Попередження про моніторинг мережі Android: прочитайте зміну довіри

Три повідомлення на телефоні виглядають схоже, і лише одне з них про сертифікат. Рядок стану VPN, попередження сховища довіри та банер керованого пристрою називають кожен свій елемент керування, а застосунок на екрані в цей момент може не володіти жодним із них. Читання точного формулювання першим рятує від видалення не того. Виконайте п’ять перевірок нижче по порядку і зупиніться на першій невдачі, бо правильна дія на кожному кроці змінюється повністю.

Крок 0: визначте, яке повідомлення ви бачите

Формулювання важливіше за піктограму. Повідомлення про стан VPN означає, що застосунок утримує активний VpnService. Попередження про сертифікат означає, що щось встановлено в сховищі довіри. Повідомлення про керований пристрій означає, що адміністратор застосував політику, яка могла встановити довіру як частину цієї політики.

Коли текст буквально каже «Network may be monitored», відправник — система, а не постачальник VPN: Android друкує цей рядок щоразу, коли застосунок утримує активний VpnService, тож звичайний комерційний клієнт створює його, нічого не кладучи до сховища довіри. Два з трьох повідомлень можуть бути правдивими одночасно, тому скарга зазвичай називає неправильне. Якщо речення каже, що CA встановлено, VPN — щонайбільше підозрюваний, і його видалення може залишити попередження точно там, де воно було.

Крок 1: знайдіть облікові дані та їхнє сховище

На Android 9–12 шлях такий: Налаштування, потім Безпека, потім Шифрування та облікові дані, потім Довірені облікові дані; Android 13 і новіші переносять той самий екран у розділ Безпека та конфіденційність, потім Додаткові налаштування безпеки, а оболонки виробників знову перейменовують рівні, тому якщо шлях не збігається, знайдіть у застосунку «Налаштування» «Довірені облікові дані». Вкладка «Користувач» містить центри, встановлені людиною або застосунком, а вкладка «Система» — те, що прийшло з прошивкою. Центр, просунутий керуванням, з’являється через політику пристрою або всередині робочого профілю, а не як звичайне натискання в користувацькому сховищі.

Запишіть видавця, терміни дії та того, хто це встановив. Якщо запису взагалі немає в користувацькому сховищі, зупиніться тут, бо це системний або керований елемент, і не вам видаляти його з екрана налаштувань. Видалення не того рядка там — це спосіб, у який телефон втрачає Wi-Fi або робочий вхід, поки питання довіри залишається без відповіді.

Крок 2: відокремте CA профілю VPN від довіри телефона

Профіль OpenVPN або будь-який клієнт, що автентифікує свій сервер через TLS, може містити CA, який використовує лише цей клієнт для перевірки власного сервера. Профіль WireGuard взагалі не містить CA: він спирається на пари відкритих ключів, тож центр у сховищі довіри Android ніколи не міг походити з конфігурації WireGuard. Цей сертифікат, локальний для профілю, не досягає жодного іншого застосунку, а його копіювання до системного сховища довіри — окрема операція з окремою зоною впливу. Розділяти ці дві речі — увесь сенс цього кроку, бо лише друга змінює те, що приймуть інші застосунки.

Тож профіль VPN із CA не є доказом перехоплення, а застосунок VPN не є власником запису довіри, якого він ніколи не створював. Перевірка дешева: зупиніть VPN і перечитайте повідомлення. Якщо попередження про сертифікат усе ще там, VPN його туди не ставив, і видалення застосунку його не прибере.

Крок 3: відрізніть центр сервера від ідентичності клієнта

Сертифікат ідентичності клієнта та його закритий ключ автентифікують цей пристрій перед сервером. CA довіряють, щоб він автентифікував сервери перед застосунками. Вони зберігаються разом і в списку виглядають схоже, але виконують зовсім різні завдання.

Видалення ідентичності клієнта може зламати автентифікацію Wi-Fi або VPN, нічого не зробивши для довіри HTTPS, а видалення CA впливає на кожен застосунок, який приймає цей центр. Вирішіть, що з двох ви бачите, перш ніж щось натискати, бо відповідь називає власника та шлях відновлення.

Крок 4: запитайте, які застосунки справді йому довіряють

Конфігурація мережевої безпеки Android задає межу застосунку. Застосунки з цільовим API 24 або новішим за замовчуванням довіряють системним центрам, а застосунки з цільовим API 23 або старішим за замовчуванням довіряють і центрам, доданим користувачем, і застосунок може назвати власні якорі, додати правила за доменом або повністю вийти з типових значень.

Тож «встановлено на телефоні» не описує довіру HTTPS кожного застосунку: центр, доданий користувачем, може поважати старіший застосунок, ігнорувати поточний і явно довіряти застосунок, що приносить власні якорі. Якщо центр встановлено для робочого Wi-Fi, приватного вебсервісу або схваленої перевірки, корисне питання — які застосунки та профілі від нього залежать. Посібник із конфігурації мережевої безпеки — це джерело про те, наскільки далеко встановлений центр діє в конкретному застосунку, і саме цю частину більшість підсумків цього попередження оминає.

Крок 5: вирішіть, потім запишіть власника та план виходу

Якщо центр очікуваний, задокументуйте, хто його встановив, які з’єднання від нього залежать і як його буде виведено. Довіряти центру — значуще рішення, навіть коли сьогодні перехоплення немає, бо саме довіра робить перехоплення можливим пізніше.

Якщо він неочікуваний, розберіться через власника пристрою або сервісу, перш ніж вводити на цьому телефоні конфіденційні дані. Якщо він застарілий, видаліть саме цей елемент через того, хто його встановив, перевіривши, що від нього залежить, і ніколи не починайте з очищення всіх облікових даних. Приховування попередження змінює відображення і більше нічого. Закритий ключ або повний профіль ніколи не слід завантажувати до публічного сервісу перевірки сертифікатів, щоб вирішити питання.

Перш ніж залишити екран, ви хочете три відповіді: хто його встановив, які з’єднання від нього залежать і як його виводять.