12Sep
El lanzamiento de Android 4.4 KitKat trajo una amplia gama de mejoras, incluida una seguridad mejorada. Si bien la seguridad puede ser más estricta, los mensajes pueden ser un poco crípticos.¿Qué significa exactamente la advertencia persistente de "Red puede ser monitoreada", en caso de que le preocupe, y qué puede hacer para deshacerse de ella?
Estimado How-To Geek,
Recientemente compré un nuevo teléfono con Android, y ha habido un nuevo mensaje de advertencia que me está volviendo loco un poco. Nunca apareció en mi viejo teléfono Android y ahora aparece cada pocos días o cada vez que reinicio el teléfono. El mensaje que parpadea en la barra de estado y luego aparece en el menú de notificación es "Se puede supervisar la red" y luego, si hago clic en el atajo de advertencia en el menú de notificaciones, me lleva a un menú del sistema con la etiqueta "Credenciales de confianza"."Con dos pestañas. Uno está etiquetado como "sistema" y uno está etiquetado como "usuario". Hay muchos elementos enumerados en la pestaña "sistema" y solo uno en la pestaña "usuario".Lo extraño es que el elemento enumerado en la pestaña del usuario parece un nombre de enrutador "netgear".
No tengo idea de qué es esto o por qué Android me dice que mi red puede ser monitoreada.¿Debería estar tan asustado por este mensaje como lo estoy, y qué puedo hacer para que desaparezca? He adjuntado algunas capturas de pantalla en caso de que haya hecho un mal trabajo describiendo el problema.
Atentamente,
Paranoid Android
Este tipo de situación es exactamente la razón por la cual no nos gustaba especialmente la implementación del manejo de credenciales en Android 4.4.El corazón de Google estaba en el lugar correcto, pero la forma en que la actualización lo manejó( y advirtió al usuario) es, en el mejor de los casos, poco elegante e inquietante( para el usuario final no iniciado) en el peor de los casos. Echemos un vistazo a lo que es el mensaje de advertencia y lo que puede hacer al respecto.
La fuente de la advertencia
Primero, explique por qué recibe este mensaje de error, ya que Android da casi cero comentarios útiles al respecto. Su teléfono mantiene una lista de certificados de seguridad confiables y suministrados por el usuario. Esa larga lista de entradas en "sistema" que encontraste en el menú "Credenciales de confianza" es esencialmente solo una gran lista blanca antigua de emisores de certificados de seguridad aprobados con los que Google preseleccionó tu teléfono Android. Esencialmente, su teléfono dice "Ah, está bien, estas personas son confiables, por lo que podemos confiar en certificados de seguridad emitidos por ellos".
Cuando se agrega un certificado de seguridad a su teléfono( ya sea manualmente, maliciosamente por otro usuario o automáticamente por algúnservicio o sitio que está utilizando) y es no emitido por uno de estos emisores preaprobados, entonces la característica de seguridad de Android entra en acción con la advertencia "Las redes pueden ser monitoreadas". Técnicamente, eso es una advertencia precisa: sicertificado de seguridad malicioso / comprometido está instalado en su dispositivo. Es posible que el tráfico de su dispositivo se pueda monitorear bajo ciertas circunstancias. También es posible que una empresa o proveedor de puntos de acceso use certificados autoemitidos en su propio hardware para este fin( aunque, por lo general, sus motivos son más benignos).
Lamentablemente, la advertencia emitida es innecesariamente aterradora y no está claro: si no sabe cuál es el trato con las credenciales de confianza y los certificados de seguridad, entonces la advertencia también podría ser binaria.
Un certificado ni siquiera tiene que ser genuinamente malicioso para activar las advertencias, sin embargo, solo debe ser emitido / firmado por una autoridad que no esté incluida en la lista del "sistema" de confianza. Esto significa que si firmó su propio certificado para algún uso( como configurar una conexión segura a su servidor doméstico), Android se quejará al respecto. También significa que si su empresa auto-firma sus certificados para uso interno y no paga un certificado oficialmente firmado, también recibirá una advertencia.
Finalmente, y estamos bastante seguros de que esto es exactamente lo que sucedió en su caso, si se conecta a una red Wi-Fi segura que está utilizando un certificado de seguridad de un emisor que no está en la lista de confianza de su teléfono, usted 'Obtendré el error. Técnicamente, como mencionamos anteriormente, la compañía podría estar usando el certificado autofirmado con fines maliciosos, pero la mayoría de las veces que se encuentra con este problema será porque 1) la compañía no quiere pagar las tarifas para un públicocertificado que utilizan para fines privados y 2) quieren un control total sobre la creación del certificado y el proceso de firma.
Si desea leer más sobre el aspecto técnico de la advertencia( y qué tan molesto está el nuevo sistema para manejar certificados que ha hecho más de unas pocas personas), puede consultar estos hilos de informes de errores de Android [1, 2] y estosdos publicaciones de blog en GeekTaco [1, 2] discutiendo el tema en profundidad.
¿Deberías preocuparte?
La advertencia está redactada muy seriamente, y casi no te culpamos por estar un poco asustado.¿Pero debería estar realmente preocupado? En la gran mayoría de los casos, los usuarios que ven este error no lo ven porque alguien ha instalado un certificado malicioso en su máquina, y ahora están en peligro. El motivo más típico es el que describimos anteriormente: empresas que utilizan certificados autofirmados que no figuran en el directorio del sistema de certificados confiables porque nunca fueron emitidos por un emisor autorizado.
Dada la probabilidad de que alguien que utiliza un certificado malicioso en su contra sea bajo y la probabilidad de que el certificado cause que la advertencia sea un certificado no malicioso que simplemente no fue creado por una autoridad certificadora verificada públicamente, no necesita entrar en pánico.
Dicho esto, no hay razón para mantener certificados desconocidos y no hay razón para soportar advertencias que no se aplican a su situación. Veamos qué puedes hacer en ambos escenarios.
¿Qué puedes hacer?
La gran mayoría de los certificados de fuentes legítimas deben estar debidamente firmados y verificados. En los casos excepcionales en que tenga un certificado sin firmar válido( por ejemplo, si lo creó usted mismo o si su empresa lo está utilizando para redes internas), conocerá el origen del certificado porque participó en la creación o en una conversación.con la gente de TI debería aclarar las cosas.
Así que a menos que esté usando Android en un entorno corporativo( en el que debe consultar con sus técnicos de TI para ver cuál es el problema con el certificado porque podría ser uno que crearon) o usted mismo creó el certificado, la solución más sencilla es solopara mantener presionados los certificados desconocidos que se encuentran en la categoría "usuario" de la categoría "certificados de confianza" y eliminarlos( el botón de eliminación se encuentra en la parte inferior del panel de información).Los cabos sueltos menos identificados( especialmente en su lista de certificados) es mejor.
Si tiene un certificado legítimo que arroja el error porque está en la lista de "usuario" en lugar de la lista "sistema", puede( a su propia discreción y riesgo) mover manualmente el certificado de la lista de usuarios / directorio ala lista del sistema / directorio. Esta no es una tarea que deba emprenderse a la ligera, así que si no está completamente seguro de que el certificado en la lista de "usuarios" es seguro porque 1) usted lo creó o 2) el personal de TI de su empresa verificó que es uno de sus certificados, no deberías intentar un movimiento.
Si tiene confianza en la seguridad y el origen del certificado, el entusiasta del ingeniero y Android Sam Hobbs tiene una guía de instrucciones claramente escrita para mover manualmente sus certificados y otro programador y entusiasta Felix Ableitner tiene una aplicación de código abierto que realiza la misma tarea sinla linea de comando funcionaNuevamente, a menos que tenga una necesidad apremiante( y bien entendida) del certificado, le recomendamos que no lo haga.
¿Tiene una pregunta técnica apremiante? Mándenos un correo electrónico a [email protected] y haremos nuestro mejor esfuerzo para responderlo.