คำเตือนการเฝ้าตรวจเครือข่าย Android: อ่านการเปลี่ยนแปลงของความเชื่อถือ
การแจ้งเตือนการเฝ้าตรวจ, CA ที่ติดตั้งไว้ และนโยบายที่จัดการอยู่เป็นสามสิ่งที่แตกต่างกัน ตรวจสอบว่า Android รายงานอะไรก่อนลบข้อมูลรับรอง
บนโทรศัพท์มีสามการแจ้งเตือนที่ดูคล้ายกัน และมีเพียงอันเดียวที่เกี่ยวกับใบรับรอง บรรทัดสถานะ VPN คำเตือนของที่เก็บความเชื่อถือ และแบนเนอร์อุปกรณ์ที่ถูกจัดการ แต่ละอย่างระบุการควบคุมที่แตกต่างกัน และแอปที่อยู่บนหน้าจอในขณะนั้นอาจไม่ได้เป็นเจ้าของสักอย่าง การอ่านถ้อยคำให้ถูกต้องก่อนช่วยให้คุณไม่ลบสิ่งที่ผิด ทำการตรวจสอบทั้งห้าข้อด้านล่างตามลำดับและหยุดที่ข้อแรกที่ล้มเหลว เพราะการกระทำที่ถูกต้องเปลี่ยนไปทั้งหมดในแต่ละขั้น
ขั้นที่ 0: ระบุว่าคุณกำลังดูการแจ้งเตือนใด
ถ้อยคำสำคัญกว่าไอคอน การแจ้งเตือนสถานะ VPN หมายความว่าแอปถือ VpnService ที่ทำงานอยู่ คำเตือนใบรับรองหมายความว่ามีบางสิ่งติดตั้งอยู่ในที่เก็บความเชื่อถือ การแจ้งเตือนอุปกรณ์ที่ถูกจัดการหมายความว่าผู้ดูแลระบบใช้นโยบาย ซึ่งอาจติดตั้งความเชื่อถือเป็นส่วนหนึ่งของนโยบายนั้น
| Notice | What it asserts | First check |
|---|---|---|
| VPN status | An app is running a local VPN service | Which app holds the active VPN right now |
| Certificate authority installed | A CA exists in a trust store | Issuer, validity and which store holds it |
| Managed device or profile | An administrator owns part of the configuration | Whether device policy installed the credential |
เมื่อข้อความระบุตรง ๆ ว่า «Network may be monitored» ผู้ส่งคือระบบไม่ใช่ผู้ให้บริการ VPN: Android พิมพ์บรรทัดนั้นทุกครั้งที่แอปถือ VpnService ที่ทำงานอยู่ ดังนั้นไคลเอนต์เชิงพาณิชย์ทั่วไปจึงสร้างข้อความนี้โดยไม่ใส่อะไรลงในที่เก็บความเชื่อถือ การแจ้งเตือนสองในสามอย่างอาจเป็นจริงพร้อมกันได้ จึงเป็นเหตุให้คำร้องเรียนมักระบุข้อที่ผิด หากประโยคบอกว่าติดตั้ง CA ไว้ VPN เป็นได้อย่างมากก็เพียงผู้ต้องสงสัย และการถอนการติดตั้งอาจทำให้คำเตือนอยู่ที่เดิม
ขั้นที่ 1: ค้นหาข้อมูลรับรองและที่เก็บของมัน
บน Android 9 ถึง 12 เส้นทางคือ การตั้งค่า จากนั้นความปลอดภัย จากนั้นการเข้ารหัสและข้อมูลรับรอง จากนั้นข้อมูลรับรองที่เชื่อถือได้; Android 13 และใหม่กว่าย้ายหน้าจอเดียวกันไปไว้ใต้ความปลอดภัยและความเป็นส่วนตัว จากนั้นการตั้งค่าความปลอดภัยเพิ่มเติม และสกินของผู้ผลิตเปลี่ยนชื่อระดับอีกครั้ง ดังนั้นเมื่อเส้นทางไม่ตรงกันให้ค้นหา «ข้อมูลรับรองที่เชื่อถือได้» ในแอปการตั้งค่า แท็บผู้ใช้มีหน่วยรับรองที่บุคคลหรือแอปติดตั้งไว้ และแท็บระบบมีสิ่งที่มาพร้อมกับบิลด์ หน่วยรับรองที่ถูกผลักโดยการจัดการจะปรากฏผ่านนโยบายอุปกรณ์หรือภายในโปรไฟล์งาน ไม่ใช่การแตะธรรมดาในที่เก็บผู้ใช้
บันทึกผู้ออก วันหมดอายุ และใครเป็นผู้ติดตั้ง หากไม่มีรายการนั้นในที่เก็บผู้ใช้เลย ให้หยุดตรงนี้ เพราะเป็นรายการของระบบหรือถูกจัดการ และไม่ใช่หน้าที่ของคุณที่จะลบออกจากหน้าจอการตั้งค่า การลบแถวผิดตรงนั้นคือวิธีที่โทรศัพท์สูญเสีย Wi-Fi หรือการเข้าสู่ระบบงาน ในขณะที่คำถามเรื่องความเชื่อถือยังไม่มีคำตอบ
ขั้นที่ 2: แยก CA ของโปรไฟล์ VPN ออกจากความเชื่อถือของโทรศัพท์
โปรไฟล์ OpenVPN หรือไคลเอนต์ใดก็ตามที่ตรวจสอบเซิร์ฟเวอร์ของตนผ่าน TLS อาจมี CA ที่มีเพียงไคลเอนต์นั้นใช้เพื่อตรวจสอบเซิร์ฟเวอร์ของตัวเอง โปรไฟล์ WireGuard ไม่มี CA เลย: มันอาศัยคู่กุญแจสาธารณะ ดังนั้นหน่วยรับรองในที่เก็บความเชื่อถือของ Android จึงไม่มีทางมาจากการกำหนดค่า WireGuard ได้ ใบรับรองที่เป็นของโปรไฟล์นั้นไปไม่ถึงแอปอื่นเลย และการคัดลอกไปยังที่เก็บความเชื่อถือของระบบเป็นการดำเนินการแยกที่มีขอบเขตผลกระทบแยก การแยกสองสิ่งนี้ออกจากกันคือเป้าหมายทั้งหมดของขั้นนี้ เพราะมีเพียงอย่างที่สองเท่านั้นที่เปลี่ยนสิ่งที่แอปอื่นจะยอมรับ
ดังนั้นโปรไฟล์ VPN ที่มี CA จึงไม่ใช่หลักฐานของการดักฟัง และแอป VPN ไม่ใช่เจ้าของรายการความเชื่อถือที่มันไม่เคยสร้าง การทดสอบราคาถูก: หยุด VPN แล้วอ่านการแจ้งเตือนอีกครั้ง หากคำเตือนใบรับรองยังอยู่ที่นั่น VPN ไม่ได้วางไว้ตรงนั้นและการถอนแอปจะไม่ลบมัน
ขั้นที่ 3: แยกหน่วยรับรองของเซิร์ฟเวอร์ออกจากตัวตนของไคลเอนต์
ใบรับรองตัวตนไคลเอนต์และกุญแจส่วนตัวของมันตรวจสอบอุปกรณ์นี้กับเซิร์ฟเวอร์ CA ได้รับความเชื่อถือเพื่อตรวจสอบเซิร์ฟเวอร์กับแอป ทั้งสองถูกเก็บร่วมกันและดูคล้ายกันในรายการ แต่ทำงานต่างกันอย่างสิ้นเชิง
การลบตัวตนไคลเอนต์อาจทำให้การตรวจสอบสิทธิ์ Wi-Fi หรือ VPN เสียหายโดยไม่ทำอะไรกับความเชื่อถือ HTTPS และการลบ CA ส่งผลต่อทุกแอปที่ยอมรับหน่วยรับรองนั้น ตัดสินใจว่าคุณกำลังดูสิ่งใดในสองสิ่งก่อนกดอะไร เพราะคำตอบระบุเจ้าของและเส้นทางการกู้คืน
ขั้นที่ 4: ถามว่าแอปใดเชื่อถือมันจริง ๆ
การกำหนดค่าความปลอดภัยเครือข่ายของ Android กำหนดขอบเขตของแอป แอปที่กำหนดเป้าหมาย API 24 หรือใหม่กว่าเชื่อถือหน่วยรับรองของระบบโดยค่าเริ่มต้น ในขณะที่แอปที่กำหนดเป้าหมาย API 23 หรือเก่ากว่าเชื่อถือหน่วยรับรองที่ผู้ใช้เพิ่มด้วยโดยค่าเริ่มต้น และแอปสามารถระบุสมอกุญแจของตัวเอง เพิ่มกฎตามโดเมน หรือออกจากค่าเริ่มต้นทั้งหมดได้
ดังนั้น «ติดตั้งบนโทรศัพท์» ไม่ได้อธิบายความเชื่อถือ HTTPS ของทุกแอป: หน่วยรับรองที่ผู้ใช้เพิ่มอาจได้รับการเคารพจากแอปเก่า ถูกเพิกเฉยจากแอปปัจจุบัน และได้รับความเชื่อถืออย่างชัดเจนจากแอปที่นำสมอกุญแจของตัวเองมา หากหน่วยรับรองถูกติดตั้งสำหรับ Wi-Fi งาน บริการเว็บส่วนตัว หรือการตรวจสอบที่ได้รับอนุมัติ คำถามที่มีประโยชน์คือแอปและโปรไฟล์ใดที่พึ่งพามัน คู่มือการกำหนดค่าความปลอดภัยเครือข่าย เป็นเอกสารอ้างอิงว่าหน่วยรับรองที่ติดตั้งไปได้ไกลแค่ไหนในแอปที่กำหนด และเป็นส่วนที่บทสรุปส่วนใหญ่ของคำเตือนนี้ละไว้
ขั้นที่ 5: ตัดสินใจ แล้วบันทึกเจ้าของและแผนการออก
หากหน่วยรับรองเป็นสิ่งที่คาดไว้ ให้บันทึกว่าใครติดตั้ง การเชื่อมต่อใดพึ่งพามัน และจะปลดระวางอย่างไร การเชื่อถือหน่วยรับรองเป็นการตัดสินใจที่มีความหมายแม้ในวันนี้จะไม่มีการดักฟัง เพราะความเชื่อถือนั่นเองที่ทำให้การดักฟังเป็นไปได้ในภายหลัง
หากเป็นสิ่งที่ไม่คาดคิด ให้สอบสวนผ่านเจ้าของอุปกรณ์หรือบริการก่อนป้อนข้อมูลอ่อนไหวลงในโทรศัพท์นั้น หากล้าสมัยแล้ว ให้ลบรายการที่เฉพาะเจาะจงนั้นผ่านผู้ที่ติดตั้งมัน หลังจากตรวจสอบว่ามีอะไรพึ่งพามัน และอย่าเริ่มด้วยการล้างข้อมูลรับรองทั้งหมด การซ่อนคำเตือนเปลี่ยนเพียงการแสดงผลและไม่เปลี่ยนอย่างอื่น กุญแจส่วนตัวหรือโปรไฟล์ทั้งหมดไม่ควรถูกอัปโหลดไปยังบริการตรวจสอบใบรับรองสาธารณะเพื่อแก้คำถาม
ก่อนออกจากหน้าจอ คุณต้องการสามคำตอบ: ใครติดตั้งมัน การเชื่อมต่อใดพึ่งพามัน และมันถูกปลดระวางอย่างไร