Android 的持續“網絡可能被監控”警告是怎麼回事？

Android 4.4 KitKat 的發布帶來了廣泛的改進，包括增強的安全性。 雖然安全性可能更嚴格，但消息仍然可能有點神秘。 持續的“網絡可能被監控”警告到底是什麼意思，你應該擔心嗎？你能做些什麼來擺脫它？

親愛的入門極客，

我最近買了一部新的 Android 手機，有一條新的警告信息讓我有點害怕。 它從未在我的舊 Android 手機上彈出，現在每隔幾天或每當我重啟手機時就會彈出。 在狀態欄中閃爍然後出現在通知菜單中的消息是“網絡可能受到監控”，然後如果我單擊通知菜單中的警告快捷方式，它會將我帶到標有“受信任的憑據”的系統菜單， ”帶有兩個標籤。 一個標記為“系統”，一個標記為“用戶”。 “系統”選項卡中列出了很多項目，而“用戶”選項卡中只有一項。 奇怪的是用戶選項卡中列出的一項看起來像路由器名稱“netgear”。

我不知道這些東西是什麼，也不知道為什麼 Android 告訴我我的網絡可能受到監控。 我是否應該像現在一樣被這條消息嚇壞了，我能做些什麼讓它消失？ 我附上了一些截圖，以防我在描述問題時做得不好。

真摯地，

偏執的安卓

這種情況正是我們不特別喜歡在 Android 4.4 中實現憑據處理的原因。 谷歌的心在正確的地方，但更新處理它的方式（並警告用戶）充其量是不雅的，最壞的情況是令人不安（對於沒有經驗的最終用戶）。 讓我們看一下警告消息是什麼以及您可以做些什麼。

警告的來源

首先，讓我們解釋一下為什麼您會收到此錯誤消息，因為 Android 在這方面提供了幾乎為零的有用反饋。 您的手機會保留一份受信任的和用戶提供的安全證書列表。 您在“受信任的憑據”菜單中找到的“系統”下的那一長串條目本質上只是谷歌預先為您的 Android 手機植入的已批准安全證書頒發者的舊白名單。 基本上你的手機會說“哦，好吧，這些人是值得信賴的，所以我們可以信任他們頒發的安全證書。”

當安全證書被添加到您的手機（由您手動、由其他用戶惡意或由您正在使用的某些服務或網站自動添加）並且不是由這些預先批准的頒發者之一頒發時，Android 的安全功能隨著警告“網絡可能受到監控”的出現而採取行動。 從技術上講，這是一個準確的警告：如果您的設備上安裝了惡意/受損的安全證書，則在某些情況下可能會監控來自您設備的流量。 公司或熱點提供商也可以為此目的在他們自己的硬件上使用自行頒發的證書（儘管通常他們的動機更溫和）。

不幸的是，發出的警告是不必要的可怕並且不清楚：如果您不知道受信任的憑據和安全證書的處理是什麼，那麼警告也可能是二進制的。

證書甚至不必是真正的惡意來觸發警告，但是，它只需由未列在受信任“系統”列表中的機構頒發/簽名。 這意味著如果您簽署了自己的證書以用於某些用途（例如設置與家庭服務器的安全連接），那麼 Android 會抱怨它。 這也意味著，如果您的公司自行簽署他們的證書以供內部使用並且不支付正式簽署的證書，您也會收到警告。

最後，我們非常確定這正是您的情況，如果您連接到一個安全的 Wi-Fi 網絡，該網絡使用的安全證書來自一個不在您手機的受信任列表中的頒發者，您將得到錯誤。 從技術上講，正如我們上面提到的，公司可能會將自簽名證書用於惡意目的，但實際上大多數情況下您遇到此問題的原因是 1) 公司不想為公眾支付費用他們用於私人目的的證書，以及 2) 他們希望完全控制證書的創建和簽名過程。

如果您想了解有關警告的技術方面的更多信息（以及處理證書的新系統讓很多人感到不安），您可以查看這些 Android 錯誤報告線程 [1、2] 和這兩個GeekTaco [1, 2] 上的博客文章深入討論了這個問題。

你應該擔心嗎？

警告措辭非常嚴肅，我們幾乎不怪你有點嚇壞了。 但你真的應該擔心嗎？ 在絕大多數情況下，看到此錯誤的用戶並沒有看到它，因為有人在他們的機器上安裝了惡意證書，他們現在處於危險之中。 最典型的原因是我們上面概述的原因：使用自簽名證書的公司未在系統的受信任證書目錄中列出，因為它們從未由授權頒發者頒發。

鑑於有人對您使用惡意證書的可能性很低，並且導致警告的證書是並非由公開驗證的證書頒發機構創建的非惡意證書的可能性，您不必驚慌。

也就是說，沒有理由保留未知證書，也沒有理由忍受不適用於您的情況的警告。 讓我們看看在這兩種情況下您可以做什麼。

你能做什麼？

絕大多數來自合法來源的證書都應該經過適當的簽名和驗證。 在極少數情況下，您擁有未簽名的有效證書（例如，您自己創建或您的公司將其用於內部網絡），您可能會知道證書的來源，因為您參與了製作或對話IT 人員應該把事情弄清楚。

因此，除非您在公司環境中使用 Android（在這種情況下，您應該與 IT 人員核實一下證書的情況，因為它可能是他們創建的證書）或者您自己創建了證書，最簡單的解決方案就是按住在“受信任的證書”類別的“用戶”類別中找到的任何未知證書並將其刪除（刪除按鈕位於信息窗格的底部）。 未識別的鬆散端（尤其是在您的證書列表中）越少越好。

如果您有一個合法的證書因為它在“用戶”列表而不是“系統”列表中而引發錯誤，您可以（自行決定並承擔風險）手動將證書從用戶列表/目錄移動到系統列表/目錄。 這不是一項輕而易舉的任務，因此如果您不完全確信“用戶”列表中的證書是安全的，因為 1) 您創建了它，或者 2) 貴公司的 IT 人員驗證了它是他們的證書之一，你不應該嘗試移動。

如果您對證書的安全性和來源有信心，工程師和 Android 愛好者 Sam Hobbs 有一個清晰書面的說明指南，用於手動移動您的證書，另一位程序員和愛好者 Felix Ableitner 有一個開源應用程序，無需命令行工作。 同樣，除非您對證書有迫切（並且很好理解）的需要，否則我們建議您不要這樣做。

有一個緊迫的技術問題？ 向我們發送電子郵件至 [email protected]，我們將盡力回复。