Apa Kesepakatan dengan Peringatan Network May Be Dipantau Persisten Android?

Rilis Android 4.4 KitKat membawa beragam perbaikan termasuk peningkatan keamanan. Meskipun keamanannya mungkin lebih ketat, pesannya masih sedikit samar. Apa sebenarnya arti dari peringatan “Network May Be Monitored” yang gigih, jika Anda khawatir, dan apa yang dapat Anda lakukan untuk menghilangkannya?

How-To Geek yang terhormat,

Baru-baru ini saya membeli ponsel Android baru, dan ada pesan peringatan baru yang agak membuat saya sedikit ketakutan. Itu tidak pernah muncul di ponsel Android lama saya dan sekarang muncul setiap beberapa hari atau setiap kali saya me-restart telepon. Pesan yang berkedip di bilah status dan kemudian muncul di menu pemberitahuan adalah, "Jaringan Dapat Dipantau," dan kemudian jika saya mengklik pintasan peringatan di menu pemberitahuan, saya akan dibawa ke menu sistem yang berlabel, "Kredensial tepercaya, ”Dengan dua tab. Satu diberi label "sistem" dan satu lagi diberi label "pengguna." Ada banyak item yang terdaftar di tab "sistem" dan hanya satu di tab "pengguna". Yang aneh adalah satu item yang terdaftar di tab pengguna terlihat seperti nama router "netgear."

Saya tidak tahu apa hal ini atau mengapa Android memberi tahu saya bahwa jaringan saya dapat dimonitor. Haruskah saya sama takutnya dengan pesan ini seperti saya, dan apa yang bisa saya lakukan untuk menghilangkannya? Saya telah memasang beberapa tangkapan layar seandainya saya melakukan pekerjaan yang buruk dengan menjelaskan masalahnya.

Hormat kami,

Android Paranoid

Situasi seperti ini adalah persis mengapa kami tidak terlalu menyukai implementasi penanganan kredensial di Android 4.4. Hati Google berada di tempat yang tepat, tetapi cara pembaruan itu menanganinya (dan memperingatkan pengguna) paling tidak bagus dan meresahkan (bagi pengguna akhir yang belum tahu) paling buruk. Mari kita lihat apa pesan peringatan itu dan apa yang dapat Anda lakukan.

Sumber Peringatan

Pertama, mari kita jelaskan Mengapa Anda mendapatkan pesan kesalahan ini karena Android memberikan hampir nol umpan balik yang berguna dalam hal ini. Ponsel Anda menyimpan daftar sertifikat keamanan tepercaya dan yang disediakan pengguna. Daftar panjang entri di bawah "sistem" yang Anda temukan di menu "Kredensial tepercaya" pada dasarnya hanyalah daftar putih besar penerbit sertifikat keamanan yang disetujui yang sebelumnya telah diunggulkan oleh Google di ponsel Android Anda. Pada dasarnya ponsel Anda mengatakan, "Oh, oke, orang-orang ini dapat dipercaya, sehingga kami dapat mempercayai sertifikat keamanan yang dikeluarkan oleh mereka."

Ketika sertifikat keamanan ditambahkan ke telepon Anda (baik secara manual oleh Anda, jahat oleh pengguna lain, atau secara otomatis oleh beberapa layanan atau situs yang Anda gunakan) dan itu adalah tidak dikeluarkan oleh salah satu penerbit yang telah disetujui ini, maka fitur keamanan Android beraksi dengan peringatan "Networks May Be Dipantau." Secara teknis, itu peringatan yang akurat: jika sertifikat keamanan berbahaya / dikompromikan dipasang pada perangkat Anda, ada kemungkinan bahwa lalu lintas dari perangkat Anda dapat dipantau dalam kondisi tertentu. Mungkin juga bagi perusahaan atau penyedia hotspot untuk menggunakan sertifikat yang diterbitkan sendiri pada perangkat keras mereka sendiri untuk tujuan ini (walaupun, motif mereka lebih jinak).

Sayangnya peringatan yang dikeluarkan tidak perlu menakutkan dan tidak jelas: jika Anda tidak tahu apa kesepakatannya dengan kredensial tepercaya dan sertifikat keamanan, maka peringatan itu mungkin juga dalam bentuk biner..

Sebuah sertifikat bahkan tidak harus benar-benar jahat untuk memicu peringatan, namun, sertifikat itu hanya harus dikeluarkan / ditandatangani oleh otoritas yang tidak terdaftar dalam daftar "sistem" tepercaya. Ini berarti jika Anda menandatangani sertifikat Anda sendiri untuk beberapa penggunaan (seperti menyiapkan koneksi aman ke server rumah Anda) maka Android akan mengeluh tentang hal itu. Ini juga berarti bahwa jika perusahaan Anda menandatangani sendiri sertifikat mereka untuk penggunaan in-house dan tidak membayar untuk sertifikat yang ditandatangani secara resmi, Anda juga akan mendapatkan peringatan.

Akhirnya, dan kami cukup yakin ini persis apa yang terjadi dalam kasus Anda, jika Anda terhubung ke jaringan Wi-Fi aman yang menggunakan sertifikat keamanan dari penerbit yang tidak ada dalam daftar tepercaya di ponsel Anda, Anda akan dapatkan kesalahan. Secara teknis, seperti yang kami sebutkan di atas, perusahaan dapat menggunakan sertifikat yang ditandatangani sendiri untuk tujuan jahat, tetapi secara praktis sebagian besar waktu Anda mengalami masalah ini karena 1) perusahaan tidak ingin membayar biaya untuk publik sertifikat yang mereka gunakan untuk keperluan pribadi dan 2) mereka ingin kontrol penuh atas proses pembuatan dan penandatanganan sertifikat.

Jika Anda ingin membaca lebih lanjut tentang sisi teknis peringatan (serta seberapa marah sistem baru untuk menangani sertifikat telah membuat lebih dari beberapa orang) Anda dapat memeriksa utas laporan bug Android ini [1, 2] dan kedua posting blog di GeekTaco [1, 2] membahas masalah ini secara mendalam.

Haruskah Anda Khawatir?

Peringatan itu diucapkan dengan sangat serius, dan kami hampir tidak menyalahkan Anda karena sedikit ketakutan. Tetapi apakah Anda benar-benar khawatir? Dalam sebagian besar kasus, pengguna yang melihat kesalahan ini tidak melihatnya karena seseorang telah menginstal sertifikat jahat pada mesin mereka, dan mereka sekarang dalam bahaya. Alasan paling umum adalah yang kami uraikan di atas: perusahaan yang menggunakan sertifikat yang ditandatangani sendiri yang tidak tercantum dalam direktori sistem sertifikat tepercaya karena tidak pernah dikeluarkan oleh penerbit resmi.

Mengingat kemungkinan seseorang menggunakan sertifikat jahat terhadap Anda rendah dan kemungkinan sertifikat menyebabkan peringatan menjadi sertifikat tidak berbahaya yang tidak dibuat oleh otoritas sertifikat yang diverifikasi publik, Anda tidak perlu panik.

Yang mengatakan, tidak ada alasan untuk menyimpan sertifikat yang tidak diketahui dan tidak ada alasan untuk menanggung peringatan yang tidak berlaku untuk situasi Anda. Mari kita lihat apa yang dapat Anda lakukan di kedua skenario.

Apa yang bisa kau lakukan?

Super mayoritas sertifikat dari sumber yang sah harus ditandatangani dan diverifikasi dengan benar. Dalam kasus yang jarang terjadi, Anda memiliki tanda yang tidak ditandatangani oleh sertifikat yang valid (mis. Anda membuatnya sendiri atau perusahaan Anda menggunakannya untuk jaringan internal) Anda akan mengetahui asal-usul sertifikat itu karena Anda memiliki andil dalam membuatnya atau berbicara dengan IT orang-orang harus membereskan semuanya.

Jadi, kecuali Anda menggunakan Android di lingkungan perusahaan (di mana Anda harus memeriksa dengan orang-orang IT Anda untuk melihat apa masalahnya dengan sertifikat karena mungkin itu yang mereka buat) atau Anda membuat sertifikat sendiri, solusi termudah adalah dengan tekan dan tahan pada sertifikat yang tidak dikenal yang ditemukan dalam kategori "pengguna" dari kategori "sertifikat tepercaya" dan hapuslah (tombol penghapusan terletak di bagian bawah panel informasi). Ujung longgar yang kurang teridentifikasi (terutama dalam daftar sertifikat Anda) semakin baik.

Jika Anda memiliki sertifikat sah yang memunculkan kesalahan karena ada dalam daftar "pengguna" dan bukan daftar "sistem", Anda dapat (atas kebijakan dan risiko Anda sendiri) secara manual memindahkan sertifikat dari daftar pengguna / direktori ke daftar sistem / direktori. Ini bukan tugas yang harus dilakukan dengan ringan jadi jika Anda tidak sepenuhnya yakin bahwa sertifikat dalam daftar "pengguna" aman karena 1) Anda membuatnya atau 2) staf TI di perusahaan Anda memverifikasi bahwa itu salah satu dari sertifikat mereka , Anda seharusnya tidak mencoba bergerak.

Jika Anda yakin dengan keamanan dan asal sertifikat, insinyur dan penggemar Android Sam Hobbs memiliki panduan instruksi yang ditulis dengan jelas untuk memindahkan sertifikat Anda secara manual dan programmer lain dan penggemar Felix Ableitner memiliki aplikasi open-source yang melakukan tugas yang sama tanpa pekerjaan command line. Sekali lagi, kecuali jika Anda memiliki kebutuhan mendesak (dan dipahami dengan baik) untuk sertifikat, kami sarankan untuk tidak melakukannya.

Punya pertanyaan teknologi yang mendesak? Kirimkan email kepada kami di [email protected] dan kami akan melakukan yang terbaik untuk menjawabnya.