Android'in Kalıcı “Ağ İzlenebilir” Uyarısı ile Anlaşma Nedir?

Android 4.4 KitKat'ın piyasaya sürülmesi, gelişmiş güvenlik dahil olmak üzere çok çeşitli iyileştirmeler getirdi. Güvenlik daha sıkı olsa da, mesajlar hala biraz şifreli olabilir. Kalıcı “Ağ İzlenebilir” uyarısı tam olarak ne anlama geliyor, endişelenmeli misiniz ve bundan kurtulmak için ne yapabilirsiniz?

Sevgili Nasıl Yapılır Geek,

Geçenlerde yeni bir Android telefon aldım ve beni biraz korkutan bu yeni uyarı mesajı geldi. Eski Android telefonumda hiç açılmadı ve şimdi birkaç günde bir veya telefonu her yeniden başlattığımda ortaya çıkıyor. Durum çubuğunda yanıp sönen ve ardından bildirim menüsünde görünen mesaj “Ağ İzlenebilir” şeklindedir ve ardından bildirim menüsündeki uyarı kısayoluna tıklarsam beni “Güvenilir kimlik bilgileri, ” iki sekme ile. Biri “sistem”, biri “kullanıcı” olarak etiketlenir. "Sistem" sekmesinde listelenen tonlarca öğe var ve "kullanıcı" sekmesinde yalnızca bir tane var. Garip olan, kullanıcı sekmesinde listelenen bir öğenin "netgear" yönlendirici adına benzemesi.

Bunların ne olduğu veya Android'in neden bana ağımın izlenebileceğini söylediği hakkında hiçbir fikrim yok. Bu mesajdan benim kadar korkmalı mıyım ve onu ortadan kaldırmak için ne yapabilirim? Sorunu açıklayan kötü bir iş çıkarmış olabilirim diye bazı ekran görüntüleri ekledim.

İçtenlikle,

Paranoyak Android

Bu tür bir durum, Android 4.4'te kimlik bilgilerinin işlenmesini özellikle sevmememizin nedenidir. Google'ın kalbi doğru yerdeydi, ancak güncellemenin bunu ele alma (ve kullanıcıyı uyarma) şekli en iyi ihtimalle uygunsuz ve en kötü ihtimalle (başlatılmamış son kullanıcı için) rahatsız edici. Hatta uyarı mesajının ne olduğuna ve bu konuda neler yapabileceğinize bir göz atalım.

Uyarının Kaynağı

Öncelikle, Android bu konuda sıfıra yakın yararlı geri bildirim verdiği için neden bu hata mesajını aldığınızı açıklayalım. Telefonunuz, güvenilir ve kullanıcı tarafından sağlanan güvenlik sertifikalarının bir listesini tutar. "Güvenilir kimlik bilgileri" menüsünde bulduğunuz "sistem" altındaki bu uzun giriş listesi, esasen Google'ın Android telefonunuzu önceden tohumladığı, onaylanmış güvenlik sertifikası verenlerin büyük bir beyaz listesidir. Esasen telefonunuz "Ah, tamam, bu insanlar güvenilir, bu yüzden onlar tarafından verilen güvenlik sertifikalarına güvenebiliriz" diyor.

Telefonunuza bir güvenlik sertifikası eklendiğinde (sizin tarafınızdan manuel olarak, başka bir kullanıcı tarafından kötü niyetli olarak veya kullandığınız bir hizmet veya site tarafından otomatik olarak) ve bu önceden onaylanmış yayıncılardan biri tarafından verilmediğinde, Android'in güvenlik özelliği “Ağlar İzlenebilir” uyarısıyla devreye giriyor. Teknik olarak, bu doğru bir uyarıdır: Cihazınıza kötü amaçlı/tehlikeye girmiş bir güvenlik sertifikası yüklenirse, belirli koşullar altında cihazınızdan gelen trafiğin izlenmesi mümkündür. Bir şirketin veya etkin nokta sağlayıcısının bu amaç için kendi donanımlarında kendi kendine verilen sertifikaları kullanması da mümkündür (ancak, genellikle amaçları daha iyi huyludur).

Ne yazık ki verilen uyarı gereksiz yere korkutucu ve net değil: güvenilir kimlik bilgileri ve güvenlik sertifikaları ile anlaşmanın ne olduğunu bilmiyorsanız, uyarı ikili olarak da olabilir.

Uyarıları tetiklemek için bir sertifikanın gerçekten kötü niyetli olması bile gerekmez, ancak yalnızca güvenilir "sistem" listesinde yer almayan bir yetkili tarafından verilmiş/imzalanmış olması gerekir. Bu, bir kullanım için kendi sertifikanızı imzaladıysanız (ev sunucunuzla güvenli bir bağlantı kurmak gibi) Android'in bundan şikayet edeceği anlamına gelir. Bu ayrıca, şirketiniz sertifikalarını kurum içi kullanım için kendi kendine imzalarsa ve resmi olarak imzalanmış bir sertifika için ödeme yapmazsa, ayrıca bir uyarı alacağınız anlamına gelir.

Son olarak, sizin durumunuzda tam olarak ne olduğundan oldukça eminiz, telefonunuzdaki güvenilirler listesinde olmayan bir sertifika veren kuruluşun güvenlik sertifikasını kullanan güvenli bir Wi-Fi ağına bağlanırsanız, hatayı al. Teknik olarak, yukarıda bahsettiğimiz gibi, şirket kendinden imzalı sertifikayı kötü niyetli amaçlar için kullanıyor olabilir, ancak pratikte çoğu zaman bu sorunla karşılaşırsınız, bunun nedeni 1) şirket bir kamu için ücret ödemek istemiyor. özel amaçlar için kullandıkları sertifika ve 2) sertifika oluşturma ve imzalama süreci üzerinde tam kontrol istiyorlar.

Uyarının teknik yönü hakkında daha fazla bilgi edinmek istiyorsanız (ve sertifikaları işlemeye yönelik yeni sistemin birkaç kişiyi ne kadar üzdüğünün yanı sıra) bu Android hata raporu konularına [1, 2] ve bu iki konuya göz atabilirsiniz. konuyu derinlemesine tartışan GeekTaco [1, 2] adresindeki blog gönderileri.

Endişelenmeli misiniz?

Uyarı çok ciddi bir şekilde ifade edilmiştir ve sizi biraz korkmuş olduğunuz için pek suçlamıyoruz. Ama aslında endişelenmeli misin? Çoğu durumda, bu hatayı gören kullanıcılar, birisinin makinelerine kötü amaçlı bir sertifika yüklediği ve şu anda tehlikede oldukları için bunu görmüyor. En tipik neden, yukarıda özetlediğimiz nedendir: hiçbir zaman yetkili bir yayıncı tarafından verilmedikleri için sistemin güvenilir sertifikalar dizininde listelenmeyen kendinden imzalı sertifikalar kullanan şirketler.

Birinin size karşı kötü niyetli bir sertifika kullanma olasılığının düşük olması ve uyarıya neden olan sertifikanın, henüz genel olarak doğrulanmış bir sertifika yetkilisi tarafından oluşturulmamış, kötü amaçlı olmayan bir sertifika olma olasılığı göz önüne alındığında, paniğe kapılmanıza gerek yoktur.

Bununla birlikte, bilinmeyen sertifikaları etrafta tutmak için hiçbir neden yoktur ve durumunuz için geçerli olmayan uyarılara katlanmak için hiçbir neden yoktur. Her iki senaryoda da neler yapabileceğinize bakalım.

Ne yapabilirsin?

Meşru kaynaklardan alınan sertifikaların büyük çoğunluğu uygun şekilde imzalanmalı ve doğrulanmalıdır. Geçerli bir sertifika tarafından imzalanmamış bir sertifikaya sahip olduğunuz nadir durumlarda (örneğin, onu kendiniz oluşturdunuz veya şirketiniz bunu dahili ağlar için kullanıyor), ya sertifikanın kaynağının farkında olacaksınız çünkü bunu yapmakta bir eliniz var ya da bir konuşma var. BT çalışanları ile işleri temizlemeli.

Bu nedenle, Android'i kurumsal bir ortamda kullanmıyorsanız (burada sertifika ile anlaşmanın ne olduğunu görmek için BT görevlilerinize danışmalısınız, çünkü bu onların oluşturdukları bir sertifika olabilir) veya sertifikayı kendiniz oluşturmadıysanız, en kolay çözüm yalnızca "güvenilir sertifikalar" kategorisinin "kullanıcı" kategorisinde bulunan bilinmeyen sertifikaları basılı tutun ve silin (kaldırma düğmesi bilgi bölmesinin altında bulunur). Tanımlanamayan gevşek uçlar (özellikle sertifika listenizde) ne kadar az olursa o kadar iyidir.

“Sistem” listesi yerine “kullanıcı” listesinde olduğu için hata veren meşru bir sertifikanız varsa, sertifikayı (kendi takdirinize ve riskinize bağlı olarak) kullanıcı listesinden/dizinine manuel olarak taşıyabilirsiniz. sistem listesi/dizini. Bu, hafife alınacak bir görev değildir, bu nedenle, “kullanıcı” listesindeki sertifikanın güvenli olduğundan tamamen emin değilseniz, çünkü 1) onu siz yarattınız veya 2) şirketinizdeki BT personeli, sertifikalarından biri olduğunu doğruladı. , hareket etmeye çalışmamalısınız.

Sertifikanın güvenliğine ve kaynağına güveniyorsanız, mühendis ve Android meraklısı Sam Hobbs, sertifikalarınızı manuel olarak taşımak için açıkça yazılmış bir talimat kılavuzuna sahiptir ve başka bir programcı ve meraklısı Felix Ableitner, aynı görevi komut satırı çalışması. Yine, sertifikaya acil (ve iyi anlaşılmış) bir ihtiyacınız yoksa, buna karşı çıkmanızı öneririz.

Acil bir teknik sorunuz mu var? Bize [email protected] adresinden bir e-posta gönderin, yanıtlamak için elimizden geleni yapalım.