Il rilascio di Android 4.4 KitKat ha portato una vasta gamma di miglioramenti tra cui una maggiore sicurezza. Mentre la sicurezza potrebbe essere più stretta, i messaggi possono ancora essere un po 'criptici. Cosa significa esattamente l'avvertimento persistente “Network May Be Monitored”, dovresti essere preoccupato e cosa puoi fare per sbarazzartene?
Gentile How-To Geek,
Di recente ho comprato un nuovo telefono Android e c'è stato questo nuovo messaggio di avvertimento che mi fa spaventare un po '. Non è mai apparso sul mio vecchio telefono Android e ora si apre ogni pochi giorni o ogni volta che riavvio il telefono. Il messaggio che lampeggia nella barra di stato e quindi appare nel menu di notifica è “La rete può essere monitorata”, quindi se faccio clic sul collegamento di avviso nel menu di notifica mi porta a un menu di sistema denominato “Credenziali attendibili, “Con due schede. Uno è etichettato “sistema” e uno è etichettato “utente”. Ci sono tonnellate di elementi elencati nella scheda “sistema” e solo uno nella scheda “utente”. La cosa strana è che un elemento elencato nella scheda utente sembra un nome di router “netgear”.
Non ho idea di cosa sia questa roba o perché Android mi sta dicendo che la mia rete potrebbe essere monitorata. Dovrei essere spaventato da questo messaggio come me, e cosa posso fare per farlo sparire? Ho allegato alcuni screenshot nel caso in cui avessi fatto un cattivo lavoro nel descrivere il problema.
Cordiali saluti,
Androide paranoico
Questo tipo di situazione è esattamente il motivo per cui non eravamo particolarmente affezionati all'implementazione della gestione delle credenziali in Android 4.4. Il cuore di Google era nel posto giusto, ma il modo in cui l'aggiornamento lo ha gestito (e ha avvisato l'utente) è nella migliore delle ipotesi non inquietante e inquietante (per l'utente finale non iniziato) nella peggiore delle ipotesi. Diamo un'occhiata a che cos'è anche il messaggio di avviso e cosa puoi fare al riguardo.
La fonte dell'avvertimento
Innanzitutto, spieghiamo perché stai ricevendo questo messaggio di errore poiché Android fornisce quasi zero feedback utili al riguardo. Il telefono mantiene un elenco di certificati di sicurezza affidabili e forniti dall'utente. Quella lunga lista di voci in “sistema” che hai trovato nel menu “Credenziali attendibili” è essenzialmente solo una grande vecchia lista bianca di emittenti di certificati di sicurezza approvati con cui Google ha pre-seeding il tuo telefono Android. In sostanza il tuo telefono dice “Oh, okay, queste persone sono affidabili, quindi possiamo fidarci dei certificati di sicurezza emessi da loro.”
Quando un certificato di sicurezza viene aggiunto al tuo telefono (manualmente, maliziosamente da un altro utente o automaticamente da un servizio o sito che stai utilizzando) ed è non emesso da uno di questi emittenti pre-approvati, la funzione di sicurezza di Android entra in azione con l'avvertenza “Le reti possono essere monitorate”. Tecnicamente, questo è un avvertimento accurato: se un certificato di sicurezza dannoso / compromesso è installato sul tuo dispositivo è possibile che il traffico dal tuo dispositivo può essere monitorato in determinate circostanze. È anche possibile per una società o un fornitore di hotspot utilizzare certificati auto-emessi sul proprio hardware per questo scopo (sebbene, in genere, i loro motivi siano più favorevoli).
Sfortunatamente l'avviso emesso è inutilmente spaventoso e non è chiaro: se non sai quale sia l'accordo con credenziali affidabili e certificati di sicurezza, l'avviso potrebbe anche essere binario.
Non è nemmeno necessario che un certificato sia realmente dannoso per attivare gli avvisi, tuttavia, deve solo essere emesso / firmato da un'autorità che non è elencata nell'elenco “di sistema” attendibile. Ciò significa che se hai firmato il tuo certificato per un certo uso (come impostare una connessione sicura al tuo server di casa), Android si lamenterà di questo. Significa anche che se la tua azienda firma automaticamente i propri certificati per uso interno e non paga un certificato firmato ufficialmente, riceverai anche un avviso.
Infine, e siamo abbastanza sicuri che sia esattamente quello che è successo nel tuo caso, se ti connetti a una rete Wi-Fi sicura che utilizza un certificato di sicurezza di un emittente che non è nell'elenco di fiducia del tuo telefono, dovrai ottenere l'errore. Tecnicamente, come abbiamo menzionato sopra, la società potrebbe utilizzare il certificato autofirmato per scopi dannosi ma praticamente la maggior parte delle volte che si verifica questo problema sarà la causa 1) la società non vuole pagare le tasse per un pubblico certificato che usano per scopi privati e 2) vogliono il controllo totale sulla creazione del certificato e sul processo di firma.
Se vuoi saperne di più sul lato tecnico dell'avvertimento (e su quanto il nuovo sistema per la gestione dei certificati ha reso più di poche persone) puoi dare un'occhiata a questi thread di segnalazione bug Android (1, 2) e questi due post di blog su GeekTaco (1, 2) che approfondiscono il problema.
Dovresti essere preoccupato?
L'avvertimento è espresso molto seriamente e difficilmente ti incolpiamo per essere un po 'impazzito. Ma dovresti davvero essere preoccupato? Nella stragrande maggioranza dei casi gli utenti che vedono questo errore non lo vedono perché qualcuno ha installato un certificato dannoso sulla propria macchina e ora sono in pericolo. Il motivo più tipico è quello che abbiamo delineato sopra: società che utilizzano certificati autofirmati che non sono elencati nella directory dei certificati attendibili del sistema perché non sono mai stati emessi da un emittente autorizzato.
Data la probabilità che qualcuno utilizzi un certificato dannoso contro di te basso e la probabilità che il certificato causi l'avvertimento come un certificato non dannoso che non è stato creato da un'autorità di certificazione verificata pubblicamente, non devi farti prendere dal panico.
Detto questo, non vi è alcun motivo per mantenere certificati sconosciuti e nessun motivo per sopportare avvisi che non si applicano alla tua situazione. Diamo un'occhiata a cosa puoi fare in entrambi gli scenari.
Cosa sai fare?
La maggior parte dei certificati provenienti da fonti legittime deve essere correttamente firmata e verificata. Nei rari casi in cui hai un unsigned da certificato valido (ad es. Lo hai creato tu stesso o la tua azienda lo sta utilizzando per reti interne) potresti essere a conoscenza dell'origine del certificato perché hai avuto una mano nel realizzarlo o in una conversazione con la gente IT dovrebbe chiarire le cose.
Quindi, a meno che tu non stia utilizzando Android in un ambiente aziendale (in cui dovresti verificare con i tuoi ragazzi IT per vedere quale sia l'accordo con il certificato perché potrebbe essere quello che hanno creato) o non hai creato tu stesso il certificato, la soluzione più semplice è solo quella di premere e tenere premuto su tutti i certificati sconosciuti trovati nella categoria “utente” della categoria “certificati attendibili” ed eliminarli (il pulsante di rimozione si trova nella parte inferiore del riquadro delle informazioni). Meno sono le parti libere non identificate (specialmente nell'elenco dei certificati), meglio è.
Se si dispone di un certificato legittimo che genera l'errore perché si trova nell'elenco “utente” anziché nell'elenco “sistema”, è possibile (a propria discrezione e rischio) spostare manualmente il certificato dall'elenco / directory utente nella elenco / directory di sistema. Questo non è un compito da svolgere alla leggera, quindi se non si è completamente sicuri che il certificato nell'elenco “utenti” sia sicuro perché 1) è stato creato o 2) lo staff IT della propria azienda ha verificato che si tratta di uno dei loro certificati , non dovresti provare a muoverti.
Se sei sicuro della sicurezza e dell'origine del certificato, l'ingegnere e appassionato di Android Sam Hobbs ha una guida alle istruzioni chiaramente scritta per lo spostamento manuale dei certificati e un altro programmatore ed entusiasta Felix Ableitner ha un'applicazione open source che esegue la stessa attività senza il lavoro da riga di comando. Ancora una volta, a meno che tu non abbia un'esigenza urgente (e ben compresa) del certificato, ti consigliamo di non farlo.
Hai una domanda tecnica urgente? Mandaci una email a ask@howtogeek.com e faremo del nostro meglio per rispondere.
