Paralajmërim për mbikëqyrjen e rrjetit në Android: lexo ndryshimin e besimit
Një njoftim mbikëqyrjeje, një CA i instaluar dhe një politikë e menaxhuar janë tre gjëra të ndryshme. Kontrollo çfarë raporton Android përpara se të fshish kredencialet.
Tre njoftime duken njësoj në një telefon, dhe vetëm njëri prej tyre është për një certifikatë. Rreshti i statusit të VPN, paralajmërimi i depove të besimit dhe baneri i pajisjes së menaxhuar secili emërton një kontroll tjetër, dhe aplikacioni në ekran në atë moment mund të mos zotërojë asnjë prej tyre. Leximi i tekstit të saktë fillimisht të shpëton nga fshirja e gjësë së gabuar. Kryej pesë kontrollet më poshtë me radhë dhe ndalu në të parën që dështon, sepse veprimi i duhur ndryshon plotësisht në çdo hap.
Hapi 0: identifiko cilin njoftim po shikon
Teksti ka më shumë rëndësi se ikona. Njoftimi i statusit të VPN do të thotë që një aplikacion mban një VpnService aktiv. Paralajmërimi i certifikatës do të thotë që diçka është instaluar në një depo besimi. Njoftimi i pajisjes së menaxhuar do të thotë që një administrator ka aplikuar një politikë, e cila mund të ketë instaluar besimin si pjesë të asaj politike.
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
Kur teksti thotë fjalë për fjalë «Network may be monitored», dërguesi është sistemi dhe jo ofruesi i VPN: Android e shtyp atë rresht sa herë që një aplikacion mban një VpnService aktiv, kështu që një klient komercial i zakonshëm e prodhon pa vendosur asgjë në depon e besimit. Dy nga tre njoftimet mund të jenë të vërteta njëkohësisht, prandaj ankesa zakonisht emërton të gabuarin. Nëse fjalia thotë se është instaluar një CA, VPN-i është më së shumti i dyshuar, dhe çinstalimi i tij mund ta lërë paralajmërimin pikërisht aty ku ishte.
Hapi 1: gjej kredencialin dhe depon e tij
Në Android 9 deri 12 rruga është Cilësimet, pastaj Siguria, pastaj Kriptimi dhe kredencialet, pastaj Kredencialet e besuara; Android 13 dhe më i ri i zhvendos të njëjtin ekran te Siguria dhe privatësia, pastaj Cilësime të tjera sigurie, dhe shtresat e prodhuesve i riemërtojnë përsëri nivelet, prandaj kur rruga nuk përputhet, kërko «Kredencialet e besuara» në aplikacionin Cilësimet. Skeda Përdoruesi përmban autoritetet e instaluara nga një person ose aplikacion, dhe skeda Sistemi përmban atë që erdhi me ndërtimin. Një autoritet i shtyrë nga menaxhimi shfaqet përmes politikës së pajisjes ose brenda një profili pune, jo si një prekje e zakonshme në depon e përdoruesit.
Shëno lëshuesin, datat e vlefshmërisë dhe kush e instaloi. Nëse zëri nuk është fare në depon e përdoruesit, ndalu këtu, sepse është element sistemi ose i menaxhuar dhe nuk është puna jote ta fshish nga një ekran cilësimesh. Fshirja e rreshtit të gabuar atje është mënyra se si një telefon humbet Wi-Fi ose hyrjen e punës, ndërsa pyetja e besimit mbetet pa përgjigje.
Hapi 2: ndaj CA-në e profilit të VPN nga besimi i telefonit
Një profil OpenVPN, ose çdo klient që vërteton serverin e tij përmes TLS, mund të mbajë një CA që përdoret vetëm nga ai klient për të verifikuar serverin e vet. Një profil WireGuard nuk mban fare CA: mbështetet te çifte çelësash publikë, prandaj një autoritet në depon e besimit të Android nuk mund të ketë ardhur kurrë nga një konfigurim WireGuard. Ai certifikatë lokal i profilit nuk arrin asnjë aplikacion tjetër, dhe kopjimi i tij në depon e besimit të sistemit është një operacion i veçantë me një shtrirje të veçantë ndikimi. Mbajtja e të dyve të ndarë është i gjithë qëllimi i këtij hapi, sepse vetëm i dyti ndryshon atë që do të pranojnë aplikacionet e tjera.
Prandaj një profil VPN që përmban një CA nuk është provë e përgjimit, dhe një aplikacion VPN nuk është pronar i një zëri besimi që nuk e ka krijuar kurrë. Testi është i lirë: ndalo VPN-in dhe lexo përsëri njoftimin. Nëse paralajmërimi i certifikatës është ende atje, VPN-i nuk e vendosi atje dhe heqja e aplikacionit nuk do ta heqë.
Hapi 3: dallo një autoritet serveri nga një identitet klienti
Një certifikatë identiteti klienti dhe çelësi i saj privat vërtetojnë këtë pajisje ndaj një serveri. Një CA i besohet për të vërtetuar serverat ndaj aplikacioneve. Ato ruhen së bashku dhe duken njësoj në një listë, por kryejnë punë krejtësisht të ndryshme.
Heqja e një identiteti klienti mund të thyejë vërtetimin e Wi-Fi ose VPN pa bërë asgjë për besimin HTTPS, dhe heqja e një CA ndikon te çdo aplikacion që e pranon atë autoritet. Vendos cilin nga të dy po shikon përpara se të shtypësh diçka, sepse përgjigjja emërton pronarin dhe rrugën e rikuperimit.
Hapi 4: pyet cilat aplikacione i besojnë vërtet
Konfigurimi i Sigurisë së Rrjetit të Android përcakton kufirin e aplikacionit. Aplikacionet që synojnë API 24 ose më të ri i besojnë si parazgjedhje autoriteteve të sistemit, ndërsa aplikacionet që synojnë API 23 ose më të vjetër i besojnë si parazgjedhje edhe autoriteteve të shtuara nga përdoruesi, dhe një aplikacion mund të emërtojë ankorat e veta, të shtojë rregulla për domen ose të dalë plotësisht nga parazgjedhjet.
Pra «i instaluar në telefon» nuk përshkruan besimin HTTPS të çdo aplikacioni: një autoritet i shtuar nga përdoruesi mund të respektohet nga një aplikacion më i vjetër, të injorohet nga një aktual dhe t'i besohet shprehimisht nga një aplikacion që sjell ankorat e veta. Nëse autoriteti u instalua për Wi-Fi pune, një shërbim web privat ose një inspektim i miratuar, pyetja e dobishme është cilat aplikacione dhe profile varen prej tij. Udhëzuesi i Konfigurimit të Sigurisë së Rrjetit është referenca se sa larg arrin një autoritet i instaluar në një aplikacion të caktuar, dhe është pjesa që shumica e përmbledhjeve të këtij paralajmërimi e lënë jashtë.
Hapi 5: vendos, pastaj shëno pronarin dhe planin e daljes
Nëse autoriteti është i pritur, dokumento kush e instaloi, cilat lidhje varen prej tij dhe si do të tërhiqet. T'i besosh një autoriteti është vendim domethënës edhe kur sot nuk ndodh përgjim, sepse pikërisht besimi e bën të mundur përgjimin më vonë.
Nëse është i papritur, heto përmes pronarit të pajisjes ose të shërbimit përpara se të futësh të dhëna të ndjeshme në atë telefon. Nëse është i vjetëruar, hiq atë element specifik përmes atij që e instaloi, pasi të kontrollosh nga çfarë varet, dhe kurrë mos fillo duke fshirë të gjitha kredencialet. Fshehja e paralajmërimit ndryshon shfaqjen dhe asgjë tjetër. Një çelës privat ose një profil i plotë nuk duhet të ngarkohen kurrë në një shërbim publik verifikimi certifikatash për të zgjidhur pyetjen.
Përpara se të lësh ekranin dëshiron tre përgjigje: kush e instaloi, cilat lidhje varen prej tij dhe si tërhiqet.