Инсталирате подписан VPN профил на iPhone? Прочетете полезните товари

Профилите пристигат в Настройки с име, подписващ и бутон Инсталиране, а редът с подписващия е частта, която повечето хора четат. Този ред отговаря на един въпрос: кой е пакетирал тези настройки според правилата за проверка на подписа. Той не казва, че VPN товарът сочи към шлюза на работодателя ви, нито че вграден коренов сертификат принадлежи в хранилището ви за доверие на TLS. Ръководството по-долу отваря пакета в реда, в който устройството ще го приложи.

Започнете с плика: кой е подписал този профил

В iOS профилът се показва в Настройки, Основни, VPN и Управление на устройството, а подписващият е показан над бутона Инсталиране. Прочетете това име, преди да докоснете нещо, и се запитайте дали това е организацията, от която сте очаквали настройки. Валиден подпис от страна, която не познавате, пак е валиден подпис и той оторизира тяхната конфигурация, а не вашата. Същият екран също казва дали профилът изобщо е подписан.

Ако файлът е на Mac, прегледайте го, преди да стигне до телефона. Инструментът за сигурност декодира CMS плика и отпечатва plist файла, който устройството ще прочете, тоест същото съдържание без бутон Инсталиране на пътя. Документацията на Apple за прилагане на конфигурацията описва подписването като проверка на произхода и точно това е обхватът, описан тук.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Спрете тук, ако подписващият не е този, когото очаквахте, или ако файлът не е подписан и е пристигнал по канал, който не може да гарантира за него. Нищо по-нататък в това ръководство не прави недоверен плик надежден.

Отворете всеки товар и назовете какво инсталира

Профилът е контейнер и интересната част е PayloadContent масивът в него. Всеки запис носи PayloadType , който казва какво ще инсталира устройството: управлявана VPN конфигурация, идентичност PKCS#12, коренов сертификат или регистрация за управление. Отпечатайте типовете, преди да четете която и да е настройка.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN товарът именува връзка: адрес на сървъра, метод за удостоверяване и евентуално правило за отделно приложение или при поискване. Товарът за идентичност предоставя клиентските данни, които тази връзка ще представи. Товарът за коренов сертификат добавя котва за доверие, а товарът за управление предава постоянен контрол на сървър. Това са четири различни ангажимента и подписът покрива пакета, вместо да гарантира всеки поотделно. Четете ги в този ред, защото VPN е безполезен без идентичността, а идентичността значи малко, без да се знае кой я е издал.

Защитата с парола на файла е отново отделно свойство. Криптираният пакет скрива съдържанието от този, който няма паролата; той не решава дали трябва да разрешите това, което е вътре. Отнасяйте се към паролата като механизъм за доставка, а не като преглед.

Проследете сертификатите до връзката, която ги използва

Избройте сертификатите в пакета и съпоставете всеки с работа. Клиентският сертификат идентифицира това устройство пред шлюза, CA, който го е издал, принадлежи във веригата за доверие на тази връзка, а корен, инсталиран за прокси или вътрешна услуга, не е автоматично котва за всеки сайт с HTTPS. В iOS корен, инсталиран ръчно, остава недоверен за TLS, докато не го включите в Настройки, Относно, Настройки за доверие на сертификати, докато корен, доставен от управление, се доверява без тази стъпка. Тази разлика е точно причината предназначението на товара да има значение.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Доставчикът, който пренася трафика ви, не е поради това TLS крайна точка на всеки сайт, който посещавате. Прихващането се нуждае от пътя на трафика и от котва за доверие, която приложението приема, а профил с един сертификат не доказва нито едното. Питайте коя връзка използва сертификата и кои приложения ще го приемат, вместо да предполагате, че инсталирането на профила дешифрира всичко.

След инсталирането: проверете и знайте какво прави премахването

След като профилът е инсталиран, потвърдете го от устройството, а не от файла, който сте изтеглили. Екранът с настройки изброява инсталирания профил, подписващия и товарите му, а екранът VPN показва дали връзката е конфигурирана както трябва. Изтриването на изтегления файл не премахва нищо; инсталираната конфигурация е отделен обект.

profiles show -type configuration
scutil --nc list

Ако профилът включва регистрация за управление, прочетете последствията от премахването преди да го инсталирате, а не след това. Премахването на тази регистрация отнася със себе си свързаните конфигурации и може да премахне управлявани приложения, в зависимост от това как е било регистрирано устройството. Това не е стъпка за ремонт, която да опитате, когато сертификатът изглежда грешен. Попитайте администратора кой товар притежава проблема, преди да премахнете нещо.

Ръководството завършва с четири отделни отговора: кой е подписал пакета, кои товари инсталира, каква идентичност и доверие използва всяка връзка и какво би отнело премахването. Дръжте ги отделно и подписаният профил се превръща в обмислено решение, а не в зелена отметка.