utgivelsen av Android 4.4 KitKat brakt en rekke forbedringer inkludert forbedret sikkerhet. Mens sikkerheten kan være strammere, kan meldingene fortsatt være litt kryptisk. Hva gjør vedvarende "Nettverk kan overvåkes" advarsel mener, bør du være bekymret, og hva kan du gjøre for å bli kvitt det?

Kjære How-To Geek, etter

Jeg har nylig kjøpte en ny Android-telefon, og det har vært denne nye advarsel som er slags skremmer meg litt. Det dukket aldri opp på min gamle Android-telefon, og nå dukker det opp noen få dager eller når jeg starter telefonen. Meldingen som blinker i statuslinjen og deretter vises i systemstatusfeltet menyen, "Network kan overvåkes", og hvis jeg klikker på advarselen snarvei i varslingsmenyen det tar meg til et system meny merket, "Trusted legitimasjon, "med to faner. Den ene er merket "system" og en er merket "bruker". Det er tonnevis av elementer som er oppført i kategorien "system" og eneste i "bruker" -kategorien. Hva er rart er ett element oppført i bruker kategorien ser ut som et navn på ruter "netgear."

Jeg aner ikke hva noen av denne ting er eller hvorfor Android er å fortelle meg at mitt nettverk kan overvåkes. Bør jeg være så freaked ut av denne meldingen som jeg er, og hva kan jeg gjøre for å gjøre det gå unna? Jeg har lagt noen skjermbilder i tilfelle jeg har gjort en dårlig jobb som beskriver problemet.

Med vennlig hilsen, etter

Paranoid Android

Denne type situasjon er nøyaktig hvorfor vi weren 't spesielt glad i gjennomføringen av legitimasjons håndtering i Android 4.4. Google hjerte var på rett sted, men måten oppdateringen håndtert det (og advarte brukeren) er uelegant i beste fall og foruroligende (for de uinnvidde sluttbruker) i verste fall. La oss ta en titt på hva advarselen selv er og hva du kan gjøre med det.

The Source av Warning

Først, la oss forklare hvorfor
du er får denne feilmeldingen siden Android gir ved siden av null nyttig tilbakemelding i denne forbindelse. Telefonen vedlikeholder en liste over klarerte og bruker levert sikkerhetssertifikater. Den lange listen over oppføringer under "system" du fant i "Trusted legitimasjon" -menyen er egentlig bare en stor gammel hvit liste over godkjente sertifikatutstederne at Google pre-seeded din Android-telefon med. Hovedsak telefonen sier "Åh, ok, disse menneskene er troverdig, slik at vi kan stole på sikkerhetssertifikater utstedt av dem."

Når et sikkerhetssertifikat er lagt til på telefonen din (enten manuelt av deg, skadelig av en annen bruker , eller automatisk ved noen tjeneste eller nettsted du bruker), og det er ikke anbefale utstedt av en av disse forhåndsgodkjente utstedere, da Android sikkerhet har fjærer til handling med advarselen "Nettverk kan overvåkes." teknisk sett er det en nøyaktig advarsel: hvis et ondsinnet /kompromittert sikkerhetssertifikat er installert på enheten er det mulig at trafikken fra enheten kan overvåkes under visse omstendigheter. Det er også mulig for en bedrift eller hotspot-leverandøren for å bruke selv utstedt sertifikater på sin egen maskinvare for dette formålet (men typisk, deres motiver er mer godartet).

Dessverre er utstedt advarsel er unødvendig skremmende, og det er uklart : hvis du ikke vet hva avtalen med troverdige legitimasjon og sikkerhetssertifikater er da advarselen kan like godt være i binær

Et sertifikat ikke engang å være genuint skadelig. å utløse advarslene, derimot, har det bare for å bli utstedt /underskrevet av en myndighet som ikke er oppført i den pålitelige "system" -listen. Dette betyr at hvis du har registrert ditt eget sertifikat for noen bruk (som å sette opp en sikker tilkobling til hjemmeserveren) så Android vil klage om det. Det betyr også at hvis selskapet selv signerer sine sertifikater for in-house bruk og ikke betaler for et offisielt signert sertifikat, vil du også få en advarsel.

Til slutt, og vi er ganske sikker på at dette er akkurat hva som skjedde i ditt tilfelle, hvis du kobler til et sikkert Wi-Fi-nettverk som bruker et sikkerhetssertifikat fra en utsteder som ikke er på listen over klarerte i telefonen, vil du få feil. Teknisk, som vi nevnte ovenfor, kan selskapet være å bruke det selvsignerte sertifikatet for skadelige formål, men praktisk talt det meste av tiden du kjører inn i denne saken vil det være årsak 1) selskapet ikke ønsker å betale avgifter for en offentlig sertifikat de bruker til private formål og 2) de ønsker total kontroll over skaperverket sertifikat og signeringsprosessen.

Hvis du ønsker å lese mer om den tekniske siden av advarselen (samt hvor lei det nye systemet for håndtering av sertifikater har gjort mer enn noen få personer) kan du sjekke ut disse Android bug rapport tråder [1, 2], og disse to blogginnlegg på GeekTaco [1, 2] diskutere saken i dybden.

bør du være bekymret?

advarselen er formulert svært alvorlig, og vi knapt klandre deg for å være litt avvikende ut. Men bør du faktisk være bekymret? I de aller fleste tilfeller brukere ser denne feilen ikke ser det fordi noen har installert en ondsinnet sertifikat på maskinen sin, og de er nå i fare. Den mest typiske grunnen er den vi skissert ovenfor. Bedrifter som bruker egensignerte sertifikater som ikke er oppført i systemets katalog over klarerte sertifikater fordi de aldri ble utstedt av en autorisert utsteder

Gitt sannsynligheten for noen ved hjelp av en ondsinnet sertifikat mot deg å være lav, og sannsynligheten for sertifikatet forårsaker advarselen å være et ikke-skadelig sertifikat som bare ikke ble skapt av en offentlig godkjente sertifiseringsinstans, trenger du ikke å få panikk.

Når det er sagt, er det ingen grunn til å holde ukjente sertifikater rundt og ingen grunn til å holde ut advarsler som ikke gjelder for din situasjon. La oss se på hva du kan gjøre i begge scenariene.

Hva kan du gjøre?

kvalifisert flertall av sertifikater fra lovlige kilder bør være riktig signert og verifisert. I de sjeldne tilfeller at du har en usignert av gyldig sertifikat (f.eks du laget den selv eller bedriften bruker det for interne nettverk) du enten ville være klar over opprinnelsen til sertifikatet fordi du hadde en hånd i å gjøre det, eller en samtale med IT-folk bør klare ting opp.

Så med mindre du bruker Android i et bedriftsmiljø (hvor du bør sjekke med IT-gutta å se hva avtalen er med sertifikatet fordi det kan være en de laget), eller du opprettet sertifikatet selv, er den enkleste løsningen bare å trykke og holde på ukjente sertifikater som finnes i kategorien "bruker" av "klarert sertifikater" kategori og slette dem (fjerning knappen er plassert på bunnen av informasjonsruten). De mindre uidentifiserte løse tråder (spesielt i din sertifikater liste) bedre.

Hvis du har en legitim sertifikat som kaster opp feilen fordi det er i "bruker" liste i stedet for "systemet" liste, du kan (på eget ansvar og risiko) manuelt flytte sertifikatet fra brukerlisten /katalog til systemet liste /katalog. Dette er ikke en oppgave som skal foretas lett så hvis du ikke er helt sikker på at sertifikatet i "bruker" -listen er trygt fordi enten 1) du har laget den, eller 2) IT-ansatte i bedriften bekreftet at det er en av deres sertifikater du bør ikke forsøke et trekk.

Hvis du er sikker på sikkerhet og opprinnelsen til sertifikatet, ingeniør og Android entusiast Sam Hobbs har en tydelig skrevet bruksanvisningen for manuelt å flytte sertifikater og annen programmerer og entusiast Felix Ableitner har en åpen kildekode-program som utfører den samme oppgaven uten kommandolinjen arbeid. Igjen, med mindre du har et presserende (og godt forstått) trenger til sertifikatet, anbefaler vi mot den.
Har du et presser tech spørsmålet?

Skyte oss en epost på [email protected] og vi vil gjøre vårt beste for å svare på det. Anmeldelser