Android VPN va ilova ruxsatlari: ogohlantirish nimani anglatadi

Android'dagi ikki oyna doim bir-biriga aralashtiriladi: VPN roziligi so'rovi va ilova sizning ma'lumotlaringiz uchun qiladigan ruxsat so'rovlari. Birinchisi tarmoqdagi o'rinni, ya'ni paketlarni o'qish va qayta yozish mumkin bo'lgan nuqtani topshiradi. Ikkinchisi Android ilova sayin qo'riqlaydigan saqlangan tarkibni topshiradi. Ularni bitta narsa deb qabul qilish yo tunnel nima ko'rishini bo'rttirib yuboradi, yo qat'iyatli ilova keyingi safar nima so'rashini qattiq kam baholaydi.

Rozilik oynasi aslida nimani topshiradi

VpnService ni amalga oshiruvchi va BIND_VPN_SERVICE ni e'lon qiluvchi ilova tizimdan qurilmaning VPN'i bo'lishni so'raydi. Tasdiqlangach, freymvork tun interfeysini yaratadi va ilovaga uning fayl deskriptorini beradi. Shundan keyin ilova qilgan hamma narsa shu deskriptordan oqadi: u IP paketlarini tashqariga o'qiydi, ular bilan nima qilishni hal qiladi va paketlarni yana ichkariga yozadi.

Bu interfeysning qamrovi aniq. Qaysi manzillar ushlanishini marshrutlar hal qiladi, qaysi ilovalar uni oziqlantirishini esa addAllowedApplication yoki addDisallowedApplication hal qiladi. Ikki ilovani sanab o'tgan ilova bo'yicha VPN qurilmaning qolgan qismini ko'rmaydi.

Bu paket darajasidagi ruxsat, ma'lumot darajasidagi emas. Xizmat ilova tarmoq stekiga beradigan baytlarni ko'radi, ular manzilga yo'naltirilgan. U yuboruvchi ilovaning shaxsiy xotirasiga, uning ma'lumotlar bazasi fayllariga yoki shifri ochilgan xotirasiga kirish huquqini olmaydi. Ilova o'z qum qutisida saqlagan fayllar avvalgidek o'qishga qiyin bo'lib qoladi.

Paket ko'rinishi qayerda to'xtaydi

TLS tunnel ichida ham o'z ishini davom ettiradi, chunki qo'l berib ko'rishish ilova va server o'rtasida bo'ladi, ilova va VPN o'rtasida emas. VPN sessiya kalitlarisiz ochib bo'lmaydigan shifrlangan matnni uzatadi. Shuning uchun tunnelning o'zi HTTPS sahifasi yoki himoyalangan pochta sessiyasi mazmunini oshkor qilmaydi.

Shifrlangan matn atrofidagi metama'lumotlar boshqa hikoya va aynan shu yerda ishonchli da'volarning ko'pchiligi buziladi. Manzil IP'si, port, paket o'lchamlari va vaqt ko'rinadi, qo'shimcha ravishda TLS ClientHello ichidagi server nomi, u odatda TLS 1.3 ostida ham ochiq yuboriladi. Encrypted Client Hello buni o'zgartiradi, lekin u universal emas. Oddiy DNS ham so'rovlar shifrlanmasdan chiqqanda nomlarni shunchalik oson oqizadi.

Eski yoki noto'g'ri sozlangan protokollar ko'proq topshiradi. Oddiy HTTP, TLS'siz IMAP va bir qator o'yin hamda IoT protokollari o'z yuklamalarini tun deskriptoriga ega bo'lgan hamma narsaga ochib qo'yadi.

Hech qachon u bilan birga kelmaydigan ruxsatlar

VPN'ni tasdiqlash kontaktlarni, SMS'ni, suratlarni yoki media omborni tasdiqlash emas. Bular alohida ishlash vaqti ruxsatlari, har birining o'z oynasi va ilova sozlamalari sahifasida o'z bekor qilish yo'li bor. Qo'ng'iroqlar jurnalini xohlovchi VPN mijozi uni har qanday boshqa ilova kabi so'rashi kerak, va siz tunnelni saqlab qolgan holda rad etishingiz mumkin.

Sertifikat o'rnatish — e'tibor berish kerak bo'lgan narsa, chunki u VPN sozlashning bir qismidek ko'rinadi, lekin unday emas. Ishonch ma'lumotlari omboriga foydalanuvchi CA'sini o'rnatish Android qaysi sertifikatlarni qabul qilishini o'zgartiradi, va Android 7.0 dan boshlab API 24 yoki undan yangiroqni nishonlagan ilova foydalanuvchi qo'shgan CA'larni e'tiborsiz qoldiradi, agar uning tarmoq xavfsizligi konfiguratsiyasi foydalanuvchi ishonch langari bilan ularni tanlamasa. CA'da turib olgan mijoz yo qonuniy korporativ aralashuv qilayotgan bo'lishi mumkin, yo VPN oynasi hech qachon tilga olmagan narsani so'rayotgan bo'lishi mumkin.

Mavjudlik funksiyalariga kirish undan ham uzoqroq. Mavjudlik yoqilgan xizmat boshqa ilovalarning ekran mazmunini o'qiy oladi, buni paket darajasidagi hech bir o'rin bermaydi.

Mahalliy filtr yoki uzoq shlyuz

Xuddi shu API turli ishonch darajalariga loyiq ikki mahsulotni qamrab oladi. Qurilmadagi tarmoq devori yoki reklama bloklagichi tun deskriptorini oladi va trafikka mahalliy javob beradi, uni hech qachon o'zi boshqaradigan serverga yubormaydi. Haqiqiy tunnel bu paketlarni boshqa joydagi shlyuzga uzatadi, va o'sha operator boshqa tomondan xuddi shu metama'lumotlarni ko'radi hamda nima qaytishini ham hal qiladi.

Ularni ajratishning amaliy yo'li — VPN yoqilgan va o'chirilgan holatda umumiy manzilingizni tekshirish va bildirishnoma uzoq oxirgi nuqtani nomlaydimi-yo'qmi ko'rish. Agar manzil hech qachon o'zgarmasa, trafik ehtimol qurilmaning o'zida aylanmoqda.

Ikkala holat ham baribir paket o'rnidir. Farq — chiqishda yana kim turganida.

Nimani tasdiqlaganingizni tekshiring

Sozlamalarni, keyin Tarmoq va internet, keyin VPN'ni oching va holat panelidagi belgini emas, yozuvni o'qing. Doim yoniq VPN va VPN'siz ulanishlarni bloklash — interfeysni tirik saqlaydigan va oqishlarni to'sadigan qurilma sozlamalari; ular hech narsani kengaytirmaydi. Xuddi shu ekrandan profilni unutib, ruxsatni qaytarib olishingiz mumkin.

Keyin qolgan ruxsatlarni ko'zdan kechiring. Ilova ma'lumoti mijoz qaysi ishlash vaqti ruxsatlariga ega ekanini, Xavfsizlik sozlamalari esa o'sha vaqtda foydalanuvchi sertifikati o'rnatilganini ko'rsatadi. Ikkalasini ham alohida olib tashlash mumkin.

Javob berishga arziydigan savol tor: qaysi paketlar bu xizmatga kiradi, ular qayerga boradi va amalga oshirish nimani saqlaydi. Oynadagi qolgan hamma narsa shovqin. VpnService ma'lumotnomasi interfeys nimani oshkor qilishining vakolatli ro'yxati.