Захаваны VPN на Android: які сакрэт можна аднавіць?
Тэлефон, які перападалучаецца без запыту пароля, не захоўвае пароль, які вы можаце скапіраваць. Параўнайце чатыры тыпы ўліковых даных і аднаўленне, патрэбнае кожнаму.
Тэлефон кожную раніцу перападалучаецца да VPN, нічога не пытаючыся. Гэта азначае, што ўліковыя даныя дзесьці ўнутры. Звычайна гэта не так, прынамсі не ў форме, якую можна прачытаць і ўвесці ў новую прыладу.
Тэлефон мае паўнамоцтва падключацца. Вам патрэбны сакрэт, які можна перанесці, і гэта розныя ўласцівасці, якія проста даюць аднолькавыя паводзіны на экране.
Перад любым скідам вызначце, якога з чатырох відаў сакрэту насамрэч не хапае, бо кожны мае іншага ўладальніка і іншае аднаўленне.
Працуючае злучэнне — не захаваны пароль
Праграма, якая моўчкі перападалучаецца, можа трымаць пароль, токен сеансу, спасылку на сертыфікат або не больш за прывязаны да прылады ключ, які яна не можа экспартаваць. Усе чатыры даюць аднолькавы карыстальніцкі досвед, і ні адзін не ўзаемазаменны.
Шэраг кропак у полі налад — гэта рашэнне пра адлюстраванне, а не доказ. Некаторыя праграмы сапраўды захоўваюць пароль, які можна аднавіць, і прапануюць паказаць або экспартаваць яго; іншыя бяруць токен з патоку адзінага ўваходу і наогул не бачаць пароля.
Таму першае пытанне — не дзе знаходзіцца файл. Пытанне ў тым, якія паўнамоцтвы атрымала праграма, і адказ на гэта павінен даць пастаўшчык, а не прылада.
Чатыры сакрэты, чатыры аднаўленні
Пастаўце сваю сітуацыю ў адпаведнасць з адным радком, перш чым да каго-небудзь звяртацца, бо запыт цалкам залежыць ад таго, які гэта выпадак.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
Другі радок закранае людзей найчасцей. Пароль імпарту PKCS#12 ахоўвае матэрыял ключа і не звязаны з уваходам уліковага запісу, таму скід пароля ўліковага запісу нічога не аднаўляе. Калі пароль пакета сапраўды страчаны, рашэнне — перавыдаць яго.
Чацвёрты радок тлумачыць шмат заблытаных тэм падтрымкі. Профіль можа спасылацца на ўліковыя даныя ў сховішчы ключоў платформы, а не ўтрымліваць пераносную копію, і ў такім разе ў профілі няма чаго вымаць нават у прынцыпе.
Чаму капіраванне даных праграмы звычайна не ўдаецца
Стары рэцэпт — выцягнуць каталог даных праграмы і прачытаць канфігурацыю адтуль. На сучасным Android у гэтага рэцэпту дзве незалежныя праблемы.
Першая — палітыка рэзервовых копій. Android 12 абмежаваў экспарт даных праграм праз стары шлях adb backup для праграм, якія арыентуюцца на API 31 або навей, і праграмы могуць цалкам выключыць даныя з рэзервовай копіі. Працэдура, напісаная для старой прылады, не з’яўляецца ўніверсальным метадам аднаўлення для сучаснай.
Другая — сховішча ключоў. Згенераваныя там ключы могуць быць неэкспартуемымі і прывязанымі да абсталявання, пра што апісвае дакументацыя Android Keystore. Капіраванне зашыфраванага блока не капіруе ключ, які яго расшыфроўвае, таму адноўлены каталог можа ўтрымліваць уліковыя даныя, якія новая прылада ніколі не зможа выкарыстаць.
Ні адна з праблем не з’яўляецца памылкай, якую трэба абыходзіць. Абедзве — гэта платформа, якая робіць тое, для чаго была створана, і стаўленне да іх як да перашкод звычайна сканчаецца рутаваным тэлефонам і без пароля.
Пераходзьце на заменную прыладу свядома
Спачатку зрабіце тое, што падтрымліваецца. Калі пастаўшчык прапануе экспарт, які відавочна ўключае патрэбныя вам уліковыя даныя, выкарыстайце яго і праверце вынік на новай прыладзе, перш чым выдаляць старую. Калі не, запытайце новы профіль або рэгістрацыю — гэта звычайны шлях для сэрвісаў на аснове сертыфікатаў, і ён звычайна займае менш часу, чым абыход.
Паслядоўнасць важная. Зарэгіструйце замену, падключыце яе, прапусціце тэставы запыт праз тунель і толькі потым адпраўце арыгінал на спакой. Захаванне працуючага тэлефона, пакуль новы не дакажа сябе, — самая таннае страхоўка, і яна каштуе толькі цярпення.
Плануйце і пабочныя эфекты скіду. Калі пароль уліковага запісу скінуты або ідэнтычнасць прылады адклікана, іншыя сеансы могуць стаць несапраўднымі, уключаючы кліент наўтбука і планшэт, пра які ніхто не ўзгадаў. Разбірайцеся з імі ў тым жа акне, а не выяўляйце іх па адным.
Чаго не рабіць
Не рутуйце адзіную працуючую прыладу ў пошуках тэкставага файла. Вы ператвараеце праблему аднаўлення доступу ў праблему цэласнасці прылады, можаце зламаць уласныя праверкі цэласнасці праграмы, і ў вас па-ранейшаму няма гарантыі, што значэнне, якое вы шукаеце, існуе ў чытэльнай форме.
Не ўстаўляйце прыватныя ключы, экспартаваныя профілі або паролі ў запыт падтрымкі, каб даказаць, што праблема рэальная. Пастаўшчыку патрэбныя назва профілю, версія праграмы, ідэнтыфікатар уліковага запісу і памылка, і нішто з гэтага не з’яўляецца сакрэтам.
І не адключайце праверку сертыфікатаў, каб атрымаць злучэнне, пакуль чакаеце. Гэта абменьвае часовую нязручнасць на пастаяннае аслабленне адзінай праверкі, якая кажа, з якім серверам вы размаўляеце. Запішыце чатыры факты, задайце канкрэтнае пытанне і выкарыстоўвайце выдадзены шлях.