Aviso de monitoramento de rede no Android: leia a mudança de confiança

Três avisos parecem iguais num telefone, e apenas um deles é sobre um certificado. Uma linha de status de VPN, um alerta do armazenamento de confiança e uma faixa de dispositivo gerenciado nomeiam cada um um controle diferente, e o app na tela naquele momento pode não possuir nenhum deles. Ler primeiro o texto exato evita excluir a coisa errada. Faça as cinco verificações abaixo em ordem e pare na primeira que falhar, porque a ação correta muda completamente a cada etapa.

Etapa 0: identifique qual aviso você está vendo

O texto importa mais que o ícone. Um aviso de status de VPN significa que um app mantém um VpnService ativo. Um alerta de certificado significa que algo está instalado num armazenamento de confiança. Um aviso de dispositivo gerenciado significa que um administrador aplicou uma política, que pode ter instalado a confiança como parte dessa política.

Quando o texto diz literalmente «Network may be monitored», o emissor é o sistema e não o provedor de VPN: o Android imprime essa linha sempre que um app mantém um VpnService ativo, então um cliente comercial comum a produz sem colocar nada no armazenamento de confiança. Dois dos três avisos podem ser verdadeiros ao mesmo tempo, e é por isso que a reclamação costuma nomear o errado. Se a frase diz que uma CA está instalada, a VPN é no máximo uma suspeita, e desinstalá-la pode deixar o aviso exatamente onde estava.

Etapa 1: encontre a credencial e seu armazenamento

No Android 9 a 12 o caminho é Configurações, depois Segurança, depois Criptografia e credenciais, depois Credenciais confiáveis; o Android 13 e posteriores movem a mesma tela para Segurança e privacidade, depois Mais configurações de segurança, e as camadas dos fabricantes renomeiam os níveis de novo, então pesquise «Credenciais confiáveis» no app Configurações quando o caminho não corresponder. A aba Usuário contém autoridades instaladas por uma pessoa ou app, e a aba Sistema contém o que veio com a compilação. Uma autoridade empurrada pela gestão aparece pela política do dispositivo ou dentro de um perfil de trabalho, e não como um toque casual no armazenamento do usuário.

Registre o emissor, as datas de validade e quem a instalou. Se a entrada não estiver no armazenamento do usuário, pare aqui, porque é um item de sistema ou gerenciado e não cabe a você excluí-lo de uma tela de configurações. Excluir a linha errada ali é como um telefone perde o Wi-Fi ou um login de trabalho enquanto a pergunta sobre a confiança fica sem resposta.

Etapa 2: separe a CA de um perfil de VPN da confiança do telefone

Um perfil OpenVPN, ou qualquer cliente que autentique seu servidor por TLS, pode carregar uma CA usada apenas por esse cliente para verificar seu próprio servidor. Um perfil WireGuard não carrega CA alguma: baseia-se em pares de chaves públicas, então uma autoridade no armazenamento de confiança do Android nunca pôde vir de uma configuração WireGuard. Esse certificado local ao perfil não alcança nenhum outro app, e copiá-lo para o armazenamento de confiança do sistema é uma operação separada com um raio de impacto separado. Manter os dois separados é todo o objetivo desta etapa, porque só o segundo muda o que outros apps aceitarão.

Um perfil de VPN que contém uma CA não é, portanto, prova de interceptação, e um app de VPN não é dono de uma entrada de confiança que nunca criou. O teste é barato: pare a VPN e leia o aviso de novo. Se o alerta do certificado ainda estiver lá, a VPN não o colocou e remover o app não o removerá.

Etapa 3: distinga uma autoridade de servidor de uma identidade de cliente

Um certificado de identidade de cliente e sua chave privada autenticam este dispositivo perante um servidor. Confia-se numa CA para autenticar servidores perante apps. Eles são armazenados juntos e parecem iguais numa lista, mas fazem trabalhos completamente diferentes.

Remover uma identidade de cliente pode quebrar a autenticação de Wi-Fi ou VPN sem fazer nada pela confiança HTTPS, e remover uma CA afeta todo app que aceita essa autoridade. Decida qual dos dois você está vendo antes de pressionar qualquer coisa, porque a resposta nomeia o dono e o caminho de recuperação.

Etapa 4: pergunte quais apps realmente confiam nela

A Configuração de Segurança de Rede do Android define a fronteira do app. Apps com alvo API 24 ou posterior confiam por padrão nas autoridades do sistema, enquanto apps com alvo API 23 ou anterior também confiam por padrão nas autoridades adicionadas pelo usuário, e um app pode nomear suas próprias âncoras, adicionar regras por domínio ou sair completamente dos padrões.

Então «instalado no telefone» não descreve a confiança HTTPS de cada app: uma autoridade adicionada pelo usuário pode ser respeitada por um app antigo, ignorada por um atual e explicitamente confiada por um app que traz suas próprias âncoras. Se a autoridade foi instalada para Wi-Fi do trabalho, um serviço web privado ou uma inspeção aprovada, a pergunta útil é quais apps e perfis dependem dela. O guia de Configuração de Segurança de Rede é a referência de até onde uma autoridade instalada chega num dado app, e é a parte que quase todos os resumos deste aviso omitem.

Etapa 5: decida e registre o dono e o plano de saída

Se a autoridade é esperada, documente quem a instalou, quais conexões dependem dela e como será retirada. Confiar numa autoridade é uma decisão significativa mesmo quando hoje não há interceptação, porque é a confiança que torna a interceptação possível depois.

Se não for esperada, investigue pelo dono do dispositivo ou do serviço antes de inserir dados sensíveis naquele telefone. Se estiver obsoleta, remova esse item específico por quem a instalou, depois de verificar do que ela depende, e nunca comece apagando todas as credenciais. Ocultar o aviso muda a exibição e nada mais. Uma chave privada ou um perfil completo nunca devem ser enviados a um serviço público de verificação de certificados para resolver a questão.

Antes de sair da tela você quer três respostas: quem a instalou, quais conexões dependem dela e como ela é retirada.