Jaký je problém s přetrvávajícím systémem Android Sledovat síť?

Vydání Android 4.4 KitKat přineslo široké spektrum vylepšení zahrnující vylepšení zabezpečení. Zatímco zabezpečení může být přísnější, zprávy mohou být stále trochu tajemné. Co přesně znamená varování o přetrvávajícím upozornění na "síť může být sledováno", pokud máte zájem a co můžete udělat, abyste ho zbavili?

Vážený How-To Geek,

Nedávno jsem koupil nový telefon s Androidem a bylo to nové varovné hlášení, které mi trochu vyděsilo. Nikdy se neobjevil na svém starém telefonu s Androidem a teď se objevuje každých pár dní nebo při každém restartu telefonu. Zpráva, která bliká na stavovém řádku a objeví se v oznamovací nabídce, je "Síť může být sledována" a pak když kliknu na varovnou zkratku v nabídce oznámení, přejde do systémového menu označeného jako "Důvěryhodné pověření, "Se dvěma záložkami. Jeden je označen jako "systém" a jeden je označen jako "uživatel". Na kartě "systém" jsou uvedeny položky a na kartě "uživatel" je pouze jedna. Co je divné, že jedna položka uvedená na kartě uživatele vypadá jako jméno routeru "netgear".

Nemám ponětí, co je z těchto věcí, nebo proč Android říká, že moje síť může být sledována. Měl bych být takhle vyděšen touto zprávou jako já a co můžu udělat, abych to zmizel? Připojil jsem několik snímků obrazovky v případě, že jsem udělal špatnou práci popisující problém.

S pozdravem,

Paranoidní Android

Tento druh situace je přesně důvodem, proč jsme nebyli obzvlášť potěšeni s implementací zpracování pověření v systému Android 4.4. Srdce společnosti Google bylo na správném místě, ale způsob, jakým se s touto aktualizací zabýval (a upozorňoval uživatele), je v nejlepším případě neoprávněný a znepokojující (na nezasvěceného koncového uživatele) v nejhorším případě. Podívejme se na to, co je varovná zpráva dokonce a co s ní můžete udělat.

Zdroj varování

Za prvé, vysvětlete proč získáváte tuto chybovou zprávu, protože systém Android poskytuje v tomto ohledu nulovou užitečnou zpětnou vazbu. Váš telefon udržuje seznam důvěryhodných a uživatelských bezpečnostních certifikátů. Tento dlouhý seznam položek pod "systémem", který jste našli v nabídce "Důvěryhodné pověření", je v podstatě jen velký starý bílý seznam schválených vydavatelů bezpečnostních certifikátů, které Google předem nasadil váš telefon s Androidem. V podstatě váš telefon říká "Oh, dobře, tito lidé jsou důvěryhodní, takže můžeme důvěřovat bezpečnostním certifikátům, které vydali."

Když je do telefonu přidán bezpečnostní certifikát (ručně vy, nešťastně jiným uživatelem nebo automaticky nějakou službou nebo serverem, který používáte) a je to ne vydané jedním z těchto předběžně schválených emitentů, pak bezpečnostní funkce Android spustí činnost s varováním "Sítě mohou být monitorovány." Technicky to je přesné upozornění: je-li v zařízení nainstalován škodlivý / ohrožený bezpečnostní certifikát, je možné, že můžete za určitých okolností sledovat provoz z vašeho zařízení. Je také možné, aby společnost nebo poskytovatel hotspot používali pro tento účel samoobsazené certifikáty na svém vlastním hardwaru (ačkoli jejich motivy jsou typičtější).

Bohužel vydaná výstraha je zbytečně děsivá a je nejasné: pokud nevíte, jaká je dohoda s důvěryhodnými pověřeními a bezpečnostními certifikáty, pak by varování mohlo být také v binárním.

Certifikát nemusí být ani skutečně nebezpečný, aby spouštěl výstrahy, ale musí být vydán / podepsán pouze orgánem, který není uveden v seznamu důvěryhodných "systémů". To znamená, že pokud jste k nějakému použití podepsali svůj vlastní certifikát (například nastavení zabezpečeného připojení na váš domovský server), Android se o něj bude stěžovat. To také znamená, že pokud vaše společnost podepíše své certifikáty pro vlastní potřebu a nezaplatí za oficiálně podepsaný certifikát, dostanete také varování.

A konečně, a jsme přesvědčeni, že přesně to, co se stalo ve vašem případě, pokud se připojíte k zabezpečené síti Wi-Fi, která používá certifikát zabezpečení od emitenta, který není v důvěryhodném seznamu v telefonu, dostat chybu. Technicky, jak jsme uvedli výše, společnost by mohla používat certifikát s vlastním podpisem pro škodlivé účely, ale prakticky většinu času, kdy narazíte na tento problém, to bude příčinou 1) společnost nechce platit poplatky za veřejnou certifikáty, které používají pro soukromé účely a 2) chtějí úplnou kontrolu nad procesem vytváření a podepisování certifikátu.

Chcete-li se dozvědět více o technické stránce upozornění (stejně jako o tom, jak nový systém pro zpracování certifikátů udělal více než několik lidí), můžete si prohlédnout tyto vlákna s hlášeními chyb Android [1, 2] a tyto dvě blogových příspěvků v GeekTaco [1, 2] o důkladném projednání této záležitosti.

Měli byste se obávat?

Varování je formulováno velmi vážně a těžko vás obviňujeme, že jste trochu vyděšený. Ale měli byste se skutečně obávat? V naprosté většině případů se uživatelé, kteří tuto chybu uvidí, nevidí, protože někdo na svém počítači nainstaloval škodlivý certifikát a jsou nyní v nebezpečí. Nejběžnějším důvodem je ten, který jsme popsali výše: společnosti používající certifikáty s vlastním podpisem, které nejsou uvedeny v adresáři systému důvěryhodných certifikátů systému, protože nebyly nikdy vydány autorizovaným emitentem.

Vzhledem k pravděpodobnosti, že někdo použije škodlivý certifikát proti vaší nízké kvalitě a že pravděpodobnost, že certifikát způsobí, že varování bude nekalý certifikát, který nebyl vytvořen veřejně ověřeným certifikátorem, nemusíte paniku.

To znamená, že není důvod držet neznámé certifikáty v okolí a žádný důvod, proč byste měli vydržet varování, které se na vaši situaci nevztahují. Podívejme se na to, co můžete udělat v obou scénářích.

Co můžeš udělat?

Převážná většina certifikátů z legálních zdrojů by měla být řádně podepsána a ověřena. Ve vzácných případech, kdy jste nepodepsali platný certifikát (např. Jste je vytvořili sami nebo je vaše společnost používá pro interní sítě), měli byste si být vědomi původu certifikátu, protože jste měli ruku v provedení nebo konverzace s lidmi v oblasti IT by to mělo vyřešit.

Pokud tedy nepoužíváte Android v podnikovém prostředí (kde byste měli s vaší IT specialistou zjistit, jaká je smlouva s certifikátem, protože by mohla být ta, kterou vytvořili), nebo jste vytvořili certifikát sami, nejjednodušším řešením je pouze stiskněte a podržte všechny neznámé certifikáty nalezené v kategorii "uživatel" kategorie "důvěryhodné certifikáty" a odstraňte je (tlačítko pro odstranění se nachází v dolní části informačního panelu). Méně neidentifikované volné konce (zejména v seznamu certifikátů), tím lépe.

Máte-li oprávněný certifikát, který chybu odhalil, protože je v seznamu uživatelů, místo seznamu "systém", můžete (podle vlastního uvážení a rizika) ručně přesunout certifikát z uživatelského seznamu / adresáře do adresáře systémový seznam / adresář. To není úkol, který byste měli provést lehce, takže pokud nejste zcela přesvědčeni, že certifikát v seznamu uživatelů je bezpečný, protože buď 1) jste jej vytvořili, nebo 2) zaměstnanci IT vaší společnosti ověřili, že je to jeden z jejich certifikátů , neměli byste se pokusit o pohyb.

Pokud jste přesvědčeni o bezpečnosti a původu certifikátu, inženýr a fanoušek Android Sam Hobbs má jasně napsaný návod k ručnímu přesunutí certifikátů a další programátor a nadšenec Felix Ableitner má otevřenou zdrojovou aplikaci, která provádí stejný úkol bez práce s příkazovou řádkou. Opět, pokud nemáte naléhavou (a dobře pochopenou) potřebu certifikátu, doporučíme to.

Máte naléhavou technickou otázku? Napište nám email na adrese [email protected] a uděláme vše pro to, abychom odpověděli.