VPN ya Android dhidi ya ruhusa za programu: onyo linamaanisha nini

Madirisha mawili ya Android huchanganywa kila mara: ombi la idhini ya VPN na maombi ya ruhusa ambayo programu hufanya kwa data yako. La kwanza hutoa nafasi ya mtandao, mahali ambapo pakiti zinaweza kusomwa na kuandikwa upya. La pili hutoa maudhui yaliyohifadhiwa ambayo Android hulinda programu kwa programu. Kuyachukua kama kitu kimoja ama hukuza kile tuneli inaweza kuona, au hupuuza kabisa kile ambacho programu yenye msimamo itaomba baadaye.

Dirisha la idhini hutoa nini hasa

Programu inayotekeleza VpnService na kutangaza BIND_VPN_SERVICE huomba mfumo kuwa VPN ya kifaa. Baada ya idhini, mfumo huunda kiolesura cha tun na kumpa programu kifafanuzi cha faili kwa ajili yake. Kila kitu ambacho programu hufanya baadaye hupita katika kifafanuzi hicho: inasoma pakiti za IP nje, huamua nini cha kufanya nazo, na huandika pakiti tena ndani.

Wigo wa kiolesura hicho uko wazi. Njia huamua ni maeneo gani yanayokamatwa, na addAllowedApplication au addDisallowedApplication huamua ni programu zipi zinazoilisha. VPN kwa kila programu inayoorodhesha programu mbili haioni sehemu iliyobaki ya kifaa.

Hii ni ruhusa ya kiwango cha pakiti, si ya kiwango cha data. Huduma huona baiti ambazo programu hukabidhi kwa mrundikano wa mtandao, zikielekezwa mahali. Haipati ufikiaji wa hazina ya faragha ya programu inayotuma, faili zake za hifadhidata au kumbukumbu yake iliyofunguliwa. Faili ambazo programu imehifadhi ndani ya sanduku lake la mchanga zinabaki kuwa ngumu kusoma kama zamani.

Mahali mtazamo wa pakiti unapoishia

TLS bado hufanya kazi yake ndani ya tuneli, kwa sababu makubaliano ya mkono hufanyika kati ya programu na seva, si kati ya programu na VPN. VPN hupitisha maandishi yaliyosimbwa ambayo haiwezi kuyafungua bila funguo za kikao. Ndiyo sababu tuneli peke yake haifichui maudhui ya ukurasa wa HTTPS au kikao cha barua kilicholindwa.

Metadata inayozunguka maandishi yaliyosimbwa ni hadithi nyingine, na hapa ndipo madai mengi ya kujiamini yanapoanguka. IP ya marudio, bandari, ukubwa wa pakiti na muda vyote vinaonekana, pamoja na jina la seva ndani ya TLS ClientHello, ambalo kwa kawaida hutumwa wazi hata chini ya TLS 1.3. Encrypted Client Hello hubadilisha hilo, lakini si kwa wote. DNS ya kawaida pia huvujisha majina kwa urahisi huo huo wakati maswali yanatoka bila usimbaji fiche.

Itifaki za zamani au zilizowekwa vibaya hutoa zaidi. HTTP ya kawaida, IMAP bila TLS na itifaki kadhaa za michezo na IoT hufichua mizigo yao kwa chochote kilicho na kifafanuzi cha tun.

Ruhusa ambazo haziji kamwe pamoja nayo

Kuidhinisha VPN hakuidhinishi anwani, SMS, picha au hazina ya vyombo vya habari. Hizo ni ruhusa tofauti za wakati wa utekelezaji, kila moja na dirisha lake na njia yake ya kufuta kwenye ukurasa wa mipangilio ya programu. Mteja wa VPN anayetaka kumbukumbu yako ya simu lazima aiombe kama programu nyingine yoyote, na unaweza kukataa huku ukibakiza tuneli.

Usakinishaji wa cheti ndicho cha kuangalia, kwa sababu kinaonekana kama sehemu ya usanidi wa VPN lakini si hivyo. Kusakinisha CA ya mtumiaji katika hazina ya vitambulisho hubadilisha ni vyeti vipi Android itakubali, na tangu Android 7.0 programu inayolenga API 24 au zaidi hupuuza CA zilizoongezwa na mtumiaji isipokuwa usanidi wake wa usalama wa mtandao ukizikubali kwa nanga ya uaminifu ya mtumiaji. Mteja anayesisitiza CA anaweza kuwa anafanya uingiliaji halali wa shirika, au anaweza kuwa anaomba kitu ambacho dirisha la VPN halikutaja kamwe.

Ufikiaji wa vipengele vya ufikivu uko mbali zaidi. Huduma iliyo na ufikivu umewezeshwa inaweza kusoma maudhui ya skrini ya programu nyingine, jambo ambalo hakuna nafasi ya kiwango cha pakiti inayotoa.

Kichujio cha ndani au lango la mbali

API hiyo hiyo inashughulikia bidhaa mbili zinazostahili viwango tofauti vya uaminifu. Ukuta wa moto au kizuizi cha matangazo kwenye kifaa huchukua kifafanuzi cha tun na kujibu trafiki kwa ndani, bila kuituma kamwe kwa seva inayoendesha yenyewe. Tuneli halisi hupitisha pakiti hizo kwa lango mahali pengine, na mwendeshaji huyo huona metadata hiyo hiyo kutoka upande mwingine na pia huamua nini kinarudi.

Njia ya vitendo ya kuzitofautisha ni kukagua anwani yako ya umma wakati VPN imewashwa na imezimwa, na kuona kama arifa inataja kituo cha mbali. Ikiwa anwani haibadiliki kamwe, trafiki pengine inazunguka kwenye kifaa chenyewe.

Kesi zote mbili bado ni nafasi ya pakiti. Tofauti ni nani mwingine amesimama kwenye njia ya kutoka.

Kagua ulichokubali

Fungua Settings, kisha Network and internet, kisha VPN, na soma kiingilio badala ya aikoni kwenye upau wa hali. Always-on VPN na Zuia miunganisho bila VPN ni mipangilio ya kifaa inayohifadhi kiolesura hai na kukata uvujaji; hazipanui chochote. Kutoka skrini hiyo hiyo unaweza kusahau wasifu na kuondoa idhini.

Kisha pitia ruhusa nyingine. App info huonyesha ruhusa zipi za wakati wa utekelezaji mteja anazo, na mipangilio ya Security huonyesha kama cheti cha mtumiaji kilisakinishwa wakati huo huo. Yoyote kati yao inaweza kuondolewa kwa kujitegemea.

Swali linalostahili kujibiwa ni finyu: ni pakiti zipi zinazoingia katika huduma hii, zinaenda wapi, na utekelezaji huhifadhi nini. Kila kitu kingine kwenye dirisha ni kelele. Marejeo ya VpnService ni orodha yenye mamlaka ya kile kiolesura hufichua.