Запазен VPN на Android: кой таен ключ можете да възстановите?
Телефон, който се свързва отново, без да иска парола, не съхранява такава, която можете да копирате. Сравнете четирите вида идентификационни данни и възстановяването, което всеки от тях изисква.
Телефонът се свързва отново с VPN всяка сутрин, без да пита за нищо. Това означава, че идентификационните данни са някъде вътре. Обикновено не са, поне не във форма, която можете да прочетете и въведете на ново устройство.
Телефонът има право да се свързва. Вие искате тайна, която можете да пренесете, а това са различни свойства, които случайно дават едно и също поведение на екрана.
Преди да нулирате каквото и да е, определете кой от четирите вида тайни всъщност липсва, защото всеки има различен собственик и различно възстановяване.
Работещата връзка не е запазена парола
Приложение, което се свързва отново тихо, може да пази парола, токен за сесия, препратка към сертификат или нищо повече от ключ, обвързан с устройството, който не може да експортира. И четирите създават едно и също потребителско изживяване и нито едно не е взаимозаменяемо.
Редица точки в поле за настройки е решение за изобразяване, а не доказателство. Някои приложения наистина съхраняват възстановима парола и предлагат показване или експорт; други вземат токен от поток за еднократен вход и изобщо не виждат паролата.
Значи първият въпрос не е къде е файлът. А какъв вид права е получило приложението, и този отговор идва от доставчика, а не от устройството.
Четири тайни, четири възстановявания
Съпоставете ситуацията си с един ред, преди да се свържете с някого, защото искането се променя напълно според това кой е случаят.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
Вторият ред хваща хората най-често. Паролата за импорт на PKCS#12 защитава ключов материал и няма връзка с влизането в акаунта, така че нулирането на паролата на акаунта не възстановява нищо. Ако паролата на пакета наистина е загубена, решението е преиздаване.
Четвъртият ред обяснява много объркващи теми в поддръжката. Профилът може да препраща към идентификационни данни в хранилището за ключове на платформата, вместо да съдържа преносимо копие, и в такъв случай в профила няма какво да се извлече дори по принцип.
Защо копирането на данни от приложението обикновено се проваля
Старата рецепта е да изтеглите директорията с данни на приложението и да прочетете конфигурацията от нея. На настоящия Android рецептата има два независими проблема.
Първият е политиката за архивиране. Android 12 ограничи данните на приложенията, експортирани чрез стария път adb backup, за приложения, насочени към API 31 или по-нова версия, и приложенията могат напълно да изключат данни от архивиране. Процедура, написана за по-старо устройство, не е универсален метод за възстановяване на текущо.
Вторият е хранилището за ключове. Генерираните там ключове могат да бъдат неекспортируеми и обвързани с хардуера, както описва документацията на Android Keystore. Копирането на криптиран блок не копира ключа, който го декриптира, така че възстановена директория може да съдържа идентификационни данни, които новото устройство никога не може да използва.
Нито един от двата проблема не е дефект, който да се заобикаля. И двата са платформата да прави това, за което е създадена, а третирането им като пречки обикновено завършва с рутнат телефон и без парола.
Преминете към резервен телефон съзнателно
Първо направете поддържаното. Ако доставчикът предлага експорт, който изрично включва нужните ви идентификационни данни, използвайте го и проверете резултата на новото устройство, преди да изтриете старото. Ако не предлага, поискайте нов профил или регистрация, което е нормалният път за услуги, базирани на сертификати, и обикновено отнема по-малко време от заобикалянето.
Последователността е важна. Регистрирайте резервата, свържете го, прекарайте тестова заявка през тунела и едва след това оттеглете оригинала. Запазването на работещия телефон, докато новият се докаже, е най-евтината налична застраховка и струва само търпение.
Планирайте и страничните ефекти от нулирането. Ако паролата на акаунта бъде нулирана или идентичността на устройството бъде отменена, други сесии може да станат невалидни, включително клиент на лаптоп и таблет, за който никой не се сети. Занимавайте се с тях в същия прозорец, вместо да ги откривате едно по едно.
Какво да не правите
Не рутвайте единственото работещо устройство, за да търсите текстов файл. Превръщате проблем с възстановяването на достъп в проблем с целостта на устройството, може да счупите собствените проверки за цялост на приложението и все още нямате гаранция, че търсената стойност съществува в четима форма.
Не поставяйте частни ключове, експортирани профили или пароли в билет за поддръжка, за да докажете, че проблемът е реален. Доставчикът се нуждае от името на профила, версията на приложението, идентификатора на акаунта и грешката, нито едно от които не е тайна.
И не изключвайте проверката на сертификати, за да получите връзка, докато чакате. Това заменя временно неудобство срещу постоянно отслабване на единствената проверка, която ви казва с кой сървър говорите. Запишете четирите факта, задайте конкретния въпрос и използвайте издадения път.