Instalirate potpisani VPN profil na iPhone? Pročitajte elemente sadržaja

Profili stižu u Postavke s imenom, potpisnikom i dugmetom Instaliraj, a red s potpisnikom je dio koji većina ljudi čita. Taj red odgovara na jedno pitanje: ko je spakovao ove postavke prema pravilima provjere potpisa. On ne kaže da VPN element pokazuje na mrežni prolaz vašeg poslodavca, niti da ugrađeni korijenski certifikat pripada vašem TLS skladištu povjerenja. Vodič ispod otvara paket onim redom kojim će ga uređaj primijeniti.

Počnite s kovertom: ko je potpisao ovaj profil

Na iOS-u se profil pojavljuje u Postavkama, Općenito, VPN i Upravljanje uređajem, a potpisnik je prikazan iznad dugmeta Instaliraj. Pročitajte to ime prije nego što bilo šta dodirnete i pitajte je li to organizacija od koje ste očekivali postavke. Važeći potpis strane koju ne poznajete i dalje je važeći potpis i on ovlašćuje njihovu konfiguraciju, a ne vašu. Isti ekran vam kaže i je li profil uopće potpisan.

Ako datoteku imate na Macu, pregledajte je prije nego što stigne na telefon. Sigurnosni alat dekodira CMS kovertu i ispisuje plist koji će uređaj pročitati, to jest isti sadržaj bez dugmeta Instaliraj na putu. Apple dokumentacija o prisilnom provođenju konfiguracije opisuje potpisivanje kao provjeru porijekla, a to je upravo obim opisan ovdje.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Zaustavite se ovdje ako potpisnik nije onaj koga ste očekivali ili ako je datoteka nepotpisana i stigla kanalom koji ne može jamčiti za nju. Ništa kasnije u ovom vodiču ne čini nepovjerljivu kovertu pouzdanom.

Otvorite svaki element i imenujte šta instalira

Profil je kontejner, a zanimljiv dio je PayloadContent niz u njemu. Svaki unos nosi PayloadType , koji kaže šta će uređaj instalirati: upravljanu VPN konfiguraciju, PKCS#12 identitet, korijenski certifikat ili upis u upravljanje. Ispišite tipove prije nego što pročitate bilo koju postavku.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN element imenuje vezu: adresu servera, metodu autentifikacije i moguće pravilo za pojedinu aplikaciju ili na zahtjev. Element identiteta daje klijentske akreditive koje će ta veza predstaviti. Element korijenskog certifikata dodaje sidro povjerenja, a element upravljanja predaje trajnu kontrolu serveru. To su četiri različite obaveze, a potpis pokriva paket umjesto da jamči svaku pojedinačno. Čitajte ih tim redom, jer je VPN beskoristan bez identiteta, a identitet malo znači bez znanja ko ga je izdao.

Zaštita datoteke lozinkom opet je zasebno svojstvo. Šifrirani paket skriva sadržaj od onoga bez lozinke; on ne odlučuje trebate li odobriti ono što je unutra. Tretirajte lozinku kao mehanizam dostave, a ne kao pregled.

Pratite certifikate do veze koja ih koristi

Navedite certifikate u paketu i svaki povežite sa zadatkom. Klijentski certifikat identificira ovaj uređaj mrežnom prolazu, CA koji ga je izdao pripada lancu povjerenja te veze, a korijen instaliran za proxy ili internu uslugu nije automatski sidro za svaku HTTPS stranicu. Na iOS-u korijen instaliran ručno ostaje nepovjerljiv za TLS dok ga ne omogućite u Postavkama, O nama, Postavke povjerenja certifikata, dok se korijenu dostavljenom upravljanjem vjeruje bez tog koraka. Ta razlika je upravo razlog zašto je svrha elementa važna.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Davatelj koji prenosi vaš promet nije zbog toga TLS krajnja točka svake stranice koju posjetite. Presretanje traži put prometa i sidro povjerenja koje aplikacija prihvaća, a profil s jednim certifikatom ne dokazuje ni jedno. Pitajte koja veza koristi certifikat i koje će ga aplikacije prihvatiti, umjesto da pretpostavljate da instalacija profila dešifrira sve.

Nakon instalacije: provjerite i znajte šta uklanjanje čini

Kad je profil instaliran, potvrdite ga s uređaja, a ne iz datoteke koju ste preuzeli. Ekran postavki navodi instalirani profil, njegovog potpisnika i njegove elemente, a VPN ekran pokazuje je li veza konfigurirana kako treba. Brisanje preuzete datoteke ne uklanja ništa; instalirana konfiguracija je zaseban objekt.

profiles show -type configuration
scutil --nc list

Ako profil uključuje upis u upravljanje, pročitajte posljedice uklanjanja prije instalacije, a ne poslije. Uklanjanje tog upisa nosi sa sobom povezane konfiguracije i može ukloniti upravljane aplikacije, zavisno od toga kako je uređaj upisan. To nije korak popravke koji treba isprobati kad certifikat izgleda pogrešno. Pitajte administratora koji element posjeduje problem prije nego što bilo šta uklonite.

Vodič završava s četiri odvojena odgovora: ko je potpisao paket, koje elemente instalira, koji identitet i povjerenje koristi svaka veza i što bi uklanjanje odnijelo sa sobom. Držite ih odvojenim i potpisani profil postaje pregledana odluka umjesto zelene kvačice.