Усталёўваеце падпісаны профіль VPN на iPhone? Прачытайце нагрузкі

Профілі з'яўляюцца ў Наладах з назвай, подпісам і кнопкай Усталяваць, і менавіта радок подпісу чытаюць большасць людзей. Гэты радок адказвае на адно пытанне: хто спакаваў гэтыя налады згодна з правіламі праверкі подпісу. Ён не кажа, што нагрузка VPN паказвае на шлюз вашага працадаўцы, або што ўбудаваны каранёвы сертыфікат належыць вашаму сховішчу даверу TLS. Парадак ніжэй адкрывае пакет у тым парадку, у якім прылада яго ўжыве.

Пачніце з канверта: хто падпісаў гэты профіль

На iOS профіль з'яўляецца ў раздзеле Налады, Агульныя, VPN і Кіраванне прыладай, а подпіс паказаны над кнопкай Усталяваць. Прачытайце гэтае імя, перш чым нешта націснуць, і спытайцеся, ці гэта тая арганізацыя, ад якой вы чакалі налады. Сапраўдны подпіс ад боку, якога вы не ведаеце, усё роўна сапраўдны, і ён дазваляе яго канфігурацыю, а не вашу. Той самы экран таксама паведамляе, ці профіль наогул падпісаны.

Калі файл у вас на Mac, агледзьце яго, перш чым ён трапіць на тэлефон. Інструмент бяспекі дэкадуе канверт CMS і друкуе plist, які прачытае прылада, гэта значыць той самы змест без кнопкі Усталяваць на шляху. Дакументацыя Apple пра прымусовае прымяненне канфігурацыі апісвае подпіс як праверку паходжання, і менавіта гэта апісана тут.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Спыніцеся тут, калі подпіс не той, каго вы чакалі, або калі файл не падпісаны і прыйшоў праз канал, які не можа за яго ручацца. Нішто далей у гэтым парадку не робіць недавераны канверт надзейным.

Адкрыйце кожную нагрузку і назвіце тое, што яна ўсталёўвае

Профіль гэта кантэйнер, і цікавая частка ў ім PayloadContent масіў. Кожны запіс нясе PayloadType , які пазначае, што ўсталюе прылада: кіраваную канфігурацыю VPN, ідэнтычнасць PKCS#12, каранёвы сертыфікат або рэгістрацыю ў кіраванні. Надрукуйце тыпы, перш чым чытаць якія-небудзь налады.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Нагрузка VPN называе злучэнне: адрас сервера, метад аўтэнтыфікацыі і, магчыма, правіла для кожнай праграмы або па запатрабаванні. Нагрузка ідэнтычнасці дае ўліковыя даныя кліента, якія прадставіць гэтае злучэнне. Нагрузка каранёвага сертыфіката дадае якар даверу, а нагрузка кіравання перадае пастаянны кантроль серверу. Гэта чатыры розныя абавязацельствы, і подпіс пакрывае пакет, а не ручаецца за кожнае асобна. Чытайце іх у гэтым парадку, бо VPN бескарысны без ідэнтычнасці, а ідэнтычнасць мала значыць без ведання, хто яе выдаў.

Абарона файла паролем гэта зноў асобная ўласцівасць. Зашыфраваны пакет хавае змест ад таго, у каго няма пароля; ён не вырашае, ці варта вам дазваляць тое, што ўнутры. Стаўцеся да пароля як да механізму дастаўкі, а не як да праверкі.

Прасочыце сертыфікаты да злучэння, якое іх выкарыстоўвае

Пералічыце сертыфікаты ў пакеце і суаднясіце кожны з задачай. Сертыфікат кліента ідэнтыфікуе гэтую прыладу перад шлюзам, CA, які яго выдаў, належыць ланцугу даверу гэтага злучэння, а корань, усталяваны для проксі або ўнутранай службы, не становіцца аўтаматычна якарам для кожнага сайта HTTPS. На iOS корань, усталяваны ўручную, застаецца недавераным для TLS, пакуль вы не ўключыце яго ў раздзеле Налады, Пра прыладу, Налады даверу сертыфікатаў, тады як корань, дастаўлены кіраваннем, лічыцца надзейным без гэтага кроку. Менавіта таму прызначэнне нагрузкі мае значэнне.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Пастаўшчык, які пераносіць ваш трафік, не з'яўляецца з-за гэтага канчатковай кропкай TLS кожнага сайта, які вы наведваеце. Перахоп патрабуе шляху трафіку і якара даверу, які прымае праграма, а профіль з адным сертыфікатам не даказвае ні таго, ні другога. Спытайцеся, якое злучэнне выкарыстоўвае сертыфікат і якія праграмы яго прымуць, замест таго каб меркаваць, што ўсталяванне профілю расшыфроўвае ўсё.

Пасля ўсталявання: праверце і ведайце, што робіць выдаленне

Пасля ўсталявання профілю пацвердзіце яго з прылады, а не з файла, які вы спампавалі. Экран налад пералічвае ўсталяваны профіль, яго подпіс і яго нагрузкі, а экран VPN паказвае, ці наладжана злучэнне як задумана. Выдаленне спампаванага файла нічога не выдаляе; усталяваная канфігурацыя асобны аб'ект.

profiles show -type configuration
scutil --nc list

Калі профіль уключае рэгістрацыю ў кіраванні, прачытайце наступствы выдалення да ўсталявання, а не пасля. Выдаленне гэтай рэгістрацыі забірае звязаныя канфігурацыі і можа выдаліць кіраваныя праграмы, у залежнасці ад таго, як прылада была зарэгістравана. Гэта не крок рамонту, які варта спрабаваць, калі сертыфікат выглядае няправільна. Спытайцеся ў адміністратара, якая нагрузка валодае праблемай, перш чым нешта выдаляць.

Парадак заканчваецца чатырма асобнымі адказамі: хто падпісаў пакет, якія нагрузкі ён усталёўвае, якую ідэнтычнасць і давер выкарыстоўвае кожнае злучэнне і што забярэ з сабой выдаленне. Трымайце іх асобна, і падпісаны профіль стане ўзважаным рашэннем, а не зялёнай галачкай.