Dear How-To Geek,
I recently bought a new Android phone, and there’s been this new warning message that’s kind of freaking me out a little bit. It never popped up on my old Android phone and now it pops up every few days or whenever I restart the phone. The message that flashes in the status bar and then appears in the notification menu is, “Network May Be Monitored,” and then if I click on the warning shortcut in the notification menu it takes me to a system menu labeled, “Trusted credentials,” with two tabs. One is labeled “system” and one is labeled “user.” There are tons of items listed in the “system” tab and only one in the “user” tab. What’s weird is the one item listed in the user tab looks like a router name “netgear.”
I have no idea what any of this stuff is or why Android is telling me that my network may be monitored. Should I be as freaked out by this message as I am, and what can I do to make it go away? I’ve attached some screenshots in case I’ve done a poor job describing the problem.
Sincerely,
Paranoid Android
Ez a fajta helyzet pontosan ezért nem voltunk különösebben kedvelve a hitelesítési kezelés végrehajtásában az Android 4.4-ben. A Google szíve a megfelelő helyen állt, de a frissítés, ahogyan a frissítés kezelte (és figyelmeztette a felhasználót), a legrosszabb esetben nem elegendő és nyugtalanító (a nem kezdett végfelhasználóhoz). Vessünk egy pillantást arra is, hogy mi a figyelmeztető üzenet, és mit tehetünk vele.
A figyelmeztetés forrása
Először is, magyarázzuk elmiért akkor ezt a hibaüzenet jelenik meg, mivel az Android a nulla hasznos visszajelzést adja e tekintetben. A telefon fenntartja a megbízható és felhasználó által biztosított biztonsági tanúsítványok listáját. A "Megbízható hitelesítő adatok" menüben található "rendszer" alatt szereplő bejegyzések hosszú listája lényegében csak egy nagy, régi, fehér listát jelent a jóváhagyott biztonsági tanúsítványt kibocsátóknak, akiket a Google elővette Android telefonját. Lényegében a telefon azt mondja: "Ó, oké, ezek az emberek megbízhatóak, ezért megbízhatunk az általuk kiadott biztonsági tanúsítványokkal."
Ha biztonsági tanúsítványt ad a telefonjához (akár manuálisan, akár egy másik felhasználó általi rosszindulatúan, akár egy általa használt szolgáltatás vagy webhelyen keresztül), ésnem amelyet az egyik előzetesen jóváhagyott kibocsátó bocsátott ki, akkor az Android biztonsági funkciója a "Networks monitorozható" figyelmeztetéssel jelenik meg. Technikailag ez egy pontos figyelmeztetés: ha rosszindulatú / veszélyeztetett biztonsági tanúsítványt telepített a készülékre, lehetséges, hogy bizonyos körülmények között figyelemmel kísérheti a készülékről érkező forgalmat. Az is lehetséges, hogy a vállalat vagy a hotspot szolgáltató saját erejü eszközeihez saját kiadású tanúsítványokat használjon erre a célra (habár jellemzően jóindulatúabb motívumok).
Sajnos a kiadott figyelmeztetés szükségtelenül ijesztő, és nem világos: ha nem tudod, hogy mi az afféle megbízhatósági tanúsítványokkal és biztonsági tanúsítvánnyal, akkor a figyelmeztetés bináris is lehet.
Ha többet szeretne tudni a figyelmeztetés technikai oldaláról (és arról, hogy a tanúsítványok kezelésének új rendszere hogyan keltette fel több embert), akkor ellenőrizheti ezeket az Android hibajelentési szálakat [1, 2] és e két blogbejegyzések a GeekTaco-n [1, 2], amelyek alaposan megvitatták a kérdést.
Ha aggódsz?
A figyelmeztetés nagyon komolyan megfogalmazódott, és aligha hibáztunk benneteket, mert kicsit kóboroltunk. De tényleg aggódjon? Az esetek túlnyomó többségében a hibát észlelő felhasználók nem látják, mert valaki rosszindulatú tanúsítványt telepített a gépére, és most veszélyben vannak. A leggyakoribb oka az, amelyet fent vázoltunk: olyan vállalatok, amelyek önállóan aláírt tanúsítványokat használnak, amelyek nincsenek felsorolva a rendszer megbízható könyvtárakban, mert soha nem adták ki az engedélyezett kibocsátók.
Figyelembe véve, hogy valaki rosszindulatú bizonyítékot használ Ön ellen, és a valószínűsége, hogy a figyelmeztetés nem rosszindulatú tanúsítványt jelent, amelyet nem egy nyilvánosan hitelesített tanúsító hatóság hoz létre, akkor nem kell pánikolni.
Ez azt jelenti, hogy nincs ok arra, hogy az ismeretlen tanúsítványokat megtartsuk, és nincs okunk elviselni azokat a figyelmeztetéseket, amelyek nem vonatkoznak a helyzetetekre. Nézzük meg, mit tehet mindkét forgatókönyvben.
Mit tudsz csinálni?
A jogos forrásokból származó bizonyítványok túlnyomó többségét megfelelően alá kell írni és ellenőrizni kell. Az olyan ritka esetekben, amikor érvényes tanúsítvánnyal rendelkezik (pl. Saját magad létrehozta, vagy a vállalat belső hálózatokhoz használja), vagy tudatában vagy a tanúsítvány eredetének, hiszen volt egy kezed, vagy egy beszélgetést az informatikusoknak tisztázniuk kell a dolgokat.
Ha rendelkezik egy olyan jogos tanúsítvánnyal, amely a hibát elhárítja, mert a "rendszer" lista helyett a "felhasználó" listában található, akkor (saját mérlegelésénél és kockázatánál) manuálisan áthelyezheti a tanúsítványt a felhasználói listáról / könyvtárról a rendszerlista / könyvtár. Ez nem könnyű feladat, tehát ha nem vagy teljesen biztos abban, hogy a tanúsítvány a "felhasználó" listában biztonságos, mert 1) megteremtette vagy 2) a vállalat IT-személyzete ellenőrizte, hogy ez az egyik tanúsítványa, ne próbálj meg mozogni.
Ha biztos benne a tanúsítvány biztonságában és eredetében, a mérnök és az Android rajongó Sam Hobbs rendelkezik világosan megírt útmutatóval a tanúsítványok manuális áthelyezése és egy másik programozó és rajongó számára. A Felix Ableitner egy nyílt forrású alkalmazással rendelkezik, amely ugyanazt a feladatot végzi parancssori munka. Ismételten, hacsak nem a sürgős (és jól érthető) szükség van a tanúsítványra, ajánljuk ellene.
Légy sürgető technikai kérdés? Lépj nekünk egy e-mailt az [email protected] címen, és mi mindent megteszünk, hogy válaszoljon.
