Android-də VPN sertifikatını necə idxal etməli və açarı necə yoxlamalı

Android-də VPN müştəri sertifikatının idxalı bir neçə dəqiqə çəkir. Onun düzgün yerə düşdüyünü yoxlamaq daha uzun sürür və insanların çoxu quraşdırma pəncərəsi uğur göstərdikdən sonra məhz bu hissəni atlayır. Uğur mesajı yalnız faylın emal edildiyini bildirir. Şəxsi açarın hansı provayderdə saxlandığını və ya surətinin hələ də Downloads qovluğunda qalıb-qalmadığını demir.

Addım 1: P12 faylını kompüterinizdən çıxmazdan əvvəl oxuyun

Faylın özü ilə başlayın. Əgər içindəki subyekti, emitenti və bitmə tarixini adlandıra bilmirsinizsə, sonradan yoxlaya bilməyəcəyiniz bir şey idxal edirsiniz.

PKCS#12 paketi adətən müştəri sertifikatı, onun şəxsi açarı və emitent zəncirini daşıyır. openssl pkcs12 -in client.p12 -info -noout açar materialını çıxarmadan MAC və şifrələmə alqoritmlərini çap edir, beləliklə paketin parolla qorunub-qorunmadığını və hansı şifrlə qorunduğunu görürsünüz. Ardınca keytool -list -v -keystore client.p12 -storetype PKCS12 işlədin ki, telefonla müqayisə edəcəyiniz ləqəbi, SHA-256 barmaq izini və etibarlılıq pəncərəsini alasınız.

Parolu fayldan fərqli bir kanalla göndərin və ya faylı heç bir surət qoymayan idarə olunan paylama axını içində təhvil verin. Arxivlə eyni söhbət mesajına yapışdırılan parol iki nəzarəti birə çevirir.

Addım 2: Onu VPN tətbiqinin həqiqətən oxuduğu yuvaya quraşdırın

Standart Android 11-dən 14-ə qədər yol Ayarlar, Təhlükəsizlik, Şifrələmə və etimadnamələr, Sertifikat quraşdır, sonra VPN və tətbiq istifadəçi sertifikatı ilə keçir. İfadə və yuvalama buraxılışlar və istehsalçı örtükləri arasında dəyişir, ona görə yadda saxlanılan menyu mövqeyinə deyil, etimadnamə növü etiketinə baxın. İş profili daxilində iş tərəfinin içindən quraşdırın, çünki etimadnamələr profil sərhədini keçmir.

Müştəri kimliyini CA sertifikatı yuvasına qoymayın. Həmin yuva istifadəçi etimad anbarını qidalandırır və Android 7-dən bəri tətbiqlər şəbəkə təhlükəsizliyi konfiqurasiyası razılıq vermirsə, istifadəçinin əlavə etdiyi CA-ları nəzərə almır, ona görə orada saxlanılan müştəri sertifikatı VPN açar seçicisində heç vaxt görünmür.

Bəzi VPN müştəriləri sistem anbarına heç toxunmur və P12-ni əvəzinə öz tətbiq qovluğuna idxal edir. Bu qanuni dizayndır, lakin sonrakı hər addımı dəyişir: açar artıq tətbiq sandbox-u altında yaşayır və o, tətbiqin öz yaddaşını idarə etdiyi qədər güclüdür. KeyChain-in işdə olduğunu düşünməzdən əvvəl müştəri sənədlərini yoxlayın.

Addım 3: Açarı hansı provayderin saxladığını sübut edin

İdxal emalı təsdiqləyir, aparat dəstəyini yox. Android 12 və sonrasında KeyInfo.getSecurityLevel() açarın Etibarlı İcra Mühitində, StrongBox-da və ya proqram təminatında olub-olmadığını bildirir və o, köhnə isInsideSecureHardware() çağırışını əvəz edir. VPN müştərisi bu dəyəri göstərmirsə, 1-ci addımdakı barmaq izi ehtiyat variantınızdır. İdxal zamanı yenidən kodlanan sertifikat bayt-bayt uyğun gəlməyəcək, amma açıq açar və subyekt hələ də uyğun gələcək.

İxrac edilə bilməyən, istifadə edilə bilməyən demək deyil. Cihazdan çıxa bilməyən açarı istifadəçinin həmin ləqəbi seçməyə icazə verdiyi hər hansı tətbiq yenə də istifadə edə bilər, buna görə ləqəb sorğusu formal deyil, real nəzarətdir. Android Keystore sənədləri bu dizayn qərarını verirsinizsə, bir dəfə oxumağa dəyər.

Sonra yaratdığınız surətləri nəzərə alın. Noutbukdakı P12, bileti əlavəsindəki və keçən ayın ehtiyat nüsxəsindəki — hamısı emitent onları ləğv edənə qədər etibarlı kimliklərdir. Telefondakı nüsxənin aparat qoruması onlara heç nə etmir.

Addım 4: Ekran kilidi tələbinin kimə aid olduğunu tapın

Burada üç sirr qarışdırılır: cihazın açılış PIN-i, şəxsi açarın parol ifadəsi və VPN hesabının parolu. Birinin sorğusu heç vaxt digərlərini sıfırlamaq tələbi deyil və səhv olanı sıfırlamaq insanların yaxşı işləyən profildən özlərini kilidləmə üsuludur.

Cihaz administratoru və ya idarə olunan profil siyasəti kilid tələb etdikdə, tələb sertifikata deyil, həmin siyasətə aiddir. adb shell dumpsys device_policy aktiv administratorları və onların tətbiq etdiyi parol keyfiyyətini sadalayır; bu, PIN qaydalarınızın dəyişməsinə MDM agentinin səbəb olub-olmadığını görməyin ən sürətli yoludur. Sertifikatın çıxarılması siyasəti yumşaltmır və siyasətin çıxarılması ayar düzəlişi deyil, inzibati qərardır.

İstifadə rahatlığı üzrə güzəşt də gözləyin. Açar istifadəçi icazəsi tələb edirsə, tunel ilk açılışdan əvvəl qalxa bilməz, ona görə planlı sinxronlaşdırmalar və uzaqdan oyandırmalar dizayn üzrə uğursuz olur. Bunu yerləşdirmədən əvvəl qərarlaşdırın, sonra yox.

locksettings.db faylını redaktə etmək və ya köhnə unudulmuş-naxış həllini təkrar oynatmaq qısa yolundan çəkinin. Bu rutinlər konkret buraxılışlar üçün yazılmışdır, etimadnamə anbarını framework-ün artıq gözləmədiyi vəziyyətdə qoya bilər və onlar kilidi ilk növbədə tələb edən siyasəti heç vaxt dəyişmir.

Addım 5: Kimliyi təqaüdə çıxarın və imtinanı yoxlayın

Təqaüdə çıxarmağın üç hissəsi var və yalnız birincisi lokaldır. VPN profilini silin, istifadəçi sertifikatını Ayarlar, Təhlükəsizlik, Şifrələmə və etimadnamələr, İstifadəçi etimadnamələri altından silin, sonra emitentin sertifikat seriya nömrəsini ləğv etməsini təmin edin. Yalnız lokal silmə, kiminsə P12-ni saxladığı halda serverin hələ də qəbul etdiyi etimadnamə buraxır.

Nəticəni fərz etmək əvəzinə yoxlayın. Təqaüdə çıxarılmış profillə bağlantı yoxlayın və serverin onu rədd etdiyini təsdiqləyin. Hələ də qalxan tunel yanlış seriyanı ləğv etdiyinizi və ya müştərinin səssizcə başqa quraşdırılmış kimliyə keçdiyini bildirir.

Uğursuz idxalı geri qaytarırsınızsa, orijinal şifrələnmiş paketdən yenidən idxal edin və diskdə qoyduğunuz şifrəsi açılmış açar faylını təkrar istifadə etmək əvəzinə barmaq izini yenidən yoxlayın.