Android Kitkat informa: "La red puede ser monitoreada por un tercero desconocido" cuando se usa una CA raíz no predeterminada

8

Mi empresa utiliza una PKI privada para manejar escenarios tales como

  • Autenticación mutua (TLS) en un sitio web mediante certificados de cliente
  • certificados de servidor web SSL en una Intranet (una vez que se establece una sesión de VPN)
  • Correo electrónico seguro S / MIME.
  • autenticación ActiveSync

Al actualizar Android a Kitkat, la presencia de una raíz no predeterminada certificado da como resultado estas advertencias

y

Es posible eliminar esta advertencia para un usuario root , o cargando el certificado en Google Apps (y pagando $ 5 por usuario / mes), sin embargo, estoy buscando una solución que no incurrir en este costo innecesario.

Varias personas han publicado esto como un defecto en el código FOSS, sin embargo, el número # 62076 (protagonizada por 121 personas) ha sido cerrada como "por diseño". Editar: Este problema se ha vuelto a abrir en número 82036 . comience a votar como un problema, o comente según sea necesario.

A través de las pruebas, verifiqué que este error aún aparece cuando se usan Restricciones de nombre y se limita el propósito de EKU de la nueva CA raíz. (S / MIME, autenticación de cliente, etc.).

  • ¿Hay alguna forma de agregar un certificado a las raíces confiables en un teléfono Android que no cree este error? (en versión actual o futura)

  • En la práctica, ¿son las raíces de confianza no predeterminadas más problemáticas que la lista de CA predeterminada (en otras palabras, es que Google resuelve el problema incorrecto?)

  • ¿Es razonable permitir que un certificado raíz esté correctamente restringido (en la raíz) por los usos de EKU, o Restricciones de nombre para generar una advertencia diferente o un conjunto de diálogos de aprobación?

pregunta random65537 23.06.2014 - 22:15
fuente

2 respuestas

6

Para responder tu primera pregunta:

Por lo que sé, no hay manera de evitar esto. Es una característica de seguridad.

Para responder a tu segunda pregunta:

Sí, los certificados de raíz de confianza no predeterminados son definitivamente potencialmente problemáticos. A menudo son abusados. Algunas veces se usan para monitorear el tráfico o el lugar de trabajo (lo cual es potencialmente aceptable si se divulga de manera adecuada, aunque a muchos les parezca incompleto), pero a veces también son utilizados por programas espía, aplicaciones maliciosas escritas diseñadas para fisgonear su actividad y otras. cosas raras.

Entonces, es una compensación entre (a) el riesgo de asustar a los usuarios, cuando el usuario ya estaba al tanto y no ocurrirá nada malo, si muestra la advertencia, vs (b) el riesgo de que los usuarios sean espiados Sin su conciencia, si no muestra la advertencia. Los desarrolladores de Android supuestamente tuvieron que emitir un juicio sobre la gravedad relativa y la prevalencia de estos dos riesgos, y presumiblemente se pusieron del lado de informar al usuario. No estoy en posición de formarme una opinión independiente sobre esta decisión, pero uno puede entender por qué podrían haber tomado esta decisión.

Has vinculado el problema en el rastreador de errores de Android. Bueno, si observa comment 8 , verá una explicación de un Desarrollador de Android de por qué eligieron este comportamiento. Consulte también comment 39 para ver otro escenario. Entonces sí, hay una razón válida por la que hacen esto; Si está de acuerdo con su criterio o no, esta es una explicación pública de su razonamiento.

    
respondido por el D.W. 24.06.2014 - 03:02
fuente
0

Encuentro que esta "característica" es bastante tonta. Las únicas personas que lo entenderían son los usuarios técnicos, que también querrían apagarlo. Los usuarios ocasionales lo ignorarán tan pronto como su personal de soporte técnico se lo indique, lo que agrega otra cosa más que el usuario no técnico está haciendo clic y / o ignorando, eliminando así el punto de obstinación (sp?) De esta "característica".

Al buscar una solución, encontré esta Q & A, pero también encontré una aplicación que mueve los certificados de userland a systemland. " Move Certs !" "sobre FDROID, cortesía de How To Geek .

    
respondido por el YetAnotherRandomUser 03.01.2017 - 20:32
fuente

Lea otras preguntas en las etiquetas