Jy het een VPN-profiel aan almal gestuur, en dit bevat jou wagwoord
Hou 'n gedeelde Apple VPN-profiel slegs op instellings en gee aan elkeen sy eie geloofsbrief. Verdeel die oorhandiging en vervang dan uitgelekte wagwoorde by die uitreiker.
Die profiel installeer skoon, almal koppel, en dan roteer die rekeningwagwoord. Elke toestel wat die lêer ontvang het, hou dieselfde oomblik op om te verifieer, want hulle dra almal dieselfde geheim. Dit is die teken: een geloofsbrief wat in 'n gedeelde artefak gekopieer word, verander 'n roetine-wagwoordverandering in 'n vlootwye onderbreking. Om die herbruikbare konfigurasie en die individuele identiteit as twee afsonderlike oorhandigings te hou, vermy dit, en Apple se eie dokumentasie oor toestelbestuur beskou profiele as instellings en magtiging, nie as 'n geheimebewaarplek nie.
Die simptoom verskyn by die eerste rotasie
'n mobileconfig-lêer is XML of 'n ondertekende plist. Enigiemand met 'n kopie kan die nutslading dekodeer en lees wat daarin is, so 'n AuthPassword-waarde in 'n sjabloon is 'n gewone-teks geloofsbrief met 'n ongewone lêeruitbreiding. Ondertekening verander integriteit en herkoms, nie leesbaarheid nie. Intussen is die dele wat jy werklik wil deel, soos die gateway-adres, die verwagte bedieneridentiteit en die verkeersbeleid, vir almal identies.
Sorteer die velde voordat jy iets wysig, want die grens is nie waar mense dink dit is nie.
Skei gedeelde instellings van individuele geloofsbriewe
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
Die interaktiewe pad is om die wagwoord weg te laat en die ondersteunde verifiëringsreëling daarvoor te laat vra. Lees dit noukeurig: om 'n veld te verwyder wat bloot soortgelyk lyk, is nie 'n universele omskakeling na interaktiewe aanmelding nie. Die IKEv2-nutslading onderskei AuthName van AuthPassword, en die verifiëringsmetode bepaal of 'n vraag hoegenaamd bereikbaar is; 'n sertifikaatgebaseerde metode sal glad nie na 'n wagwoord vra nie.
Sertifikate het ook nie 'n gedeelde sleutel nodig nie
As die gateway sertifikaatverifiëring verwag, registreer die beoogde gebruiker- of toestelidentiteit deur die goedgekeurde meganisme en hou die private sleutel uit die sjabloon. Een gedeelde private sleutel in elke kopie gee jou dieselfde rotasieprobleem met 'n erger trefradius, want 'n sleutel kan nie per persoon herroep word nie, tensy dit per persoon uitgereik is.
Teken uitreiking, hernuwing en herroeping vir daardie identiteit saam met die profielhersiening aan. Wanneer die twee saam nagespoor word, is 'n hernuwing 'n geskeduleerde taak eerder as 'n voorval.
Ongedwange masjiene het 'n derde antwoord nodig
'n Masjien wat moet koppel voordat iemand aanmeld, kan nie 'n vraag beantwoord nie. Dit is 'n ander vereiste as om die opstelling makliker te maak vir 'n aangemelde persoon, en dit moet opgelos word met 'n bestuurde identiteit of 'n sertifikaat per toestel wat met die gateway-eienaar ooreengekom is, nie deur 'n menslike wagwoord in 'n profiel te stoor nie.
Om 'n wagwoord te stoor verwyder ook nie 'n tweede faktor nie. As die gateway MFA vereis, misluk 'n profiel met 'n gestoorde wagwoord steeds by die boot, en die mislukking lyk soos 'n stukkende profiel eerder as 'n ontbrekende faktor.
Kontroleer die artefak wat werklik gegenereer is
Sjablone lieg deur weglating. 'n Bestuursdiens of uitvoernutsprogram kan geloofsbriewe in die voltooide lêer inspuit, en gepaardgaande identiteitsnutteladings of diagnostiese afskrifte kan materiaal dra wat die sjabloon nooit gewys het nie. Maak die gegenereerde artefak oop voordat jy besluit wie dit mag ontvang. Hou ook die vertroude uitreiker en die verwagte bedieneridentiteit-instellings ongeskonde; om 'n wagwoord te verwyder is nie 'n rede om gateway-vertroue te verswak nie.
As 'n werklike wagwoord of private identiteit al te wyd versprei het, herroep dit by die uitreiker en vervang dit. Om môre se sjabloon te wysig, doen niks aan die kopieë wat reeds geïnstalleer is nie, en daardie kopieë sal aanhou verifieer totdat die geloofsbrief agter hulle teruggetrek word.
Aanvaar die oorhandiging met 'n toetsidentiteit
Installeer deur die goedgekeurde vloei op 'n toestel wat as 'n aparte toetsidentiteit geregistreer is, voltooi die beoogde verifiëring, en bereik die privaat hulpbron eerder as om net te kyk hoe die tonnel opkom. Bevestig dat die profiel geen geloofsbriefmateriaal bevat nie, en bevestig dan dat die geloofsbrief in die identiteitsrekord bestaan wat hernu sal word. Daardie koppeling is die aanvaardingstoets.
Een hersiening vir gedeelde instellings, een rekord per persoon, en 'n herroepingspad wat jy werklik al een keer gebruik het.