Was ist der Deal mit der permanenten Warnung von Android über das Netzwerk kann überwacht werden?

2023 Autor: Peter John Melton | [email protected]. Zuletzt bearbeitet: 2023-11-26 11:06

Dear How-To Geek,

I recently bought a new Android phone, and there’s been this new warning message that’s kind of freaking me out a little bit. It never popped up on my old Android phone and now it pops up every few days or whenever I restart the phone. The message that flashes in the status bar and then appears in the notification menu is, “Network May Be Monitored,” and then if I click on the warning shortcut in the notification menu it takes me to a system menu labeled, “Trusted credentials,” with two tabs. One is labeled “system” and one is labeled “user.” There are tons of items listed in the “system” tab and only one in the “user” tab. What’s weird is the one item listed in the user tab looks like a router name “netgear.”

I have no idea what any of this stuff is or why Android is telling me that my network may be monitored. Should I be as freaked out by this message as I am, and what can I do to make it go away? I’ve attached some screenshots in case I’ve done a poor job describing the problem.

Sincerely,

Paranoid Android

Diese Situation ist genau der Grund, warum wir die Implementierung des Anmeldeinformationshandlings in Android 4.4 nicht besonders gern hatten. Das Herz von Google war am richtigen Ort, aber die Art und Weise, wie das Update es handhabte (und den Benutzer warnte), ist bestenfalls unerheblich und im schlimmsten Fall (für den nicht-initiierten Endbenutzer) verunsichernd. Werfen wir einen Blick darauf, was die Warnmeldung überhaupt ist und was Sie dagegen tun können.

Die Quelle der Warnung

Lassen Sie uns zuerst erklärenWarum Sie erhalten diese Fehlermeldung, da Android in dieser Hinsicht praktisch keine nützliche Rückmeldung gibt. Ihr Telefon führt eine Liste vertrauenswürdiger und vom Benutzer bereitgestellter Sicherheitszertifikate. Diese lange Liste von Einträgen unter "System", die Sie im Menü "Vertrauenswürdige Anmeldeinformationen" gefunden haben, ist im Wesentlichen nur eine große alte weiße Liste zugelassener Sicherheitszertifikate, mit denen Google Ihr Android-Handy vorgesät hat. Im Wesentlichen sagt Ihr Telefon "Oh, okay, diese Leute sind vertrauenswürdig, also können wir den von ihnen ausgestellten Sicherheitszertifikaten vertrauen."

Wenn ein Sicherheitszertifikat zu Ihrem Telefon hinzugefügt wird (entweder manuell von Ihnen, böswillig von einem anderen Benutzer oder automatisch von einem Dienst oder einer Site, die Sie verwenden) und dies ist der Fallnicht Von einem dieser vorab genehmigten Emittenten herausgegeben, tritt die Sicherheitsfunktion von Android mit der Warnung "Networks May Be Monitored" in Aktion. Technisch gesehen ist dies eine akkurate Warnung: Wenn auf Ihrem Gerät ein schädliches / gefährdetes Sicherheitszertifikat installiert ist, ist dies möglicherweise möglich Der Verkehr von Ihrem Gerät kann unter bestimmten Umständen überwacht werden. Es ist auch möglich, dass ein Unternehmen oder ein Hotspot-Anbieter zu diesem Zweck auf seiner eigenen Hardware selbst ausgestellte Zertifikate verwendet (obwohl deren Motive in der Regel günstiger sind).

Leider ist die ausgegebene Warnung unnötig beängstigend und unklar: Wenn Sie nicht wissen, was mit vertrauenswürdigen Anmeldeinformationen und Sicherheitszertifikaten zu tun hat, ist die Warnung möglicherweise auch binär.

Wenn Sie mehr über die technische Seite der Warnung erfahren möchten (sowie darüber, wie sehr das neue System für den Umgang mit Zertifikaten mehr als ein paar Leute betroffen hat), können Sie diese Android-Fehlerberichtsthreads [1, 2] und diese beiden ausprobieren Blogbeiträge bei GeekTaco [1, 2], die das Thema ausführlich behandeln.

Sollten Sie besorgt sein?

Die Warnung ist sehr ernst formuliert und wir geben Ihnen kaum die Schuld, dass Sie ein bisschen ausgeflippt sind. Aber sollten Sie sich eigentlich Sorgen machen? In den allermeisten Fällen sehen Benutzer diesen Fehler nicht, da jemand ein bösartiges Zertifikat auf ihrem Computer installiert hat und jetzt in Gefahr ist. Der typischste Grund ist der oben beschriebene: Unternehmen, die selbstsignierte Zertifikate verwenden, die nicht im Systemverzeichnis der vertrauenswürdigen Zertifikate aufgeführt sind, weil sie niemals von einem autorisierten Aussteller ausgestellt wurden.

Angesichts der Wahrscheinlichkeit, dass jemand ein böswilliges Zertifikat gegen Sie verwendet, ist die Wahrscheinlichkeit gering, dass die Warnung ein nicht böswilliges Zertifikat ist, das nicht von einer öffentlich verifizierten Zertifizierungsstelle erstellt wurde. Daher müssen Sie nicht in Panik geraten.

Es gibt jedoch keinen Grund, unbekannte Zertifikate aufzubewahren, und keinen Grund, Warnungen zu ertragen, die sich nicht auf Ihre Situation beziehen. Schauen wir uns an, was Sie in beiden Szenarien tun können.

Was kannst du tun?

Die überwiegende Mehrheit der Zertifikate aus legitimen Quellen sollte ordnungsgemäß signiert und überprüft werden. In den seltenen Fällen, in denen Sie über ein gültiges Zertifikat verfügen, das nicht signiert ist (z. B. wenn Sie es selbst erstellt haben oder Ihr Unternehmen es für interne Netzwerke verwendet), sind Sie entweder über die Herkunft des Zertifikats informiert, weil Sie an der Erstellung des Protokolls oder an einem Gespräch mitgewirkt haben Mit den IT-Leuten sollten die Dinge klarer werden.

Wenn Sie über ein legitimes Zertifikat verfügen, das den Fehler auslöst, weil es sich in der Liste "Benutzer" anstelle der Liste "System" befindet, können Sie das Zertifikat (nach eigenem Ermessen und Risiko) manuell aus der Benutzerliste / in das Verzeichnis verschieben Systemliste / Verzeichnis. Dies ist keine leichte Aufgabe, wenn Sie nicht absolut sicher sind, dass das Zertifikat in der Liste der Benutzer sicher ist, weil entweder 1) Sie es erstellt haben oder 2) die IT-Mitarbeiter Ihres Unternehmens bestätigt haben, dass es eines ihrer Zertifikate ist Sie sollten keinen Versuch unternehmen.

Wenn Sie sich auf die Sicherheit und Herkunft des Zertifikats verlassen möchten, verfügt der Ingenieur und Android-Enthusiasten Sam Hobbs über eine klar geschriebene Anleitung zum manuellen Verschieben Ihrer Zertifikate. Ein anderer Programmierer und Enthusiasten, Felix Ableitner, hat eine Open-Source-Anwendung, die die gleiche Aufgabe ohne das Zertifikat ausführt Befehlszeile arbeiten. Auch hier empfehlen wir Ihnen, es sei denn, Sie haben ein dringendes (und gut verstandenes) Bedürfnis für das Zertifikat.

Haben Sie eine dringende technische Frage? Schicken Sie uns eine E-Mail an [email protected] und wir werden unser Bestes tun, um es zu beantworten.