12Sep
Utgåvan av Android 4.4 KitKat gav ett brett utbud av förbättringar, inklusive förbättrad säkerhet. Medan säkerheten kan vara hårdare kan meddelanden fortfarande vara lite kryptiska. Vad betyder den varaktiga varningen "Network Monitored"? Om du skulle vara orolig, och vad kan du göra för att bli av med det?
Kära hur-till-geek,
Jag köpte nyligen en ny Android-telefon, och det har varit det här nya varningsmeddelandet som är så lite att jag får mig lite. Det har aldrig dykt upp på min gamla Android-telefon och nu dyker det upp några dagar eller när jag startar om telefonen. Meddelandet som blinkar i statusfältet och visas sedan i meddelandemenyn är "Nätverket kan övervakas", och om jag klickar på varningsgenväggen i meddelandemenyn tar det mig till en systemmeny med etiketten "Trusted credentials,"Med två flikar. En är märkt "system" och en är märkt "användare". Det finns massor av föremål som är listade på fliken "system" och endast en i "användar" fliken. Vad är konstigt är att det ena objektet som är listat i användarfliken ser ut som ett routernamn "netgear".
Jag har ingen aning om vad någon av dessa saker är eller varför Android säger att mitt nätverk kan övervakas. Ska jag vara så freaked ut av det här meddelandet som jag är, och vad kan jag göra för att det ska gå iväg? Jag har bifogat några skärmdumpar om jag har gjort ett dåligt jobb som beskriver problemet.
Med vänliga hälsningar,
Paranoid Android
Denna typ av situation är exakt varför vi inte var särskilt förtjust i genomförandet av behörighetshantering i Android 4.4.Googles hjärta var på rätt ställe, men hur uppdateringen hanterade det( och varnade användaren) är i bästa fall oskadlig( oinitiativ slutanvändare) i värsta fall. Låt oss ta en titt på vad varningsmeddelandet är och vad du kan göra åt det.
Källan till varningen
Först låt oss förklara varför du får det här felmeddelandet eftersom Android ger nollan användbar feedback i detta avseende. Din telefon upprätthåller en lista över säkerhetscertifikat som är betrodda och medlevererade av användare. Den långa listan med poster under "system" som du hittade i menyn "Trusted credentials" är i grund och botten bara en stor gammal vit lista över godkända certifikatutgivare som Google förutsåg din Android-telefon med. I huvudsak säger din telefon: "Okej, dessa människor är trovärdiga, så vi kan lita på säkerhetscertifikat utfärdade av dem."
När ett säkerhetscertifikat läggs till i din telefon( antingen manuellt av dig, skadligt av en annan användare eller automatiskt av vissatjänst eller webbplats du använder) och är inte utfärdad av någon av dessa förutbestämda emittenter, kommer Android-säkerhetsfunktionen att fungera med varningen "Nätverk kan övervakas." Tekniskt är det en korrekt varning: om enskadligt / kompromissat säkerhetscertifikat är installerat på din enhet, det är möjligt att trafik från din enhet kan övervakas under vissa omständigheter. Det är också möjligt för företag eller hotspotleverantörer att använda egna utfärdat certifikat på egen maskinvara för detta ändamål( även om deras motiv är vanligare).
Tyvärr är den utgivna varningen obehagligt skrämmande och det är oklart: om du inte vet vad avtalet med tillförlitliga uppgifter och säkerhetscertifikat är så kan varningen också vara i binär.
Ett certifikat behöver inte ens vara verkligt skadligt för att utlösa varningarna, men det måste bara utfärdas / undertecknas av en myndighet som inte är listad i listan över betrodda system. Detta innebär att om du signerade ditt eget certifikat för viss användning( som att ställa in en säker anslutning till din hemserver), kommer Android att klaga på det. Det betyder också att om ditt företag självtecknar sina certifikat för internt bruk och inte betalar för ett officiellt undertecknat certifikat, får du också en varning.
Slutligen, och vi är ganska säkra på det här exakt vad som hände i ditt fall, om du ansluter till ett säkert Wi-Fi-nätverk som använder ett säkerhetscertifikat från en utgivare som inte finns på den betrodda listan i din telefon, Jag får felet. Tekniskt sett kan företaget, som vi nämnde ovan, använda det självtecknade certifikatet för skadliga ändamål, men praktiskt taget det mesta som du stöter på i den här frågan kommer det att orsaka 1) företaget vill inte betala avgifterna för en allmäncertifikat de använder för privata ändamål och 2) de vill ha total kontroll över certifikatskapandet och signeringsprocessen.
Om du vill läsa mer om den tekniska sidan av varningen( liksom hur upprörd det nya systemet för hanteringscertifikat har gjort fler än några personer) kan du kolla in dessa Android-felrapportrapporter [1, 2] och dessatvå blogginlägg på GeekTaco [1, 2] diskuterar frågan i djupet.
Skulle du vara orolig?
Varningen är formulerad väldigt seriöst, och vi skyller knappt dig för att vara lite freaked out. Men borde du faktiskt vara orolig? I de allra flesta fall kan användare som ser detta fel inte ser det eftersom någon har installerat ett skadligt certifikat på sin maskin och de är nu i fara. Den vanligaste orsaken är den som vi skisserade ovan: företag som använder sig av självtecknade certifikat som inte finns listade i systemets katalog över betrodda certifikat eftersom de aldrig utfärdades av en auktoriserad emittent.
Med tanke på sannolikheten för att någon använder ett skadligt certifikat mot att du är låg och sannolikheten för certifikatet som orsakar varningen som ett icke-skadligt certifikat som inte skapades av en offentligt verifierad certifikatmyndighet, behöver du inte panik.
Som sagt, det finns ingen anledning att hålla okända certifikat kvar och ingen anledning att uthärda varningar som inte gäller din situation. Låt oss titta på vad du kan göra i båda scenarierna.
Vad kan du göra?
Den överväldigande majoriteten av certifikat från legitima källor ska vara korrekt undertecknad och verifierad. I de sällsynta fallen att du har en unsigned med ett giltigt certifikat( t.ex. du skapade det själv eller ditt företag använder det för interna nätverk) skulle du antingen vara medveten om certifikatets ursprung eftersom du hade en hand att göra det eller en konversationmed IT-folk borde klara upp saker.
Såvida du inte använder Android i en företagsmiljö( där du bör kolla med dina IT-killar för att se vad avtalet är med certifikatet eftersom det kan vara en de skapade) eller om du själv skapade certifikatet är den enklaste lösningen baraför att trycka på och hålla kvar eventuella okända certifikat som finns i kategorin "användare" i kategorin "betrodda certifikat" och radera dem( borttagningsknappen finns längst ner i informationsfönstret).Ju mindre oidentifierade lösa ändar( speciellt i din certifikatlista) desto bättre.
Om du har ett legitimt certifikat som kasta upp felet eftersom det finns i "användarlistan" istället för "systemlistan" kan du( efter eget gottfinnande och risk) manuellt flytta certifikatet från användarlistan / katalogen tillsystemlistan / katalogen. Det här är inte en uppgift som ska genomföras lätt, så om du inte är helt säker på att intyget i användarlistan är säkert eftersom antingen 1) du skapade det eller 2) IT-personalen hos ditt företag verifierat att det är ett av deras certifikat, du borde inte försöka flytta.
Om du är säker på certifikatets säkerhet och ursprung, har ingenjör och Android-entusiast Sam Hobbs en tydligt instruktionsguide för att manuellt flytta dina certifikat och en annan programmerare och entusiast Felix Ableitner har en öppen källkodsapplikation som utför samma uppgift utankommandoraden fungerar.Återigen, om du inte har ett pressande( och väl förstått) behov av certifikatet, rekommenderar vi det mot det.
Har du en snabb teknisk fråga? Skjut oss ett mail på [email protected] och vi gör vårt bästa för att svara på det.