Cảnh báo giám sát mạng Android: đọc thay đổi tin cậy

Ba thông báo trông giống nhau trên điện thoại, và chỉ một trong số đó là về chứng chỉ. Dòng trạng thái VPN, cảnh báo kho tin cậy và biểu ngữ thiết bị được quản lý mỗi thứ nêu một cơ chế kiểm soát khác nhau, và ứng dụng đang hiển thị lúc đó có thể không sở hữu cái nào. Đọc đúng câu chữ trước giúp bạn không xóa nhầm thứ. Thực hiện năm bước kiểm tra dưới đây theo thứ tự và dừng ở bước đầu tiên thất bại, vì hành động đúng thay đổi hoàn toàn ở mỗi bước.

Bước 0: xác định bạn đang nhìn thông báo nào

Câu chữ quan trọng hơn biểu tượng. Thông báo trạng thái VPN nghĩa là một ứng dụng đang giữ VpnService hoạt động. Cảnh báo chứng chỉ nghĩa là có thứ gì đó được cài trong kho tin cậy. Thông báo thiết bị được quản lý nghĩa là quản trị viên đã áp dụng chính sách, mà chính sách đó có thể đã cài tin cậy như một phần của nó.

Khi văn bản ghi đúng «Network may be monitored», người gửi là hệ thống chứ không phải nhà cung cấp VPN: Android in dòng đó mỗi khi một ứng dụng giữ VpnService hoạt động, nên một ứng dụng thương mại thông thường tạo ra nó mà không đặt gì vào kho tin cậy. Hai trong ba thông báo có thể đúng cùng lúc, vì vậy khiếu nại thường nêu nhầm cái sai. Nếu câu nói rằng có CA được cài, VPN nhiều nhất chỉ là đối tượng tình nghi, và gỡ nó có thể để cảnh báo đúng nguyên chỗ cũ.

Bước 1: tìm thông tin đăng nhập và kho của nó

Trên Android 9 đến 12, đường dẫn là Cài đặt, rồi Bảo mật, rồi Mã hóa và thông tin đăng nhập, rồi Thông tin đăng nhập tin cậy; Android 13 và mới hơn chuyển cùng màn hình đó vào Bảo mật và quyền riêng tư, rồi Cài đặt bảo mật khác, và giao diện của nhà sản xuất lại đổi tên các cấp, nên khi đường dẫn không khớp hãy tìm «Thông tin đăng nhập tin cậy» trong ứng dụng Cài đặt. Thẻ Người dùng chứa các tổ chức do một người hoặc ứng dụng cài, và thẻ Hệ thống chứa những gì đi kèm bản dựng. Một tổ chức bị đẩy bởi quản lý xuất hiện qua chính sách thiết bị hoặc bên trong hồ sơ công việc, chứ không phải như một lần chạm thông thường trong kho người dùng.

Ghi lại nhà phát hành, ngày hiệu lực và ai đã cài đặt. Nếu mục đó hoàn toàn không có trong kho người dùng, hãy dừng ở đây, vì nó là mục hệ thống hoặc được quản lý và không phải việc của bạn để xóa nó khỏi màn hình cài đặt. Xóa nhầm hàng ở đó là cách điện thoại mất Wi-Fi hoặc đăng nhập công việc trong khi câu hỏi về tin cậy vẫn chưa có lời đáp.

Bước 2: tách CA của hồ sơ VPN khỏi tin cậy của điện thoại

Một hồ sơ OpenVPN, hoặc bất kỳ ứng dụng khách nào xác thực máy chủ của nó qua TLS, có thể mang một CA mà chỉ ứng dụng khách đó dùng để xác minh máy chủ của chính nó. Hồ sơ WireGuard không mang CA nào cả: nó dựa trên các cặp khóa công khai, nên một tổ chức trong kho tin cậy của Android không bao giờ có thể đến từ cấu hình WireGuard. Chứng chỉ cục bộ của hồ sơ đó không đến được ứng dụng nào khác, và việc sao chép nó vào kho tin cậy hệ thống là thao tác riêng với phạm vi ảnh hưởng riêng. Tách hai thứ này là toàn bộ mục đích của bước này, vì chỉ cái thứ hai mới thay đổi điều các ứng dụng khác sẽ chấp nhận.

Vì vậy một hồ sơ VPN có CA không phải bằng chứng bị chặn, và ứng dụng VPN không phải chủ sở hữu một mục tin cậy mà nó chưa từng tạo. Phép thử rẻ: dừng VPN và đọc lại thông báo. Nếu cảnh báo chứng chỉ vẫn còn đó, VPN không đặt nó ở đó và gỡ ứng dụng sẽ không gỡ nó.

Bước 3: phân biệt tổ chức máy chủ với danh tính ứng dụng khách

Chứng chỉ danh tính ứng dụng khách và khóa riêng của nó xác thực thiết bị này với máy chủ. CA được tin cậy để xác thực máy chủ với ứng dụng. Chúng được lưu cùng nhau và trông giống nhau trong danh sách, nhưng làm những việc hoàn toàn khác nhau.

Gỡ danh tính ứng dụng khách có thể làm hỏng xác thực Wi-Fi hoặc VPN mà không làm gì cho tin cậy HTTPS, còn gỡ CA ảnh hưởng đến mọi ứng dụng chấp nhận tổ chức đó. Hãy quyết định bạn đang nhìn cái nào trong hai trước khi nhấn bất cứ thứ gì, vì câu trả lời nêu chủ sở hữu và đường khôi phục.

Bước 4: hỏi ứng dụng nào thực sự tin nó

Cấu hình bảo mật mạng của Android đặt ra ranh giới của ứng dụng. Các ứng dụng nhắm API 24 trở lên tin cậy các tổ chức hệ thống theo mặc định, trong khi các ứng dụng nhắm API 23 trở xuống cũng tin cậy các tổ chức do người dùng thêm theo mặc định, và một ứng dụng có thể nêu neo của riêng mình, thêm quy tắc theo tên miền hoặc thoát hoàn toàn khỏi mặc định.

Vì vậy «đã cài trên điện thoại» không mô tả tin cậy HTTPS của mọi ứng dụng: một tổ chức do người dùng thêm có thể được ứng dụng cũ tôn trọng, bị ứng dụng hiện tại bỏ qua và được ứng dụng mang neo riêng tin cậy rõ ràng. Nếu tổ chức được cài cho Wi-Fi công việc, dịch vụ web riêng hoặc kiểm tra đã được phê duyệt, câu hỏi hữu ích là ứng dụng và hồ sơ nào phụ thuộc vào nó. Hướng dẫn cấu hình bảo mật mạng là tài liệu tham chiếu về mức độ vươn tới của một tổ chức đã cài trong một ứng dụng cụ thể, và đó là phần mà hầu hết bản tóm tắt cảnh báo này bỏ qua.

Bước 5: quyết định, rồi ghi lại chủ sở hữu và kế hoạch rút lui

Nếu tổ chức là điều dự kiến, hãy ghi lại ai đã cài, kết nối nào phụ thuộc vào nó và nó sẽ được rút ra thế nào. Tin cậy một tổ chức là quyết định có ý nghĩa ngay cả khi hôm nay không có chặn nghe, vì chính sự tin cậy đó khiến việc chặn nghe trở nên khả thi về sau.

Nếu nó không dự kiến, hãy điều tra qua chủ sở hữu thiết bị hoặc dịch vụ trước khi nhập dữ liệu nhạy cảm vào điện thoại đó. Nếu nó đã lỗi thời, gỡ mục cụ thể đó qua người đã cài nó, sau khi kiểm tra những gì phụ thuộc vào nó, và đừng bao giờ bắt đầu bằng việc xóa mọi thông tin đăng nhập. Ẩn cảnh báo chỉ thay đổi hiển thị và không gì khác. Khóa riêng hoặc toàn bộ hồ sơ không bao giờ nên được tải lên một dịch vụ kiểm tra chứng chỉ công cộng để giải quyết câu hỏi.

Trước khi rời màn hình, bạn muốn ba câu trả lời: ai đã cài nó, kết nối nào phụ thuộc vào nó và nó được rút ra thế nào.