Вы даслалі адзін профіль VPN усім, і ў ім ваш пароль

Профіль усталёўваецца без памылак, усе падключаюцца, а потым пароль уліковага запісу змяняецца. Кожная прылада, якая атрымала файл, перастае праходзіць аўтэнтыфікацыю ў тую ж хвіліну, бо ўсе яны нясуць адзін і той жа сакрэт. Гэта і ёсць прыкмета: калі адны ўліковыя даныя скапіраваныя ў агульны артэфакт, звычайная змена пароля ператвараецца ў збой ва ўсім парку. Захаванне паўторна выкарыстоўванай канфігурацыі і індывідуальнай ідэнтычнасці як двух асобных перадач пазбягае гэтага, і ўласная дакументацыя па кіраванні прыладамі ад Apple разглядае профілі як налады і аўтарызацыю, а не як сховішча сакрэтаў.

Сімптом праяўляецца пры першай ратацыі

Файл mobileconfig — гэта XML або падпісаны plist. Любы, хто мае копію, можа дэкадаваць карысную нагрузку і прачытаць, што ў ёй ёсць, таму значэнне AuthPassword у шаблоне — гэта ўліковыя даныя адкрытым тэкстам з незвычайным пашырэннем файла. Подпіс змяняе цэласнасць і паходжанне, а не чытальнасць. Тым часам часткі, якімі вы сапраўды хочаце падзяліцца, такія як адрас шлюза, чаканая ідэнтычнасць сервера і палітыка трафіку, аднолькавыя для ўсіх.

Адсартуйце палі перад любым рэдагаваннем, бо мяжа не там, дзе людзі яе ўяўляюць.

Аддзяліце агульныя налады ад індывідуальных уліковых даных

Інтэрактыўны шлях — пакінуць пароль па-за межамі і дазволіць падтрыманай схеме аўтэнтыфікацыі запытаць яго. Чытайце ўважліва: выдаленне поля, якое проста выглядае падобна, не з'яўляецца ўніверсальным пераходам да інтэрактыўнага ўваходу. Карысная нагрузка IKEv2 адрознівае AuthName ад AuthPassword, і метад аўтэнтыфікацыі вырашае, ці запыт наогул дасягальны; метад на аснове сертыфіката наогул не будзе пытаць пароль.

Сертыфікаты таксама не патрабуюць агульнага ключа

Калі шлюз чакае аўтэнтыфікацыю па сертыфікатах, зарэгіструйце патрэбную ідэнтычнасць карыстальніка або прылады праз ухвалены механізм і трымайце прыватны ключ па-за шаблонам. Адзін агульны прыватны ключ у кожнай копіі дае тую ж праблему ратацыі з горшым радыусам паражэння, бо ключ нельга адклікаць асобна для кожнага чалавека, калі ён не быў выдадзены кожнаму.

Запісвайце выпуск, абнаўленне і адкліканне гэтай ідэнтычнасці разам з рэвізіяй профілю. Калі абодва адсочваюцца разам, абнаўленне — гэта планавая задача, а не інцыдэнт.

Аўтаматычныя машыны патрабуюць трэцяга адказу

Машына, якая павінна падключыцца да таго, як хтосьці ўвойдзе ў сістэму, не можа адказаць на запыт. Гэта іншае патрабаванне, чым зрабіць наладу прасцейшай для карыстальніка, які ўвайшоў, і яго трэба вырашаць кіраванай ідэнтычнасцю або сертыфікатам для кожнай прылады, узгодненым з уладальнікам шлюза, а не захоўваннем чалавечага пароля ў профілі.

Захоўванне пароля таксама не прыбірае другі фактар. Калі шлюз патрабуе MFA, профіль з захаваным паролем усё роўна не пройдзе пры загрузцы, і збой выглядае як зламаны профіль, а не як адсутны фактар.

Праверце артэфакт, які быў фактычна створаны

Шаблоны хлусяць маўчаннем. Сэрвіс кіравання або інструмент экспарту можа ўставіць уліковыя даныя ў гатовы файл, а суправаджальныя нагрузкі ідэнтычнасці або дыягнастычныя копіі могуць несці матэрыял, якога шаблон ніколі не паказваў. Адкрыйце створаны артэфакт, перш чым вырашаць, хто можа яго атрымаць. Захавайце таксама налады даверанага выдаўца і чаканай ідэнтычнасці сервера; выдаленне пароля не прычына паслабляць давер да шлюза.

Калі рэальны пароль або прыватная ідэнтычнасць ужо распаўсюдзіліся занадта шырока, адклічце іх у выдаўца і заменіце. Рэдагаванне заўтрашняга шаблона нічога не зробіць з ужо ўсталяванымі копіямі, і гэтыя копіі працягнуць аўтэнтыфікацыю, пакуль уліковыя даныя за імі не будуць адкліканыя.

Прыміце перадачу з тэставай ідэнтычнасцю

Усталюйце праз ухвалены працэс на прыладзе, зарэгістраванай як асобная тэставая ідэнтычнасць, прайдзіце патрэбную аўтэнтыфікацыю і дасягніце прыватнага рэсурсу, а не проста назірайце за ўздымам тунеля. Пацвердзіце, што профіль не змяшчае матэрыялу ўліковых даных, затым пацвердзіце, што ўліковыя даныя існуюць у запісе ідэнтычнасці, які будзе абноўлены. Гэта пара і ёсць прыёмачны тэст.

Адна рэвізія для агульных налад, адзін запіс на чалавека і шлях адклікання, які вы сапраўды выкарысталі хоць раз.