iPhone-da imzalanmış VPN profili quraşdırırsınız? Əvvəlcə yükləri oxuyun

Profillər Parametrlərə ad, imzalayan və Quraşdır düyməsi ilə gəlir və insanların çoxunun oxuduğu hissə imzalayan sətridir. Bu sətir bir suala cavab verir: imza yoxlama qaydalarına görə bu parametrləri kim paketləyib. O, VPN yükünün işəgötürəninizin şlüzünə işarə etdiyini və ya daxil edilmiş kök sertifikatın TLS güvən anbarınıza aid olduğunu demir. Aşağıdakı bələdçi paketi cihazın tətbiq edəcəyi sıra ilə açır.

Zərflə başlayın: bu profili kim imzalayıb

iOS-da profil Parametrlər, Ümumi, VPN və Cihaz İdarəetməsi altında görünür, imzalayan isə Quraşdır düyməsinin üstündə göstərilir. Hər şeyə toxunmazdan əvvəl o adı oxuyun və ondan parametr gözlədiyiniz təşkilat olub-olmadığını soruşun. Tanımadığınız bir tərəfin etibarlı imzası yenə etibarlı imzadır və o, sizin deyil, onların konfiqurasiyasına icazə verir. Eyni ekran profilin ümumiyyətlə imzalanıb-imzalanmadığını da bildirir.

Fayl Mac-dadırsa, telefona çatmazdan əvvəl onu yoxlayın. Təhlükəsizlik aləti CMS zərfini açır və cihazın oxuyacağı plist faylını çap edir, yəni Quraşdır düyməsi olmayan eyni məzmunu. Apple-ın konfiqurasiya tətbiqi sənədi imzalamanı mənşə yoxlaması kimi təsvir edir, burada təsvir olunan əhatə də məhz budur.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

İmzalayan gözlədiyiniz şəxs deyilsə və ya fayl imzasızdırsa və ona zəmanət verə bilməyən kanaldan gəlibsə, burada dayanın. Bu bələdçidə sonrakı heç nə etibarsız zərfi etibarlı etmir.

Hər yükü açın və nə quraşdırdığını adlandırın

Profil bir qabdır və maraqlı hissə onun içindəki PayloadContent massividir. Hər giriş PayloadType işarəsi daşıyır və cihazın nə quraşdıracağını deyir: idarə olunan VPN konfiqurasiyası, PKCS#12 şəxsiyyəti, kök sertifikat və ya idarəetmə qeydiyyatı. Parametrlərin heç birini oxumazdan əvvəl növləri çap edin.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN yükü bir bağlantını adlandırır: server ünvanı, autentifikasiya üsulu və bəlkə də hər tətbiq üçün və ya tələb üzrə qayda. Şəxsiyyət yükü həmin bağlantının təqdim edəcəyi müştəri etimadını verir. Kök sertifikat yükü güvən lövbəri əlavə edir, idarəetmə yükü isə davamlı nəzarəti serverə verir. Bunlar dörd fərqli öhdəlikdir və imza hər birinə ayrıca zəmanət verməkdən çox paketi əhatə edir. Onları bu sıra ilə oxuyun, çünki şəxsiyyət olmadan VPN faydasızdır və kimin verdiyini bilmədən şəxsiyyətin mənası azdır.

Faylın parolla qorunması yenə ayrı bir xüsusiyyətdir. Şifrələnmiş paket məzmunu parolu olmayanlardan gizlədir; içindəkiləri təsdiqləməli olduğunuza qərar vermir. Parolu yoxlama deyil, çatdırılma mexanizmi kimi qəbul edin.

Sertifikatları onlardan istifadə edən bağlantıya qədər izləyin

Paketdəki sertifikatları sadalayın və hər birini bir vəzifəyə uyğunlaşdırın. Müştəri sertifikatı bu cihazı şlüzə tanıdır, onu verən CA həmin bağlantının güvən zəncirinə aiddir və proksi və ya daxili xidmət üçün quraşdırılmış kök avtomatik olaraq hər HTTPS saytının lövbəri deyil. iOS-da əl ilə quraşdırılmış kök, Parametrlər, Haqqında, Sertifikat Güvən Parametrləri altında aktivləşdirənə qədər TLS üçün etibarsız qalır; idarəetmə ilə çatdırılan kök isə o addım olmadan etibarlı sayılır. Bu fərq yükün məqsədinin niyə vacib olduğunu dəqiq göstərir.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Trafikinizi daşıyan provayder bu səbəbdən ziyarət etdiyiniz hər saytın TLS son nöqtəsi deyil. Müdaxilə trafik yolunu və tətbiqin qəbul etdiyi güvən lövbərini tələb edir və bir sertifikat daşıyan profil heç birini sübut etmir. Profilin quraşdırılmasının hər şeyi deşifrə etdiyini güman etmək əvəzinə, hansı bağlantının sertifikatdan istifadə etdiyini və hansı tətbiqlərin onu qəbul edəcəyini soruşun.

Quraşdırmadan sonra: yoxlayın və silmənin nə etdiyini bilin

Profil quraşdırıldıqdan sonra onu endirdiyiniz fayldan deyil, cihazdan təsdiqləyin. Parametrlər ekranı quraşdırılmış profili, imzalayanı və yükləri sadalayır, VPN ekranı isə bağlantının nəzərdə tutulduğu kimi qurulub-qurulmadığını göstərir. Endirilmiş faylı silmək heç nəyi silmir; quraşdırılmış konfiqurasiya ayrı bir obyektdir.

profiles show -type configuration
scutil --nc list

Profil idarəetmə qeydiyyatı ehtiva edirsə, silmənin nəticələrini quraşdırmadan sonra deyil, əvvəl oxuyun. Həmin qeydiyyatı silmək əlaqəli konfiqurasiyaları da aparır və cihazın necə qeydiyyata alındığından asılı olaraq idarə olunan tətbiqləri silə bilər. Bu, sertifikat səhv görünəndə sınanacaq təmir addımı deyil. Nəyisə silməzdən əvvəl administratora hansı yükün problemə aid olduğunu soruşun.

Bələdçi dörd ayrı cavabla bitir: paketi kim imzaladı, hansı yükləri quraşdırır, hər bağlantı hansı şəxsiyyəti və güvəni istifadə edir və silmə nəyi özü ilə aparar. Onları ayrı saxlayın və imzalanmış profil yaşıl işarə əvəzinə nəzərdən keçirilmiş qərar olur.