Android-varning om nätverksövervakning: läs ändringen i förtroende

Tre aviseringar ser likadana ut på en telefon, och bara en av dem handlar om ett certifikat. En VPN-statusrad, en varning från förtroendelagret och en banner för hanterad enhet anger var sin kontroll, och appen som är på skärmen just nu äger kanske ingen av dem. Att läsa den exakta formuleringen först räddar dig från att radera fel sak. Gå igenom de fem kontrollerna nedan i ordning och stanna vid den första som misslyckas, eftersom rätt åtgärd ändras helt vid varje steg.

Steg 0: identifiera vilken avisering du tittar på

Formuleringen betyder mer än ikonen. En VPN-statusavisering betyder att en app håller en aktiv VpnService. En certifikatvarning betyder att något är installerat i ett förtroendelager. En avisering om hanterad enhet betyder att en administratör har tillämpat en policy, som kan ha installerat förtroendet som en del av den policyn.

När texten bokstavligen säger «Network may be monitored» är avsändaren systemet och inte VPN-leverantören: Android skriver ut den raden varje gång en app håller en aktiv VpnService, så en vanlig kommersiell klient producerar den utan att lägga något i förtroendelagret. Två av de tre aviseringarna kan vara sanna samtidigt, och därför namnger klagomålet oftast den felaktiga. Om meningen säger att ett CA är installerat är VPN:en som mest en misstänkt, och att avinstallera den kan lämna varningen exakt där den var.

Steg 1: hitta autentiseringsuppgiften och dess lager

På Android 9 till 12 är vägen Inställningar, sedan Säkerhet, sedan Kryptering och autentiseringsuppgifter, sedan Betrodda autentiseringsuppgifter; Android 13 och senare flyttar samma skärm till Säkerhet och integritet, sedan Fler säkerhetsinställningar, och tillverkarnas skal byter namn på nivåerna igen, så sök i Inställningar-appen efter «Betrodda autentiseringsuppgifter» när vägen inte stämmer. Fliken Användare innehåller utfärdare som installerats av en person eller app, och fliken System innehåller det som följde med bygget. En utfärdare som skjuts ut av hanteringen visas via enhetspolicyn eller inuti en arbetsprofil, inte som en vanlig tryckning i användarlagret.

Anteckna utfärdaren, giltighetsdatumen och vem som installerade den. Om posten inte alls finns i användarlagret, stanna här, eftersom det är ett system- eller hanterat objekt och det är inte din uppgift att radera det från en inställningsskärm. Att radera fel rad där är hur en telefon förlorar Wi-Fi eller en arbetsinloggning medan förtroendefrågan förblir obesvarad.

Steg 2: skilj CA:n i en VPN-profil från telefonens förtroende

En OpenVPN-profil, eller vilken klient som helst som autentiserar sin server över TLS, kan bära ett CA som bara den klienten använder för att verifiera sin egen server. En WireGuard-profil bär inget CA alls: den bygger på par av offentliga nycklar, så en utfärdare i Androids förtroendelager kan aldrig ha kommit från en WireGuard-konfiguration. Det profillokala certifikatet når ingen annan app, och att kopiera det till systemets förtroendelager är en separat åtgärd med ett separat påverkansområde. Att hålla de två åtskilda är hela poängen med detta steg, eftersom bara det andra ändrar vad andra appar accepterar.

En VPN-profil som innehåller ett CA är därför inte bevis på avlyssning, och en VPN-app är inte ägare till en förtroendepost som den aldrig har skapat. Testet är billigt: stoppa VPN:en och läs aviseringen igen. Om certifikatvarningen fortfarande finns där satte VPN:en den inte där, och att ta bort appen tar inte bort den.

Steg 3: skilj en serverutfärdare från en klientidentitet

Ett klientidentitetscertifikat och dess privata nyckel autentiserar den här enheten mot en server. Ett CA är betrott att autentisera servrar mot appar. De lagras tillsammans och ser lika ut i en lista, men utför helt olika uppgifter.

Att ta bort en klientidentitet kan bryta Wi-Fi- eller VPN-autentisering utan att göra något för HTTPS-förtroendet, och att ta bort ett CA påverkar varje app som accepterar den utfärdaren. Bestäm vilken av de två du tittar på innan du trycker på något, eftersom svaret namnger ägaren och återställningsvägen.

Steg 4: fråga vilka appar som faktiskt litar på den

Androids nätverkssäkerhetskonfiguration sätter appens gräns. Appar som riktar sig mot API 24 eller senare litar som standard på systemutfärdare, medan appar som riktar sig mot API 23 eller äldre som standard också litar på utfärdare som användaren har lagt till, och en app kan namnge sina egna ankare, lägga till regler per domän eller helt avstå från standardvärdena.

Så «installerat på telefonen» beskriver inte varje apps HTTPS-förtroende: en utfärdare som användaren har lagt till kan respekteras av en äldre app, ignoreras av en nuvarande och uttryckligen betros av en app som har egna ankare. Om utfärdaren installerades för arbets-Wi-Fi, en privat webbtjänst eller en godkänd granskning är den användbara frågan vilka appar och profiler som är beroende av den. Guiden för nätverkssäkerhetskonfiguration är referensen för hur långt en installerad utfärdare når i en viss app, och det är den del som de flesta sammanfattningar av den här varningen utelämnar.

Steg 5: bestäm, och registrera sedan ägaren och utträdesplanen

Om utfärdaren är förväntad, dokumentera vem som installerade den, vilka anslutningar som är beroende av den och hur den ska avvecklas. Att lita på en utfärdare är ett betydelsefullt beslut även när ingen avlyssning sker i dag, eftersom det är förtroendet som gör avlyssning möjlig senare.

Om den är oväntad, undersök genom ägaren av enheten eller tjänsten innan du anger känsliga data på den telefonen. Om den är föråldrad, ta bort just det objektet genom den som installerade det, efter att ha kontrollerat vad som är beroende av det, och börja aldrig med att radera alla autentiseringsuppgifter. Att dölja varningen ändrar visningen och ingenting annat. En privat nyckel eller en fullständig profil bör aldrig laddas upp till en offentlig certifikatkontrolltjänst för att avgöra frågan.

Innan du lämnar skärmen vill du ha tre svar: vem som installerade den, vilka anslutningar som är beroende av den och hur den avvecklas.