Babala sa pagmamanman ng network sa Android: basahin ang pagbabago ng tiwala

Tatlong abiso ang magkamukha sa telepono, at isa lamang sa kanila ang tungkol sa sertipiko. Ang linya ng status ng VPN, babala ng trust store at banner ng pinamamahalaang device ay bawat isa ay may ibang kontrol, at ang app sa screen sa sandaling iyon ay maaaring wala sa mga ito. Ang pagbasa muna ng eksaktong pananalita ay nagliligtas sa iyo mula sa pagbura ng maling bagay. Gawin ang limang pagsusuri sa ibaba nang sunod-sunod at huminto sa unang mabibigo, dahil ang tamang aksyon ay ganap na nagbabago sa bawat hakbang.

Hakbang 0: tukuyin kung aling abiso ang tinitingnan mo

Mas mahalaga ang pananalita kaysa icon. Ang abiso ng status ng VPN ay nangangahulugang may app na may aktibong VpnService. Ang babala ng sertipiko ay nangangahulugang may naka-install sa trust store. Ang abiso ng pinamamahalaang device ay nangangahulugang may administrator na naglapat ng patakaran, na maaaring nag-install ng tiwala bilang bahagi ng patakarang iyon.

Kapag literal na sinasabi ng teksto ang «Network may be monitored», ang nagpadala ay ang system at hindi ang VPN provider: ipiniprint ng Android ang linyang iyon tuwing may app na may aktibong VpnService, kaya ginagawa ito ng karaniwang komersyal na kliyente nang walang inilalagay sa trust store. Dalawa sa tatlong abiso ay maaaring totoo nang sabay, kaya karaniwang ang mali ang binabanggit ng reklamo. Kung sinasabi ng pangungusap na may naka-install na CA, ang VPN ay pinakamarami nang suspek, at ang pag-uninstall nito ay maaaring iwan ang babala sa eksaktong dating lugar nito.

Hakbang 1: hanapin ang kredensyal at ang imbakan nito

Sa Android 9 hanggang 12 ang landas ay Mga Setting, pagkatapos Seguridad, pagkatapos Encryption at mga kredensyal, pagkatapos Mga pinagkakatiwalaang kredensyal; inililipat ng Android 13 at mas bago ang parehong screen sa Seguridad at privacy, pagkatapos Iba pang mga setting ng seguridad, at pinapalitan ng mga skin ng gumawa ang mga pangalan ng antas, kaya kapag hindi tugma ang landas hanapin ang «Mga pinagkakatiwalaang kredensyal» sa app na Mga Setting. Ang tab na User ay may mga awtoridad na inilagay ng isang tao o app, at ang tab na System ay may kasama ng build. Ang awtoridad na itinulak ng pamamahala ay lumilitaw sa pamamagitan ng patakaran ng device o sa loob ng work profile, hindi bilang ordinaryong tap sa user store.

Itala ang issuer, mga petsa ng validity at kung sino ang nag-install. Kung wala talaga ang entry sa user store, huminto dito, dahil item ito ng system o pinamamahalaan at hindi mo trabaho na burahin ito mula sa screen ng mga setting. Ang pagbura ng maling row doon ang paraan ng pagkawala ng Wi-Fi o work login ng telepono habang nananatiling walang sagot ang tanong ng tiwala.

Hakbang 2: paghiwalayin ang CA ng profile ng VPN at ang tiwala ng telepono

Ang profile ng OpenVPN, o anumang kliyenteng nagpapatunay ng server nito sa pamamagitan ng TLS, ay maaaring magdala ng CA na ginagamit lamang ng kliyenteng iyon upang i-verify ang sarili nitong server. Walang dalang CA ang profile ng WireGuard: umaasa ito sa mga pares ng pampublikong key, kaya ang awtoridad sa trust store ng Android ay hindi kailanman maaaring nagmula sa isang configuration ng WireGuard. Ang certificate na lokal sa profile ay hindi umabot sa ibang app, at ang pagkopya nito sa system trust store ay hiwalay na operasyon na may hiwalay na saklaw ng epekto. Ang paghihiwalay ng dalawang ito ang buong layunin ng hakbang na ito, dahil ang pangalawa lamang ang nagbabago sa tatanggapin ng ibang app.

Kaya ang profile ng VPN na may CA ay hindi patunay ng interception, at ang app ng VPN ay hindi may-ari ng trust entry na hindi nito kailanman ginawa. Mura ang pagsubok: ihinto ang VPN at basahin muli ang abiso. Kung naroon pa rin ang babala ng sertipiko, hindi ito inilagay ng VPN doon at hindi ito aalisin ng pagtanggal ng app.

Hakbang 3: ibukod ang awtoridad ng server sa pagkakakilanlan ng kliyente

Ang certificate ng pagkakakilanlan ng kliyente at ang pribadong key nito ay nagpapatunay ng device na ito sa isang server. Ang CA ay pinagkakatiwalaan upang magpatunay ng mga server sa mga app. Sila ay iniimbak nang magkasama at magkamukha sa isang listahan, ngunit ganap na magkaibang trabaho ang ginagawa.

Ang pagtanggal ng pagkakakilanlan ng kliyente ay maaaring makasira ng authentication ng Wi-Fi o VPN nang walang ginagawa para sa tiwala sa HTTPS, at ang pagtanggal ng CA ay nakakaapekto sa bawat app na tumatanggap ng awtoridad na iyon. Magpasya kung alin sa dalawa ang tinitingnan mo bago pindutin ang anuman, dahil pinangalanan ng sagot ang may-ari at ang landas ng pagbawi.

Hakbang 4: itanong kung aling app ang talagang nagtitiwala rito

Ang Network Security Configuration ng Android ang nagtatakda ng hangganan ng app. Ang mga app na nag-target ng API 24 o mas bago ay nagtitiwala sa mga awtoridad ng system bilang default, habang ang mga app na nag-target ng API 23 o mas luma ay nagtitiwala rin sa mga awtoridad na idinagdag ng user bilang default, at ang isang app ay maaaring magpangalan ng sarili nitong anchor, magdagdag ng mga patakaran ayon sa domain o lubusang umalis sa mga default.

Kaya ang «naka-install sa telepono» ay hindi naglalarawan ng tiwala sa HTTPS ng bawat app: ang awtoridad na idinagdag ng user ay maaaring igalang ng lumang app, balewalain ng kasalukuyang app at tiwalaan nang tahasan ng app na may sariling anchor. Kung ang awtoridad ay inilagay para sa work Wi-Fi, pribadong web service o aprubadong inspeksyon, ang kapaki-pakinabang na tanong ay aling app at profile ang umaasa rito. Ang gabay sa Network Security Configuration ang sanggunian kung gaano kalayo umaabot ang naka-install na awtoridad sa isang partikular na app, at iyon ang bahaging iniiwan ng karamihan sa mga buod ng babalang ito.

Hakbang 5: magpasya, pagkatapos itala ang may-ari at ang plano sa paglabas

Kung inaasahan ang awtoridad, idokumento kung sino ang nag-install, aling koneksyon ang umaasa rito at paano ito aalisin. Ang magtiwala sa isang awtoridad ay makabuluhang desisyon kahit walang interception ngayon, dahil ang tiwalang iyon ang nagpapahintulot ng interception mamaya.

Kung hindi ito inaasahan, mag-imbestiga sa pamamagitan ng may-ari ng device o serbisyo bago maglagay ng sensitibong data sa teleponong iyon. Kung laos na ito, alisin ang partikular na item na iyon sa pamamagitan ng nag-install nito, pagkatapos tingnan kung ano ang umaasa rito, at huwag kailanman magsimula sa pagbura ng lahat ng kredensyal. Ang pagtatago ng babala ay nagbabago ng display at wala nang iba. Ang pribadong key o buong profile ay hindi dapat kailanman i-upload sa pampublikong serbisyo ng pagsusuri ng sertipiko upang lutasin ang tanong.

Bago umalis sa screen gusto mo ng tatlong sagot: sino ang nag-install, aling koneksyon ang umaasa rito at paano ito inaalis.