VPN uygulaması kişiler ve erişilebilirlik istiyor: neye izin verilmeli

Yükleyici önce ağ erişimi, ardından kişiler, erişilebilirlik ve sertifika kurulumu ister. İşe yalnızca ilk istek aittir. Gerçek karar ikinci ekrandadır.

Her isteği seçtiğiniz bir özelliğe göre, çalıştırdığınız platformda değerlendirin. Hiçbir evrensel izin listesi her VPN ürününü kapsamaz ve uzun bir liste kendi başına hiçbir şeyi kanıtlamaz.

İşin gerçekten ihtiyaç duyduğu tek izin

Android, herhangi bir tünel başlamadan önce kullanıcıdan sistem iletişim penceresi aracılığıyla bir VPN hizmetini onaylamasını ister ve uygulamanın hizmeti BIND_VPN_SERVICE bildirir, böylece sistem ona bağlanabilir. Operasyonel olarak uygulama yönlendirme işini yapar. Onay, cihazı tutan kişiden, uygulamayı adlandıran bir iletişim penceresinde gelir ve sonradan geri almak desteklenen bir eylemdir.

Apple platformları aynı fikri izin ekranı yerine bir ağ uzantısı ve kurulum onayıyla ifade eder. Windows sanal bağdaştırıcı sürücüsü ve yükseltme istemi kullanır. İki biçim, tek anlam: bu program paketleri işleyebilir. Bu yetkilendirmede adres defterinizi okumak veya kendisine sertifika yetkilisi vermek yoktur.

Ek erişim, ayrı etkileri olan ayrı bir izindir. Bunu isteyen bir yönlendirme istemcisinin kendi gerekçesine ihtiyacı vardır.

Ek isteklerin kendi hikâyesine ihtiyaç duyduğu yer

Bir erişilebilirlik hizmeti ekran içeriğini okuyabilir ve sizin adınıza hareket edebilir, bu yönlendirmenin çok ötesindedir. Cihaz yönetimi kilit ilkelerini uygulayabilir ve verileri silebilir. Kullanıcı tarafından kurulan kök sertifika, eşleşen anahtara sahip olanın TLS'in aksi halde koruyacağı trafiği okumasına izin verir.

Bunlardan herhangi biri meşru olabilir. Yönetilen cihaz ve ebeveyn denetimi ürünleri ilke yetkilerine ihtiyaç duyabilir ve bir destek aracı sizi ayarlar boyunca yönlendirmek için erişilebilirliğe ihtiyaç duyabilir.

Gereklilik izlenebilirliktir: istek adlandırılmış bir özelliğe işaret eder ve bu özellik kurduğunuz üründe görünür. Kişilere yönelmeyen bir ekranı olmayan kişi isteminin açıklayacak hiçbir şeyi yoktur. Şifreleme argümanı da geçmez, çünkü paketleri korumak arkadaşlarınızın kim olduğu hakkında hiçbir şey söylemez. Meşru bir ürün dahi paketlenmiş bir kitaplık aracılığıyla fazla şey isteyebilir ve bu, dile getirilecek bir kusurdur, bildirilecek bir suç değildir.

İsteği ve eşlendiği özelliği kaydedin, sonra karar verin. O not aynı zamanda bir özellik retten sonra bozulduğunda desteğe gösterdiğiniz şeydir.

İsteği cihazda okumak

Mağaza listesi niyeti, kurulu paket ise gerçeği tanımlar. Başka herhangi bir şeyi onaylamadan önce paket yöneticisine neyin bildirildiğini ve neyin verildiğini sorun. Bu ikili, bir liste ile manifest anlaşamadığında en çok önem taşır.

İki sorgu bunun çoğunu kapsar:

adb shell dumpsys package com.example.vpn | grep -E "requested permissions|install permissions" -A 30
adb shell cmd appops get com.example.vpn

Birincisi bildirilen izinleri verilenlerle listeler ve fazla geniş bir manifesti ortaya çıkaran karşılaştırma budur. İkincisi, sıradan izin olarak hiç görünmeyen özel erişimler dahil, çalışma zamanı app-ops gösterir. Geliştirici araçlarının bulunmadığı yerlerde aynı gerçekleri platformun ayarlar ekranlarından okuyun.

Bu ekranlar bir dakika sürer ve yazılım gerektirmez. Erişilebilirlik, cihaz yönetimi ve sertifika deposu her biri izni elinde tutan uygulamaları listeler.

Karar vermek, sonra hasarı sınırlamak

Ağ yetkilendirmesini seçtiğiniz bir istemciye verin ve her ek isteği kendi kararı olarak değerlendirin. Eşleşen özelliği olmayanları reddedin, sonra neyin bozulduğuna bakın. Kişi erişimi reddedildiğinde başarısız olan bir yönlendirme istemcisi hiçbir zaman sizin adınıza kişi istemiyordu.

Bir izni geri almak genellikle uygulamayı kaldırmadan veya her profili yıkmadan tek bir özelliği devre dışı bırakır. Sonra yeniden bağlanın ve tünelin hâlâ kurulduğunu doğrulayın.

Bir istemin birleştirme eğiliminde olduğu iki soruyu ayırın: bu program cihazda ne yapabilir ve tünel açıldıktan sonra işletmecisi trafikle ne yapar. Birincisi burada yanıtlanır. İkincisi bir saklama politikası gerektirir ve hiçbir iletişim penceresi onu sağlamaz.