Vad är överenskommelsen med Android s ihållande nätverk kan övervakas Varning?

Utgåvan av Android 4.4 KitKat gav ett brett utbud av förbättringar, inklusive förbättrad säkerhet. Medan säkerheten kan vara hårdare kan meddelanden fortfarande vara lite kryptiska. Vad betyder den varaktiga varningen "Network Monitored"? Om du skulle vara orolig, och vad kan du göra för att bli av med det??

Kära hur-till-geek,

Jag köpte nyligen en ny Android-telefon, och det har varit det här nya varningsmeddelandet som är så snällt att jag får lite av mig. Det har aldrig dykt upp på min gamla Android-telefon och nu dyker den upp några dagar eller när jag startar om telefonen. Meddelandet som blinkar i statusfältet och visas sedan i meddelandemenyn är "Nätverket kan övervakas", och om jag klickar på varningsgenväggen i meddelandemenyn tar det mig till en systemmeny med etiketten "Trusted credentials, "Med två flikar. En är märkt "system" och en är märkt "användare". Det finns massor av föremål som är listade på fliken "system" och endast en i "användar" fliken. Vad är konstigt är det enda objektet som anges i användarfliken, ser ut som ett routernamn "netgear".

Jag har ingen aning om vad någon av dessa saker är eller varför Android säger att mitt nätverk kan övervakas. Ska jag vara så freaked ut av det här meddelandet som jag är, och vad kan jag göra för att det ska gå iväg? Jag har bifogat några skärmdumpar om jag har gjort ett dåligt jobb som beskriver problemet.

vänliga hälsningar,

Paranoid Android

Denna typ av situation är exakt varför vi inte var särskilt förtjust i genomförandet av behörighetshantering i Android 4.4. Googles hjärta var på rätt ställe, men hur uppdateringen hanterade det (och varnade användaren) är i bästa fall obehindrat och oroande (till den oinitierade slutanvändaren) i värsta fall. Låt oss ta en titt på vad varningsmeddelandet är och vad du kan göra åt det.

Källan till varningen

Först, låt oss förklara Varför du får det här felmeddelandet eftersom Android ger nollan användbar feedback i detta avseende. Din telefon upprätthåller en lista över säkerhetscertifikat som är betrodda och användarvänliga. Den långa listan med poster under "system" som du hittade i menyn "Trusted credentials" är i grund och botten bara en stor gammal vit lista över godkända certifikatutgivare som Google förutsåg din Android-telefon med. I huvudsak säger din telefon "Åh, okej, dessa människor är trovärdiga, så vi kan lita på säkerhetscertifikat utfärdade av dem."

När ett säkerhetscertifikat läggs till i din telefon (antingen manuellt av dig, skadligt av en annan användare eller automatiskt av någon tjänst eller webbplats du använder) och det är inte utfärdad av en av dessa förutbestämda emittenter, kommer Android-säkerhetsfunktionen att fungera med varningen "Nätverk kan övervakas." Tekniskt är det en korrekt varning: om ett skadligt / kompromissat säkerhetscertifikat är installerat på enheten är det möjligt att trafik från din enhet kan övervakas under vissa omständigheter. Det är också möjligt för företag eller hotspotleverantörer att använda självutgivna certifikat på egen maskinvara för detta ändamål (även om deras motiv är vanligare).

Tyvärr är den utfärdade varningen obehagligt skrämmande och det är oklart: om du inte vet vad avtalet med tillförlitliga uppgifter och säkerhetscertifikat är kan varningen också vara i binär.

Ett certifikat behöver inte ens vara verkligt skadligt för att utlösa varningarna, men det måste bara utfärdas / undertecknas av en myndighet som inte är listad i listan över betrodda system. Detta innebär att om du signerade ditt eget certifikat för viss användning (som att konfigurera en säker anslutning till din hemserver), kommer Android att klaga på det. Det betyder också att om ditt företag självtecknar sina certifikat för internt bruk och inte betalar för ett officiellt undertecknat certifikat, får du också en varning.

Slutligen, och vi är ganska säkra på det här exakt vad som hände i ditt fall, om du ansluter till ett säkert Wi-Fi-nätverk som använder ett säkerhetscertifikat från en utgivare som inte finns på den betrodda listan i telefonen, kommer du få felet. Tekniskt sett kan företaget, som vi nämnde ovan, använda sig av det självsignerade certifikatet för skadliga ändamål men praktiskt taget det mesta du löper in i det här problemet kommer det att orsaka 1) företaget vill inte betala avgifterna för en allmän certifikat de använder för privata ändamål och 2) de vill ha total kontroll över certifikatskapandet och signeringsprocessen.

Om du vill läsa mer om den tekniska sidan av varningen (liksom hur upprörd det nya systemet för hanteringscertifikat har gjort fler än några personer) kan du kolla in dessa Android-felrapportrapporter [1, 2] och dessa två blogginlägg på GeekTaco [1, 2] diskuterar frågan i djupet.

Skulle du vara orolig?

Varningen är formulerad väldigt seriöst, och vi skyller oss knappast för att du är lite freaked out. Men borde du faktiskt vara orolig? I de allra flesta fall kan användare som ser detta fel inte se det eftersom någon har installerat ett skadligt certifikat på sin maskin och de är nu i fara. Den vanligaste orsaken är den som vi skisserade ovan: företag som använder sig av självtecknade certifikat som inte finns listade i systemets katalog över betrodda certifikat eftersom de aldrig utfärdades av en auktoriserad emittent.

Med tanke på sannolikheten för att någon som använder ett skadligt certifikat mot att du är låg och att certifikatets sannolikhet orsakar varningen som ett icke-skadligt certifikat som inte skapades av en offentligt verifierad certifikatmyndighet, behöver du inte panik.

Det sagt är det ingen anledning att hålla okända certifikat kvar och ingen anledning att uthärda varningar som inte gäller din situation. Låt oss titta på vad du kan göra i båda scenarierna.

Vad kan du göra?

Den överväldigande majoriteten av certifikat från legitima källor ska vara korrekt undertecknad och verifierad. I de sällsynta fallen att du har en unsigned med ett giltigt certifikat (t.ex. du skapade det själv eller ditt företag använder det för interna nätverk) skulle du antingen vara medveten om certifikatets ursprung eftersom du hade en hand att göra det eller en konversation med IT-folk borde klara upp saker.

Så om du inte använder Android i en företagsmiljö (där du bör kolla med dina IT-killar för att se vad avtalet är med certifikatet eftersom det kan vara en de skapade) eller om du själv skapade certifikatet, är det enklast att bara tryck och håll inne alla okända certifikat som finns i kategorin "användare" i kategorin "betrodda certifikat" och radera dem (borttagningsknappen finns längst ner i informationsfönstret). Ju mindre oidentifierade lösa ändar (speciellt i din certifikatlista) desto bättre.

Om du har ett legitimt certifikat som kasta upp felet eftersom det finns i "användarlistan" istället för "systemlistan" kan du (efter eget gottfinnande och risk) manuellt flytta certifikatet från användarlistan / katalogen till systemlista / katalog. Det här är inte en uppgift som ska genomföras lätt, så om du inte är helt säker på att certifikatet i användarlistan är säkert eftersom antingen 1) du skapade det eller 2) IT-personalen hos ditt företag verifierat att det är ett av deras certifikat , du borde inte försöka flytta.

Om du är säker på certifikatets säkerhet och ursprung har ingenjören och Android-entusiasten Sam Hobbs en tydligt instruerad handledning för att manuellt flytta dina certifikat och en annan programmerare och entusiast Felix Ableitner har en öppen källkodsapplikation som utför samma uppgift utan kommandoradsarbete. Återigen, om du inte har ett pressande (och väl förstått) behov av certifikatet, rekommenderar vi det mot det.

Har du en pressande teknisk fråga? Skjut oss ett mail på [email protected] och vi gör vårt bästa för att svara på det.