikacja może wymienić własne zakotwiczenia, dodać reguły dla domen lub całkowicie zrezygnować z wartości domyślnych.

Tak więc „zainstalowany na telefonie” nie opisuje zaufania HTTPS każdej aplikacji: urząd dodany przez użytkownika może być respektowany przez starszą aplikację, ignorowany przez obecną i jawnie zaufany przez aplikację, która przynosi własne zakotwiczenia. Jeśli urząd zainstalowano dla Wi-Fi służbowego, prywatnej usługi internetowej lub zatwierdzonego nadzoru, użytecznym pytaniem jest, które aplikacje i profile od niego zależą. Przewodnik po konfiguracji zabezpieczeń sieci jest odniesieniem, jak daleko sięga zainstalowany urząd w danej aplikacji, i to jest część, którą pomija większość streszczeń tego ostrzeżenia.

Krok 5: zdecyduj, a potem zapisz właściciela i plan wyjścia

Jeśli urząd jest oczekiwany, udokumentuj, kto go zainstalował, które połączenia od niego zależą i jak zostanie wycofany. Zaufanie urzędowi to istotna decyzja nawet wtedy, gdy dziś nie ma przechwytywania, bo to zaufanie umożliwia przechwytywanie później.

Jeśli jest nieoczekiwany, zbadaj sprawę przez właściciela urządzenia lub usługi, zanim wpiszesz wrażliwe dane na tym telefonie. Jeśli jest przestarzały, usuń ten konkretny element przez osobę, która go zainstalowała, po sprawdzeniu, co od niego zależy, i nigdy nie zaczynaj od czyszczenia wszystkich danych logowania. Ukrycie ostrzeżenia zmienia wyświetlanie i nic więcej. Klucza prywatnego ani całego profilu nie należy nigdy przesyłać do publicznej usługi sprawdzania certyfikatów, aby rozstrzygnąć pytanie.

Przed opuszczeniem ekranu chcesz trzech odpowiedzi: kto go zainstalował, które połączenia od niego zależą i jak jest wycofywany.