VPN Android kundrejt lejeve të aplikacioneve: çfarë do të thotë paralajmërimi

Dy dritare në Android ngatërrohen vazhdimisht: kërkesa për pëlqim të VPN-së dhe kërkesat për leje që një aplikacion bën për të dhënat tuaja. E para dorëzon një pozicion rrjeti, vendin ku paketat mund të lexohen dhe rishkruhen. E dyta dorëzon përmbajtje të ruajtur që Android mbron aplikacion pas aplikacioni. T'i trajtosh si një gjë të vetme ose ekzagjeron atë që një tunel mund të shohë, ose nënvlerëson rëndë atë që do të kërkojë më pas një aplikacion i vendosur.

Çfarë dorëzon në të vërtetë dritarja e pëlqimit

Një aplikacion që implementon VpnService dhe deklaron BIND_VPN_SERVICE i kërkon sistemit të bëhet VPN i pajisjes. Pas miratimit, korniza krijon një ndërfaqe tun dhe i jep aplikacionit një përshkrues skedari për të. Gjithçka që bën aplikacioni më pas rrjedh përmes atij përshkruesi: lexon paketa IP jashtë, vendos çfarë të bëjë me to dhe shkruan paketa përsëri brenda.

Shtrirja e asaj ndërfaqeje është e qartë. Rrugët vendosin cilat destinacione kapen, dhe addAllowedApplication ose addDisallowedApplication vendos cilat aplikacione e ushqejnë. Një VPN për aplikacion që liston dy aplikacione nuk e sheh pjesën tjetër të pajisjes.

Ky është një dhurim në nivel pakete, jo në nivel të dhënash. Shërbimi sheh bajtët që një aplikacion i dorëzon pirgut të rrjetit, të adresuar drejt një destinacioni. Nuk merr akses në ruajtësen private të aplikacionit dërgues, në skedarët e bazës së të dhënave apo në memorien e dekriptuar të tij. Skedarët që një aplikacion ka ruajtur në sandboxin e vet mbeten po aq të vështirë për t'u lexuar sa më parë.

Ku ndalon pamja e paketave

TLS vazhdon ta bëjë punën e vet brenda tunelit, sepse shtrëngimi i duarve zhvillohet midis aplikacionit dhe serverit, jo midis aplikacionit dhe VPN-së. VPN-ja përcjell tekst të shifruar që nuk mund ta dekriptojë pa çelësat e sesionit. Kjo është arsyeja pse një tunel i vetëm nuk zbulon përmbajtjen e një faqe HTTPS ose të një sesioni poste të mbrojtur.

Metadatat rreth tekstit të shifruar janë një histori tjetër, dhe pikërisht këtu shpërbëhen shumica e pretendimeve të sigurta. IP-ja e destinacionit, porta, madhësitë e paketave dhe kohëzgjatja janë të gjitha të dukshme, plus emri i serverit në TLS ClientHello, i cili zakonisht dërgohet hapur edhe nën TLS 1.3. Encrypted Client Hello e ndryshon këtë, por nuk është universal. DNS i thjeshtë i rrjedh emrat po aq lehtë kur kërkesat dalin pa shifrim.

Protokollet më të vjetra ose të konfiguruara gabimisht dorëzojnë më shumë. HTTP i thjeshtë, IMAP pa TLS dhe një sërë protokollesh lojërash dhe IoT i ekspozojnë ngarkesat e tyre çdo gjëje që mban përshkruesin tun.

Lejet që nuk vijnë kurrë bashkë me të

Miratimi i një VPN nuk miraton kontaktet, SMS-të, fotot ose bibliotekën e medias. Këto janë dhurime të veçanta në kohë ekzekutimi, secili me dritaren e vet dhe rrugën e vet të revokimit në faqen e cilësimeve të aplikacionit. Një klient VPN që dëshiron regjistrin e telefonatave duhet ta kërkojë si çdo aplikacion tjetër, dhe ju mund të refuzoni duke mbajtur tunelin.

Instalimi i certifikatës është ai që duhet ndjekur, sepse duket si pjesë e konfigurimit të VPN-së dhe nuk është. Instalimi i një CA përdoruesi në magazinën e kredencialeve ndryshon cilat certifikata do të pranojë Android, dhe që nga Android 7.0 një aplikacion që synon API 24 ose më të re injoron CA-t e shtuara nga përdoruesi, përveç nëse konfigurimi i sigurisë së rrjetit e pranon atë me një ankorë besimi përdoruesi. Një klient që këmbëngul për një CA mund të bëjë ndërhyrje legjitime korporative, ose mund të kërkojë diçka që dritarja e VPN-së nuk e përmendi kurrë.

Aksesi i aftësive të veçanta qëndron edhe më larg. Një shërbim me aftësi të veçanta të aktivizuara mund të lexojë përmbajtjen e ekranit të aplikacioneve të tjera, gjë që asnjë pozicion në nivel paketash nuk e ofron.

Filtër lokal ose portë e largët

E njëjta API mbulon dy produkte që meritojnë nivele të ndryshme besimi. Një mur zjarri ose bllokues reklamash në pajisje merr përshkruesin tun dhe i përgjigjet trafikut në vend, pa e dërguar kurrë në një server që ai vetë operon. Një tunel i vërtetë i përcjell ato paketa një porte diku tjetër, dhe ai operator i sheh të njëjtat metadata nga ana tjetër dhe vendos gjithashtu çfarë kthehet.

Një mënyrë praktike për t'i dalluar është të kontrolloni adresën tuaj publike me VPN-në ndezur dhe fikur, dhe të shihni nëse njoftimi përmend një pikë fundore të largët. Nëse adresa nuk ndryshon kurrë, trafiku me gjasë po qarkullon në vetë pajisjen.

Të dyja rastet janë ende pozicion paketash. Ndryshimi është se kush tjetër qëndron në dalje.

Auditoni atë që keni miratuar

Hapni Cilësimet, pastaj Rrjeti dhe interneti, pastaj VPN, dhe lexoni zërin, jo ikonën në shiritin e statusit. VPN gjithmonë aktiv dhe Blloko lidhjet pa VPN janë cilësime pajisjeje që e mbajnë ndërfaqen gjallë dhe ndërpresin rrjedhjet; nuk zgjerojnë asgjë. Nga i njëjti ekran mund të harroni profilin dhe të revokoni dhurimin.

Pastaj kaloni nëpër lejet e tjera. Informacioni i aplikacionit tregon cilat dhurime në kohë ekzekutimi mban klienti, dhe cilësimet e Sigurisë tregojnë nëse është instaluar në të njëjtën kohë një certifikatë përdoruesi. Secili prej tyre mund të hiqet në mënyrë të pavarur.

Pyetja që meriton përgjigje është e ngushtë: cilat paketa hyjnë në këtë shërbim, ku shkojnë dhe çfarë mban implementimi. Gjithçka tjetër në dritare është zhurmë. Referenca e VpnService është lista autoritare e asaj që ekspozon ndërfaqja.