Bir VPN profilini hamıya göndərdiniz və içində parolunuz var

Profil təmiz quraşdırılır, hamı qoşulur, sonra hesab parolu dəyişdirilir. Faylı alan hər cihaz eyni dəqiqədə autentifikasiyanı dayandırır, çünki hamısı eyni sirri daşıyır. İşarə budur: paylaşılan artefakta köçürülmüş bir etimadnamə adi parol dəyişikliyini bütün park üzrə kəsintiyə çevirir. Təkrar istifadə edilə bilən konfiqurasiyanı və fərdi kimliyi iki ayrı təhvil kimi saxlamaq bunun qarşısını alır və Apple-ın öz cihaz idarəetməsi sənədləri profillərə sirr anbarı kimi deyil, parametr və avtorizasiya kimi yanaşır.

Simptom ilk rotasiyada görünür

mobileconfig faylı XML və ya imzalanmış plist-dir. Kopyası olan hər kəs yükü deşifrə edib içindəkiləri oxuya bilər, ona görə şablondakı AuthPassword dəyəri qeyri-adi fayl uzantılı açıq mətn etimadnaməsidir. İmzalama bütövlüyü və mənbəni dəyişir, oxunaqlığı yox. Bu arada həqiqətən paylaşmaq istədiyiniz hissələr, məsələn şlüz ünvanı, gözlənilən server kimliyi və trafik siyasəti hamı üçün eynidir.

Hər şeyi redaktə etməzdən əvvəl sahələri sıralayın, çünki sərhəd insanların güman etdiyi yerdə deyil.

Paylaşılan parametrləri fərdi etimadnamələrdən ayırın

İnteraktiv yol parolu kənarda qoymaq və dəstəklənən autentifikasiya quruluşunun onu soruşmasına imkan verməkdir. Bunu diqqətlə oxuyun: yalnız oxşar görünən sahəni silmək interaktiv girişə universal çevrilmə deyil. IKEv2 yükü AuthName ilə AuthPassword arasında fərq qoyur, və autentifikasiya metodu istəyin ümumiyyətlə əldə edilə bilən olub-olmadığını həll edir; sertifikata əsaslanan metod parolu heç soruşmayacaq.

Sertifikatların da paylaşılan açarı lazım deyil

Şlüz sertifikat autentifikasiyası gözləyirsə, nəzərdə tutulan istifadəçi və ya cihaz kimliyini təsdiqlənmiş mexanizmlə qeydiyyata alın və şəxsi açarı şablonun xaricində saxlayın. Hər kopyada bir paylaşılan şəxsi açar sizə eyni rotasiya problemini daha pis təsir radiusu ilə verir, çünki şəxs üzrə verilməyibsə, açar şəxs üzrə ləğv edilə bilməz.

Həmin kimlik üçün verilmə, yenilənmə və ləğvi profil revizyonu ilə yanaşı qeyd edin. İkisi birlikdə izlənəndə yenilənmə insident deyil, planlaşdırılmış vəzifə olur.

Nəzarətsiz maşınların üçüncü cavabı lazımdır

Kimsə daxil olmadan qoşulmalı olan maşın istəyə cavab verə bilməz. Bu, daxil olmuş şəxs üçün quraşdırmanı asanlaşdırmaqdan fərqli bir tələbdir və şlüz sahibi ilə razılaşdırılmış idarə olunan kimlik və ya cihaz üzrə sertifikatla həll edilməlidir, profilə insan parolu saxlamaqla yox.

Parolun saxlanması ikinci faktoru da aradan qaldırmır. Şlüz MFA tələb edirsə, yadda saxlanmış parolu olan profil yenə də yüklənmə zamanı uğursuz olur və uğursuzluq çatışmayan faktor deyil, xarab profil kimi görünür.

Həqiqətən yaradılmış artefaktı yoxlayın

Şablonlar susmaqla yalan danışır. İdarəetmə xidməti və ya ixrac aləti hazır fayla etimadnamələr yeridə bilər, müşayiət edən kimlik yükləri və ya diaqnostik kopyalar isə şablonun heç göstərmədiyi materialı daşıya bilər. Kimin ala biləcəyinə qərar verməzdən əvvəl yaradılan artefaktı açın. Etibarlı verən və gözlənilən server kimliyi parametrlərini də toxunulmaz saxlayın; parolun silinməsi şlüzə etimadı zəiflətmək üçün səbəb deyil.

Əgər real parol və ya şəxsi kimlik artıq çox geniş yayılıbsa, onu verən tərəfdə ləğv edin və dəyişdirin. Sabahkı şablonu redaktə etmək artıq quraşdırılmış kopyalara heç nə etmir və o kopyalar arxalarındakı etimadnamə geri çəkilənə qədər autentifikasiyanı davam etdirəcək.

Təhvili test kimliyi ilə qəbul edin

Ayrı test kimliyi kimi qeydiyyata alınmış cihazda təsdiqlənmiş axınla quraşdırın, nəzərdə tutulan autentifikasiyanı tamamlayın və yalnız tunelin qalxmasına baxmaq əvəzinə şəxsi resursa çatın. Profilin heç bir etimadnamə materialı saxlamadığını təsdiqləyin, sonra etimadnamənin yenilənəcək kimlik qeydində olduğunu təsdiqləyin. Bu cütlük qəbul testidir.

Paylaşılan parametrlər üçün bir revizyon, hər şəxs üçün bir qeyd və həqiqətən bir dəfə istifadə etdiyiniz ləğv yolu.