Utgivelsen av Android 4.4 KitKat brakte et bredt utvalg av forbedringer inkludert forbedret sikkerhet. Mens sikkerheten kan være strammere, kan meldingene fortsatt være litt kryptiske. Hva betyr den vedvarende "Network may be Monitored" -varselen, hvis du er bekymret, og hva kan du gjøre for å bli kvitt den?
Kjære How-To Geek,
Jeg har nylig kjøpt en ny Android-telefon, og det har kommet denne nye advarselsmeldingen som frykter meg litt. Det dukket aldri opp på den gamle Android-telefonen min, og nå dukker den opp noen få dager, eller når jeg starter telefonen på nytt. Meldingen som blinker i statuslinjen og deretter vises i varslingsmenyen, er, "Nettverk kan overvåkes," og hvis jeg klikker på varselgenveien i varslingsmenyen, tar det meg til en systemmeny merket, "Pålitelig legitimasjon, ”Med to faner. En er merket "system" og en er merket "bruker". Det er mange ting oppført i "system" -fanen og bare en i "bruker" -fanen. Det som er rart er at det ene elementet som er oppført i brukerfanen, ser ut som ruterenavnet "netgear."
Jeg aner ikke hva noe av dette er, eller hvorfor Android forteller meg at nettverket mitt kan bli overvåket. Bør jeg bli like freaked ut av denne meldingen som jeg er, og hva kan jeg gjøre for at den skal forsvinne? Jeg har lagt ved noen skjermbilder i tilfelle jeg har gjort en dårlig jobb med å beskrive problemet.
Vennlig hilsen,
Paranoid Android
Denne typen situasjoner er nøyaktig hvorfor vi ikke var spesielt glad i implementeringen av legitimasjonshåndtering i Android 4.4. Googles hjerte var på rett sted, men måten oppdateringen håndterte den på (og advarte brukeren) er i beste fall uelegant og i verste fall foruroligende (for den uinnvidde sluttbrukeren). La oss ta en titt på hva advarselen til og med er, og hva du kan gjøre med den.
Kilden til advarselen
La oss først forklare Hvorfor du får denne feilmeldingen siden Android gir nesten nyttige tilbakemeldinger i denne forbindelse. Telefonen din vedlikeholder en liste over pålitelige og brukerleverte sikkerhetssertifikater. Den lange listen over oppføringer under "system" du fant i "Trusted credentials" -menyen er egentlig bare en stor gammel hvit liste over godkjente sikkerhetssertifikatutstedere som Google forhåndsså Android-telefonen din med. I hovedsak står telefonen din "Å, ok, disse menneskene er pålitelige, så vi kan stole på sikkerhetssertifikater utstedt av dem."
Når et sikkerhetssertifikat legges til telefonen din (enten manuelt av deg, skadelig av en annen bruker, eller automatisk av en tjeneste eller et nettsted du bruker), og det er ikke utstedt av en av disse forhåndsgodkjente utstedere, så kommer Android-sikkerhetsfunksjonen til handling med advarselen "Networks may be Monitored." Teknisk sett er dette en nøyaktig advarsel: Hvis et skadelig / kompromittert sikkerhetssertifikat er installert på enheten din, er det mulig at trafikk fra enheten din kan overvåkes under visse omstendigheter. Det er også mulig for et selskap eller en hotspot-leverandør å bruke selvutstedte sertifikater på egen maskinvare for dette formålet (selv om motivene deres vanligvis er mer gunstige).
Unfortunately the issued warning is needlessly scary and it’s unclear: if you don’t know what the deal with trusted credentials and security certificates is then the warning might as well be in binary.
A certificate doesn’t even have to be genuinely malicious to trigger the warnings, however, it just has to be issued/signed by an authority that isn’t listed in the trusted “system” list. This means if you signed your own certificate for some use (like setting up a secure connection to your home server) then Android will complain about it. It also means that if your company self-signs their certificates for in-house use and doesn’t pay for an officially signed certificate, you’ll also get a warning.
Til slutt, og vi er ganske sikre på at dette skjedde i ditt tilfelle. Hvis du kobler til et sikkert Wi-Fi-nettverk som bruker et sikkerhetssertifikat fra en utsteder som ikke er på den pålitelige listen på telefonen din, vil du få feilen. Teknisk, som vi nevnte ovenfor, kan selskapet bruke det selvsignerte sertifikatet for ondsinnede formål, men praktisk talt mesteparten av tiden du får dette problemet, vil det være årsaken 1) selskapet vil ikke betale gebyrene for et publikum sertifikat de bruker til private formål og 2) de vil ha total kontroll over sertifikatopprettings- og signeringsprosessen.
Hvis du vil lese mer om den tekniske siden av advarselen (i tillegg til hvor opprørt det nye systemet for håndtering av sertifikater har gjort mer enn noen få personer), kan du sjekke ut disse Android-feilrapporttrådene [ 1 , 2] og disse to blogginnleggene på GeekTaco [ 1 , 2 ] diskutere saken i dybden.
Bør du være bekymret?
Advarselen er formulert veldig seriøst, og vi klandrer deg knapt for å være litt freaked out. Men burde du faktisk være bekymret? I de aller fleste tilfeller ser ikke brukerne som ser denne feilen den, fordi noen har installert et ondsinnet sertifikat på maskinen sin, og de er nå i fare. Den mest typiske årsaken er den vi skisserte ovenfor: selskaper som bruker selvsignerte sertifikater som ikke er oppført i systemets katalog med pålitelige sertifikater fordi de aldri ble utstedt av en autorisert utsteder.
Gitt sannsynligheten for at noen bruker et ondsinnet sertifikat mot deg, er lav og sannsynligheten for at sertifikatet forårsaker at advarselen er et ikke-ondsinnet sertifikat som bare ikke ble opprettet av en offentlig bekreftet sertifikatmyndighet, trenger du ikke å få panikk.
Når det er sagt, er det ingen grunn til å holde ukjente sertifikater rundt og ingen grunn til å utholde advarsler som ikke gjelder for din situasjon. La oss se på hva du kan gjøre i begge scenariene.
Hva kan du gjøre?
Overflertallet av sertifikater fra legitime kilder bør være signert og verifisert på riktig måte. I de sjeldne tilfellene at du har et usignert med gyldig sertifikat (for eksempel at du opprettet det selv eller at firmaet bruker det til interne nettverk), vil du enten være klar over sertifikatets opprinnelse fordi du hadde en hånd i å lage det eller en samtale med IT-folkene bør rydde opp i ting.
Så med mindre du bruker Android i et bedriftsmiljø (hvor du bør sjekke med IT-gutta dine for å se hva avtalen er med sertifikatet fordi det kan være en de opprettet) eller du opprettet sertifikatet selv, er den enkleste løsningen bare å trykk og hold nede på ukjente sertifikater i kategorien "bruker" i kategorien "klarerte sertifikater" og slett dem (fjerningsknappen er plassert nederst i informasjonsruten). Jo mindre uidentifiserte løse ender (spesielt i sertifikatlisten), jo bedre.
Hvis du har et legitimt sertifikat som kaster feilen fordi den er i "bruker" -listen i stedet for "system" -listen, kan du (etter eget skjønn og risiko) manuelt flytte sertifikatet fra brukerlisten / katalogen til systemliste / katalog. Dette er ikke en oppgave som skal utføres lett, så hvis du ikke er helt trygg på at sertifikatet i "bruker" -listen er trygt fordi enten 1) du opprettet det eller 2) IT-personalet i firmaet ditt bekreftet at det er et av sertifikatene deres , bør du ikke prøve å flytte.
Hvis du er trygg på sikkerheten og opprinnelsen til sertifikatet, har ingeniør og Android-entusiast Sam Hobbs en tydelig skrevet instruksjonsguide for manuell flytting av sertifikatene og en annen programmerer og entusiast Felix Ableitner har et program med åpen kildekode som utfører samme oppgave uten kommandolinjearbeidet. Igjen, med mindre du har et presserende (og godt forstått) behov for sertifikatet, anbefaler vi det.
Har du et presserende teknologisk spørsmål? Send oss en e-post på [email protected], så gjør vi vårt beste for å svare på det.
