Avertisment de monitorizare a rețelei pe Android: citește schimbarea de încredere

Trei notificări arată asemănător pe un telefon, și doar una dintre ele este despre un certificat. O linie de stare VPN, o avertizare din depozitul de încredere și un banner de dispozitiv administrat numesc fiecare un alt control, iar aplicația de pe ecran în acel moment poate să nu dețină niciuna. Citirea mai întâi a textului exact te scutește de a șterge lucrul greșit. Parcurge cele cinci verificări de mai jos în ordine și oprește-te la prima care eșuează, pentru că acțiunea corectă se schimbă complet la fiecare pas.

Pasul 0: identifică ce notificare vezi

Textul contează mai mult decât pictograma. O notificare de stare VPN înseamnă că o aplicație deține un VpnService activ. O avertizare de certificat înseamnă că ceva este instalat într-un depozit de încredere. O notificare de dispozitiv administrat înseamnă că un administrator a aplicat o politică, care poate a instalat încrederea ca parte a acelei politici.

Când textul spune literal «Network may be monitored», expeditorul este sistemul, nu furnizorul de VPN: Android tipărește acea linie de fiecare dată când o aplicație deține un VpnService activ, așa că un client comercial obișnuit o produce fără să pună nimic în depozitul de încredere. Două dintre cele trei notificări pot fi adevărate simultan, de aceea reclamația indică de obicei pe cea greșită. Dacă propoziția spune că un CA este instalat, VPN-ul este cel mult un suspect, iar dezinstalarea lui poate lăsa avertismentul exact unde era.

Pasul 1: găsește credențiala și depozitul ei

Pe Android 9 până la 12 traseul este Setări, apoi Securitate, apoi Criptare și credențiale, apoi Credențiale de încredere; Android 13 și versiunile mai noi mută același ecran la Securitate și confidențialitate, apoi Mai multe setări de securitate, iar interfețele producătorilor redenumesc din nou nivelurile, așa că atunci când traseul nu se potrivește caută „Credențiale de încredere” în aplicația Setări. Fila Utilizator conține autorități instalate de o persoană sau de o aplicație, iar fila Sistem conține ce a venit cu build-ul. O autoritate împinsă de administrare apare prin politica dispozitivului sau în interiorul unui profil de lucru, nu ca o atingere obișnuită în depozitul utilizatorului.

Notează emitentul, datele de valabilitate și cine a instalat-o. Dacă intrarea nu este deloc în depozitul utilizatorului, oprește-te aici, pentru că este un element de sistem sau administrat și nu e treaba ta să-l ștergi dintr-un ecran de setări. Ștergerea rândului greșit acolo este felul în care un telefon pierde Wi-Fi sau autentificarea de serviciu în timp ce întrebarea despre încredere rămâne fără răspuns.

Pasul 2: separă CA-ul unui profil VPN de încrederea telefonului

Un profil OpenVPN, sau orice client care își autentifică serverul prin TLS, poate purta un CA folosit doar de acel client pentru a-și verifica propriul server. Un profil WireGuard nu poartă niciun CA: se bazează pe perechi de chei publice, așa că o autoritate din depozitul de încredere al Android nu putea veni niciodată dintr-o configurație WireGuard. Acel certificat local profilului nu ajunge la nicio altă aplicație, iar copierea lui în depozitul de încredere al sistemului este o operațiune separată cu o rază de impact separată. Ținerea lor separate este scopul acestui pas, pentru că doar al doilea schimbă ce vor accepta alte aplicații.

Un profil VPN care conține un CA nu este deci dovadă de interceptare, iar o aplicație VPN nu este proprietara unei intrări de încredere pe care nu a creat-o niciodată. Testul este ieftin: oprește VPN-ul și recitește notificarea. Dacă avertismentul de certificat este încă acolo, VPN-ul nu l-a pus acolo, iar eliminarea aplicației nu îl va elimina.

Pasul 3: distinge o autoritate de server de o identitate de client

Un certificat de identitate de client și cheia lui privată autentifică acest dispozitiv față de un server. Un CA este de încredere pentru a autentifica serverele față de aplicații. Sunt stocate împreună și arată asemănător într-o listă, dar fac lucruri complet diferite.

Eliminarea unei identități de client poate rupe autentificarea Wi-Fi sau VPN fără să facă nimic pentru încrederea HTTPS, iar eliminarea unui CA afectează fiecare aplicație care acceptă acea autoritate. Decide pe care dintre cele două o privești înainte de a apăsa ceva, pentru că răspunsul numește proprietarul și calea de recuperare.

Pasul 4: întreabă ce aplicații se bazează cu adevărat pe ea

Configurația de securitate a rețelei din Android stabilește granița aplicației. Aplicațiile cu țintă API 24 sau mai nou se bazează implicit pe autoritățile sistemului, în timp ce aplicațiile cu țintă API 23 sau mai vechi se bazează implicit și pe autoritățile adăugate de utilizator, iar o aplicație poate numi propriile ancore, adăuga reguli pe domeniu sau renunța complet la valorile implicite.

Așadar „instalat pe telefon” nu descrie încrederea HTTPS a fiecărei aplicații: o autoritate adăugată de utilizator poate fi respectată de o aplicație mai veche, ignorată de una actuală și încredințată explicit de o aplicație care își aduce propriile ancore. Dacă autoritatea a fost instalată pentru Wi-Fi de serviciu, un serviciu web privat sau o inspecție aprobată, întrebarea utilă este ce aplicații și profiluri depind de ea. Ghidul configurației de securitate a rețelei este referința pentru cât de departe ajunge o autoritate instalată într-o aplicație dată, și este partea pe care majoritatea rezumatelor acestui avertisment o omit.

Pasul 5: decide, apoi notează proprietarul și planul de ieșire

Dacă autoritatea este așteptată, documentează cine a instalat-o, ce conexiuni depind de ea și cum va fi retrasă. A avea încredere într-o autoritate este o decizie importantă chiar și atunci când astăzi nu are loc interceptare, pentru că încrederea este ce face interceptarea posibilă mai târziu.

Dacă este neașteptată, investighează prin proprietarul dispozitivului sau al serviciului înainte de a introduce date sensibile pe acel telefon. Dacă este învechită, elimină acel element specific prin cel care l-a instalat, după ce ai verificat de ce depinde, și nu începe niciodată prin a șterge toate credențialele. Ascunderea avertismentului schimbă afișarea și nimic altceva. O cheie privată sau un profil complet nu trebuie niciodată încărcate într-un serviciu public de verificare a certificatelor pentru a lămuri întrebarea.

Înainte de a părăsi ecranul vrei trei răspunsuri: cine a instalat-o, ce conexiuni depind de ea și cum este retrasă.