O lançamento do Android 4.4 KitKat trouxe uma grande variedade de melhorias, incluindo segurança aprimorada. Embora a segurança possa ser mais rígida, as mensagens ainda podem ser um pouco enigmáticas. O que exatamente significa o aviso persistente de “Rede pode ser monitorada”, você deve se preocupar e o que pode fazer para se livrar dele?
Caro Geek Como Fazer,
Recentemente, comprei um novo telefone Android e houve uma nova mensagem de aviso que está me assustando um pouco. Ele nunca apareceu no meu antigo telefone Android e agora aparece a cada poucos dias ou sempre que eu reinicio o telefone. A mensagem que pisca na barra de status e aparece no menu de notificação é “Rede pode ser monitorada” e, se eu clicar no atalho de aviso no menu de notificação, ele me levará a um menu do sistema identificado como “Credenciais confiáveis, ”Com duas guias. Um deles é rotulado como “sistema” e o outro é rotulado como “usuário”. Há vários itens listados na guia “sistema” e apenas um na guia “usuário”. O estranho é que o item listado na guia do usuário se parece com o nome de um roteador “netgear”.
Não faço ideia do que é isso ou porque o Android está me dizendo que minha rede pode ser monitorada. Devo estar tão assustado com esta mensagem quanto sou e o que posso fazer para que ela desapareça? Anexei algumas capturas de tela para o caso de ter feito um mau trabalho ao descrever o problema.
Atenciosamente,
Androide paranóico
Esse tipo de situação é exatamente o motivo pelo qual não gostamos particularmente da implementação do tratamento de credenciais no Android 4.4. O coração do Google estava no lugar certo, mas a maneira como a atualização o tratou (e alertou o usuário) é deselegante na melhor das hipóteses e perturbadora (para o usuário final não iniciado) na pior das hipóteses. Vamos dar uma olhada no que é a mensagem de aviso e o que você pode fazer sobre isso.
A fonte do aviso
Primeiro, vamos explicar porque você recebe essa mensagem de erro, já que o Android não fornece quase nenhum feedback útil a esse respeito. O telefone mantém uma lista de certificados de segurança confiáveis e fornecidos pelo usuário. Essa longa lista de entradas em “sistema” encontrada no menu “Credenciais confiáveis” é essencialmente apenas uma grande lista branca antiga de emissores de certificados de segurança aprovados com os quais o Google pré-propagou seu telefone Android. Essencialmente, seu telefone diz “Ah, tudo bem, essas pessoas são confiáveis, para que possamos confiar nos certificados de segurança emitidos por elas”.
Quando um certificado de segurança é adicionado ao seu telefone (manualmente por você, maliciosamente por outro usuário ou automaticamente por algum serviço ou site que você está usando) e ele é não emitido por um desses emissores pré-aprovados, o recurso de segurança do Android entra em ação com o aviso “Redes podem ser monitoradas”. Tecnicamente, esse é um aviso preciso: se um certificado de segurança mal-intencionado / comprometido estiver instalado no seu dispositivo, é possível que o tráfego do seu dispositivo pode ser monitorado sob certas circunstâncias. Também é possível para uma empresa ou provedor de hotspot usar certificados emitidos automaticamente em seu próprio hardware para essa finalidade (embora, normalmente, seus motivos sejam mais benignos).
Infelizmente, o aviso emitido é desnecessário e assustador e não é claro: se você não sabe qual é o problema com credenciais e certificados de segurança confiáveis, o alerta pode ser binário.
Um certificado nem precisa ser genuinamente malicioso para acionar os avisos; no entanto, ele só precisa ser emitido / assinado por uma autoridade que não está listada na lista “sistema” confiável. Isso significa que, se você assinou seu próprio certificado para algum uso (como configurar uma conexão segura com o servidor doméstico), o Android reclamará. Isso também significa que, se sua empresa assinar automaticamente seus certificados para uso interno e não pagar por um certificado assinado oficialmente, você também receberá um aviso.
Por fim, e temos certeza de que foi exatamente o que aconteceu no seu caso, se você se conectar a uma rede Wi-Fi segura que esteja usando um certificado de segurança de um emissor que não esteja na lista confiável do seu telefone, pegue o erro. Tecnicamente, como mencionamos acima, a empresa pode estar usando o certificado autoassinado para fins maliciosos, mas na maioria das vezes você encontra esse problema, isso ocorre porque 1) a empresa não deseja pagar as taxas por um público certificado usado para fins particulares e 2) desejam controle total sobre o processo de criação e assinatura de certificado.
Se você quiser ler mais sobre o lado técnico do aviso (e também como o novo sistema para lidar com certificados causou mais do que algumas pessoas), confira estes tópicos de relatório de erros do Android (1, 2) e esses dois posts no GeekTaco (1, 2) discutindo a questão em profundidade.
Você deve estar preocupado?
O aviso é redigido com muita seriedade e dificilmente o culparemos por estar um pouco assustado. Mas você realmente deveria estar preocupado? Na grande maioria dos casos, os usuários que veem esse erro não o veem porque alguém instalou um certificado malicioso em sua máquina e agora estão em perigo. O motivo mais típico é o que descrevemos acima: empresas que usam certificados autoassinados que não estão listados no diretório de certificados confiáveis do sistema, porque nunca foram emitidos por um emissor autorizado.
Dada a probabilidade de alguém usar um certificado malicioso ser baixo e a probabilidade de o certificado causar um aviso não malicioso que não foi criado por uma autoridade de certificação verificada publicamente, não é necessário entrar em pânico.
Dito isto, não há motivos para manter certificados desconhecidos por perto nem motivos para suportar avisos que não se aplicam à sua situação. Vamos ver o que você pode fazer nos dois cenários.
O que você pode fazer?
A super maioria dos certificados de fontes legítimas deve ser devidamente assinada e verificada. Nos raros casos em que você possui um certificado válido não assinado (por exemplo, você mesmo o criou ou sua empresa está usando-o para redes internas), você deve estar ciente da origem do certificado porque teve a oportunidade de fazê-lo ou conversar. com o pessoal de TI deve esclarecer as coisas.
Portanto, a menos que você esteja usando o Android em um ambiente corporativo (em que você deve verificar com o pessoal de TI para saber qual é o acordo com o certificado, porque ele pode ter sido criado) ou se você mesmo criou o certificado, a solução mais fácil é: pressione e mantenha pressionado qualquer certificado desconhecido encontrado na categoria “usuário” da categoria “certificados confiáveis” e exclua-os (o botão de remoção está localizado na parte inferior do painel de informações). Quanto menos pontas soltas não identificadas (especialmente na sua lista de certificados), melhor.
Se você possui um certificado legítimo que está exibindo o erro porque está na lista “usuário” em vez da lista “sistema”, pode (a seu próprio critério e risco) mover manualmente o certificado da lista / diretório de usuários para o diretório lista / diretório do sistema. Esta não é uma tarefa a ser realizada de ânimo leve, por isso, se você não estiver totalmente confiante de que o certificado na lista “usuário” é seguro, porque 1) você o criou ou 2) a equipe de TI da sua empresa verificou que é um dos certificados , você não deve tentar uma jogada.
Se você está confiante na segurança e na origem do certificado, o engenheiro e entusiasta do Android Sam Hobbs possui um guia de instruções claramente escrito para mover manualmente seus certificados e outro programador e entusiasta Felix Ableitner possui um aplicativo de código aberto que executa a mesma tarefa sem o trabalho de linha de comando. Novamente, a menos que você tenha uma necessidade premente (e bem compreendida) do certificado, recomendamos que não seja.
Tem uma pergunta técnica urgente? Envie um e-mail para ask@howtogeek.com e faremos o possível para responder.
0 Comments