Upozornenie na monitorovanie siete v Androide: prečítajte si zmenu dôvery

Tri oznámenia vyzerajú na telefóne podobne a iba jedno z nich je o certifikáte. Riadok stavu VPN, upozornenie úložiska dôvery a banner spravovaného zariadenia označujú každý inú kontrolu a aplikácia práve na obrazovke nemusí vlastniť ani jednu z nich. Prečítanie presného znenia ako prvého vás ochráni pred vymazaním nesprávnej veci. Vykonajte päť kontrol nižšie v poradí a zastavte pri prvej, ktorá zlyhá, pretože správna akcia sa v každom kroku úplne mení.

Krok 0: zistite, ktoré oznámenie vidíte

Znenie je dôležitejšie ako ikona. Oznámenie o stave VPN znamená, že aplikácia drží aktívny VpnService. Upozornenie na certifikát znamená, že niečo je nainštalované v úložisku dôvery. Oznámenie o spravovanom zariadení znamená, že správca použil politiku, ktorá mohla nainštalovať dôveru ako súčasť tejto politiky.

Keď text doslovne hovorí „Network may be monitored“, odosielateľom je systém, nie poskytovateľ VPN: Android vypisuje ten riadok vždy, keď aplikácia drží aktívny VpnService, takže bežný komerčný klient ho vytvorí bez toho, aby do úložiska dôvery čokoľvek vložil. Dve z troch oznámení môžu byť pravdivé súčasne, preto sťažnosť zvyčajne označí nesprávne. Ak veta hovorí, že je nainštalovaný CA, VPN je nanajvýš podozrivá a jej odinštalovanie môže upozornenie nechať presne tam, kde bolo.

Krok 1: nájdite poverenie a jeho úložisko

Na Androide 9 až 12 je cesta Nastavenia, potom Zabezpečenie, potom Šifrovanie a poverenia, potom Dôveryhodné poverenia; Android 13 a novšie presúvajú rovnakú obrazovku pod Zabezpečenie a súkromie, potom Ďalšie nastavenia zabezpečenia a nadstavby výrobcov úrovne znova premenúvajú, takže keď cesta nesedí, vyhľadajte v aplikácii Nastavenia „Dôveryhodné poverenia“. Karta Používateľ obsahuje autority nainštalované osobou alebo aplikáciou a karta Systém obsahuje to, čo prišlo s buildom. Autorita presadená správou sa objavuje cez politiku zariadenia alebo v pracovnom profile, nie ako bežné ťuknutie v používateľskom úložisku.

Zapíšte vydavateľa, dátumy platnosti a kto to nainštaloval. Ak záznam v používateľskom úložisku vôbec nie je, zastavte sa tu, pretože je to systémová alebo spravovaná položka a nie je vašou úlohou ju mazať z obrazovky nastavení. Vymazanie nesprávneho riadku tam je spôsob, akým telefón stratí Wi-Fi alebo pracovné prihlásenie, kým otázka dôvery zostáva nezodpovedaná.

Krok 2: oddeľte CA profilu VPN od dôvery telefónu

Profil OpenVPN alebo akýkoľvek klient, ktorý overuje svoj server cez TLS, môže niesť CA, ktorý používa iba ten klient na overenie vlastného servera. Profil WireGuard nenesie žiadny CA: spolieha sa na páry verejných kľúčov, takže autorita v úložisku dôvery Androidu nikdy nemohla pochádzať z konfigurácie WireGuard. Ten certifikát lokálny pre profil sa nedostane k žiadnej inej aplikácii a jeho kopírovanie do systémového úložiska dôvery je samostatná operácia so samostatnou oblasťou vplyvu. Držať tieto dve veci oddelene je celý zmysel tohto kroku, pretože iba druhá mení to, čo prijmú iné aplikácie.

Profil VPN s CA teda nie je dôkazom odpočúvania a aplikácia VPN nie je vlastníkom záznamu dôvery, ktorý nikdy nevytvorila. Test je lacný: zastavte VPN a znova prečítajte oznámenie. Ak je upozornenie na certifikát stále tam, VPN ho tam neumiestnila a odstránenie aplikácie ho neodstráni.

Krok 3: rozlíšte autoritu servera od identity klienta

Certifikát identity klienta a jeho súkromný kľúč overujú toto zariadenie voči serveru. CA sa dôveruje, aby overoval servery voči aplikáciám. Sú uložené spolu a v zozname vyzerajú podobne, no plnia úplne odlišnú úlohu.

Odstránenie identity klienta môže pokaziť overovanie Wi-Fi alebo VPN bez toho, aby urobilo čokoľvek pre dôveru HTTPS, a odstránenie CA ovplyvní každú aplikáciu, ktorá tú autoritu prijíma. Rozhodnite, ktorú z dvoch vidíte, skôr než na čokoľvek stlačíte, pretože odpoveď určuje vlastníka a cestu obnovy.

Krok 4: spýtajte sa, ktoré aplikácie jej naozaj dôverujú

Konfigurácia sieťovej bezpečnosti Androidu určuje hranicu aplikácie. Aplikácie s cieľom API 24 alebo novším štandardne dôverujú systémovým autoritám, kým aplikácie s cieľom API 23 alebo starším štandardne dôverujú aj autoritám pridaným používateľom, a aplikácia môže uviesť vlastné kotvy, pridať pravidlá podľa domény alebo sa úplne odpojiť od predvolených hodnôt.

Takže „nainštalované v telefóne“ neopisuje dôveru HTTPS každej aplikácie: autoritu pridanú používateľom môže rešpektovať staršia aplikácia, ignorovať súčasná a výslovne jej dôverovať aplikácia, ktorá prináša vlastné kotvy. Ak bola autorita nainštalovaná pre pracovnú Wi-Fi, súkromnú webovú službu alebo schválenú kontrolu, užitočná otázka je, ktoré aplikácie a profily od nej závisia. Príručka konfigurácie sieťovej bezpečnosti je referenciou, ako ďaleko inštalovaná autorita v danej aplikácii siaha, a to je časť, ktorú väčšina zhrnutí tohto upozornenia vynecháva.

Krok 5: rozhodnite, potom zapíšte vlastníka a plán ukončenia

Ak je autorita očakávaná, zdokumentujte, kto ju nainštaloval, ktoré pripojenia od nej závisia a ako bude vyradená. Dôverovať autorite je významné rozhodnutie aj vtedy, keď dnes k odpočúvaniu nedochádza, pretože práve dôvera ho neskôr umožňuje.

Ak je neočakávaná, prešetrite ju cez vlastníka zariadenia alebo služby, skôr než na tom telefóne zadáte citlivé údaje. Ak je zastaraná, odstráňte tú konkrétnu položku cez toho, kto ju nainštaloval, po overení, čo od nej závisí, a nikdy nezačínajte mazaním všetkých poverení. Skrytie upozornenia mení zobrazenie a nič iné. Súkromný kľúč alebo celý profil sa nikdy nesmú nahrávať do verejnej služby na kontrolu certifikátov, aby sa otázka vyriešila.

Skôr než opustíte obrazovku, chcete tri odpovede: kto ju nainštaloval, ktoré pripojenia od nej závisia a ako sa vyraďuje.