Android KitKatレポート：デフォルト以外のルートCAを使用すると、「ネットワークが不明なサードパーティによって監視される可能性があります」

Question

私の会社では、次のようなシナリオを処理するためにプライベートPKIを使用しています。

クライアント証明書を使用したWebサイトへの相互認証（TLS）
イントラネット上のSSL Webサーバー証明書（VPNセッションが確立された後）
S/MIMEセキュアメール。
ActiveSync認証

AndroidをKitKatにアップグレードすると、デフォルト以外のルート証明書が存在するため、これらの警告が表示されます）

enter image description here そして

rootユーザーの場合、または証明書をGoogle Appsにアップロードして（そしてユーザーあたり月額5ドルを支払うことで）、この警告を削除することは可能ですが、解決策を探していますこの不要なコストは発生しません。

数人がこれをFOSSコードの欠陥として投稿しましたが、問題＃62076 （121人が主演）は「意図的に」クローズされました。 編集：この問題は、問題82036 で再開されました。問題として投票するには、スターを付けてください、または必要に応じてコメントしてください。

テストを通じて、名前の制約を使用し、新しいルートCAのEKUの目的を制限しても、このエラーが引き続き表示されることを確認しました。（S/MIME、クライアント認証など）。

Androidこのエラーを作成しない電話の信頼されたルートに証明書を追加する方法はありますか？（現在または将来のバージョン））
デフォルト以外の信頼されたルートは、実際にはデフォルトのCAリストよりも問題があります（つまり、Googleは間違った問題を解決していますか？）
EKUの使用法によって適切に（ルートで）制約されているルート証明書、または名前の制約が別の警告または一連の承認ダイアログを生成することを許可することは妥当ですか？

D.W. · Answer

最初の質問に答えるには：

私の知る限り、これを回避する方法はありません。これはセキュリティ機能です。

2番目の質問に答えるには：

はい、デフォルト以外の信頼されたルート証明書は間違いなく潜在的に問題があります。彼らはしばしば虐待されます。職場やトラフィックの監視に使用されることもあります（適切に開示されていれば大丈夫ですが、多くの人にとっては大ざっぱに感じるかもしれません）が、スパイウェア、アクティビティを覗き見するように設計された悪意のあるアプリなどにも使用されます変なもの。

つまり、警告を表示した場合、（a）ユーザーがすでに気づいていて何も悪いことは起こらない場合、（a）ユーザーを怖がらせるリスクと、（b）ユーザーが気づかずにスパイされるリスクとの間のトレードオフです。警告を表示しない場合。 Android開発者は、おそらくこれらの2つのリスクの相対的な重大度と有病率について判断を下さなければならず、おそらくユーザーに通知する側に降りてきました。私はこの決定について独立した見解を形成しますが、なぜ彼らがこの選択をしたのかを理解することができます。

Androidバグ追跡システムで問題にリンクしました。さて、コメント8 を見ると、Android開発者がこの動作を選択した理由。別のシナリオについてはコメント39 も参照してください。そうです、そうすることには正当な理由があります。あなたが彼らの判断に同意するかどうかにかかわらず、これは彼らの推論の公開説明。