12Sep

Qual é o acordo com a persistente "Rede da Android pode ser monitorada" Aviso?

O lançamento do Android 4.4 KitKat trouxe uma ampla gama de melhorias incluídas segurança aprimorada. Embora a segurança possa ser mais apertada, as mensagens ainda podem ser um pouco enigmáticas. O que exatamente o persistente "Rede pode ser monitorado" significa, se você estiver preocupado e o que você pode fazer para se livrar dele?

Caro How-To Geek,

Recentemente, comprei um novo telefone Android, e tem havido esta nova mensagem de aviso que está me deixando um pouco errado. Nunca surgiu no meu antigo telefone Android e agora aparece cada poucos dias ou sempre que eu reiniciar o telefone. A mensagem que pisca na barra de status e, em seguida, aparece no menu de notificação é "Rede pode ser monitorada" e, se eu clicar no atalho de aviso no menu de notificação, leva-me a um menu do sistema com a etiqueta "Credenciais confiáveis,"Com duas guias. Um é rotulado de "sistema" e um é rotulado de "usuário". Há toneladas de itens listados na guia "sistema" e apenas um na guia "usuário".O que é estranho é que um item listado na guia do usuário parece um nome do roteador "netgear".

Eu não tenho idéia do que é esse tipo de coisa ou porque o Android está me dizendo que minha rede pode ser monitorada. Eu deveria estar tão assustado com essa mensagem como eu sou, e o que posso fazer para que ela desapareça? Anexei algumas capturas de tela no caso de eu ter feito um trabalho ruim descrevendo o problema.

Atenciosamente,

Paranoid Android

Este tipo de situação é exatamente por isso que não gostamos particularmente da implementação do gerenciamento de credenciais no Android 4.4.O coração do Google estava no lugar certo, mas a maneira como a atualização o tratava( e alertou o usuário) é inelegante na melhor das hipóteses e perturbadora( para o usuário final não iniciado) na pior das hipóteses. Vejamos o que a mensagem de alerta é mesmo e o que você pode fazer sobre isso.

A Fonte do Aviso

Primeiro, vamos explicar o por que você está recebendo esta mensagem de erro, uma vez que o Android oferece comentários úteis a zero a este respeito. O seu telefone mantém uma lista de certificados de segurança confiáveis ​​e fornecidos pelo usuário. Essa longa lista de entradas no "sistema" que você encontrou no menu "Credenciais Confiáveis" é essencialmente apenas uma grande lista branca antiga de emissores de certificados de segurança aprovados que o Google pré-semeou seu telefone Android. Essencialmente, seu telefone diz "Oh, tudo bem, essas pessoas são confiáveis, para que possamos confiar nos certificados de segurança emitidos por eles."

Quando um certificado de segurança é adicionado ao seu telefone( manualmente por você, maliciosamente por outro usuário ou automaticamente por algunsserviço ou site que você está usando) e é não emitido por um desses emissores pré-aprovados, então o recurso de segurança do Android entra em ação com o aviso "As redes podem ser monitoradas". Tecnicamente, isso é um aviso preciso: se umO certificado de segurança malicioso / comprometido está instalado no seu dispositivo, é possível que o tráfego do seu dispositivo possa ser monitorado em determinadas circunstâncias. Também é possível para uma empresa ou provedor de ponto de acesso usar certificados auto-emitidos em seu próprio hardware para esse propósito( embora, tipicamente, seus motivos sejam mais benignos).

Infelizmente, o aviso emitido é desnecessariamente assustador e não está claro: se você não sabe qual é o acordo com credenciais confiáveis ​​e certificados de segurança, então o aviso também pode ser em binário.

Um certificado nem precisa ser genuinamente mal-intencionado para ativar as advertências, no entanto, ele só precisa ser emitido / assinado por uma autoridade que não está listada na lista de "sistema" confiável. Isso significa que se você assinou seu próprio certificado para algum uso( como configurar uma conexão segura com seu servidor doméstico), o Android irá reclamar sobre isso. Isso também significa que, se sua empresa auto-assina seus certificados para uso interno e não paga por um certificado assinado oficialmente, você também receberá um aviso.

Finalmente, e estamos bastante seguros disso exatamente o que aconteceu no seu caso, se você se conectar a uma rede Wi-Fi segura que esteja usando um certificado de segurança de um emissor que não esteja na lista confiável no seu telefone,obteremos o erro. Tecnicamente, como mencionamos acima, a empresa poderia estar usando o certificado auto-assinado por motivos maliciosos, mas praticamente a maior parte do tempo você encontrou esta questão, será causa 1) a empresa não quer pagar as taxas por um públicocertificado que eles usam para fins privados e 2) querem controle total sobre o processo de criação e assinatura de certificados.

Se você quiser ler mais sobre o lado técnico do aviso( assim como o aborrecimento do novo sistema para o gerenciamento de certificados fez mais do que algumas pessoas), você pode verificar esses tópicos do relatório de erros do Android [1, 2] e estesduas postagens de blog no GeekTaco [1, 2] que discutem a questão em profundidade.

Você deveria estar preocupado?

O aviso está redigido muito a sério, e dificilmente culpamos você por estar um pouco assustado. Mas você deveria estar preocupado? Na grande maioria dos casos, os usuários que vêem esse erro não estão vendo isso porque alguém instalou um certificado malicioso em sua máquina, e eles agora estão em perigo. O motivo mais típico é aquele que descrevemos acima: empresas que usam certificados auto-assinados que não estão listados no diretório dos certificados confiáveis ​​do sistema porque nunca foram emitidos por um emissor autorizado.

Dada a probabilidade de alguém usar um certificado malicioso contra você ser baixo e a probabilidade de o certificado causar que o aviso seja um certificado não malicioso que simplesmente não foi criado por uma autoridade de certificação verificada em público, você não precisa entrar em pânico.

Dito isto, não há motivos para manter certificados desconhecidos e sem motivo para aguentar avisos que não se aplicam à sua situação. Vejamos o que você pode fazer em ambos os cenários.

O que você pode fazer?

A super maioria dos certificados de fontes legítimas deve ser devidamente assinada e verificada. Nos raros casos em que você possui um certificado não assinado por válido( por exemplo, você criou você mesmo ou a sua empresa o está usando para redes internas), você deve estar ciente da origem do certificado porque teve uma mão em fazê-lo ou conversacom as pessoas de TI deveriam esclarecer as coisas.

Então, a menos que você esteja usando o Android em um ambiente corporativo( em que você deve verificar com seus empregados da TI para ver qual é o acordo com o certificado porque pode ser um deles criou) ou você criou o certificado você mesmo, a solução mais fácil é apenaspara pressionar e segurar todos os certificados desconhecidos encontrados na categoria "usuário" da categoria "certificados confiáveis" e excluí-los( o botão de remoção está localizado na parte inferior do painel de informações).As extremidades soltas menos identificadas( especialmente na sua lista de certificados), melhor.

Se você possuir um certificado legítimo que está vomitando o erro porque está na lista "usuário" em vez da lista "sistema", você pode( a seu critério e risco) mover manualmente o certificado da lista de usuários / diretório parao diretório / diretório do sistema. Esta não é uma tarefa a ser levada a cabo de forma leve, por isso, se você não está completamente confiante de que o certificado na lista de "usuários" é seguro porque 1) você criou ou 2) a equipe de TI de sua empresa verificou que é um dos certificados deles, você não deve tentar uma jogada.

Se você tem confiança na segurança e na origem do certificado, engenheiro e entusiasta do Android, o Sam Hobbs possui um guia de instruções claramente escrito para mover manualmente seus certificados e outro programador e entusiasta. Felix Ableitner possui uma aplicação de código aberto que executa a mesma tarefa semo trabalho de linha de comando. Novamente, a menos que você tenha uma necessidade premente( e bem compreendida) do certificado, recomendamos contra isso.

Tem uma pergunta de tecnologia urgente? Nos apresente um e-mail para [email protected] e faremos o nosso melhor para respondê-lo.