Pot un perfil VPN instal·lar un certificat al teu dispositiu?

Un perfil VPN pot portar certificats, i aquesta frase és on comença la major part de la confusió. Què porta i en què confia són dues preguntes diferents, respostes per dos mecanismes diferents. Una CA incrustada que un client fa servir per verificar un servidor no és el mateix objecte que una arrel en què confia tot el sistema operatiu. Compareu aquestes dues coses abans de decidir que el paquet és rutinari.

La resposta a la pregunta del titular és sí, amb un abast que heu de comprovar.

Què pot portar un perfil VPN

Un perfil OpenVPN pot contenir el certificat de la CA, el certificat del client i la clau del client en línia, entre les seves etiquetes, de manera que el client els llegeix del mateix perfil. Aquest material s'utilitza per a la verificació i l'autenticació dins d'aquest client. No entra a l'emmagatzematge de confiança del sistema només per ser al fitxer.

Un perfil de configuració de plataforma és un contenidor diferent. Pot portar una càrrega de certificat al costat de paràmetres gestionats: Wi-Fi, VPN, restriccions i, en desplegaments gestionats, molt més. Instal·lar-lo lliura aquests paràmetres al sistema operatiu en lloc d'una sola aplicació. Aquest és el sentit del format, i per això l'abast importa.

Confiança limitada al client enfront de la confiança de plataforma

La confiança limitada al client està acotada pel client. Si la CA del perfil és incorrecta, aquest túnel falla i la resta d'aplicacions no es toquen. La confiança de plataforma no està acotada per res en particular, perquè tota aplicació que fa servir l'emmagatzematge del sistema n'hereta la decisió.

A les plataformes d'Apple aquests són passos visiblement separats.

Instal·lar un perfil descarregat i habilitar la confiança d'un certificat són accions diferents, i la segona té el seu propi control als paràmetres de confiança de certificats. El desplegament gestionat pot diferir d'una instal·lació manual, incloent-hi si el perfil es pot treure del tot. Seguiu la documentació actual de la plataforma per a la versió que teniu. Un missatge que sembla part de la configuració de la VPN pot ser la mateixa decisió de confiança.

Per què la diferència canvia la resposta

Si algú pregunta si el perfil instal·la un certificat, la resposta útil nomena l'abast. Un perfil VPN que porta la seva pròpia CA canvia què accepta aquest client. Un perfil que instal·la una càrrega de certificat i té la confiança habilitada canvia què accepta el dispositiu. Només el segon pot afectar un lloc bancari en un navegador que mai no toca el túnel.

Aquesta és tota la comparació, i val la pena dir-la clarament abans de qualsevol aprovació.

Què cal preguntar abans d'aprovar

Pregunteu quina funció necessita el certificat i què es trenca sense ell. Pregunteu qui l'ha emès i què ha de verificar. Pregunteu com es treu i si el podeu treure de cap manera amb el mètode de desplegament emprat. Pregunteu pel canal autèntic de l'operador, no per la pàgina que va oferir la descàrrega.

Una pàgina de descàrrega que etiqueta el paquet com a reparació de VPN no us ha dit res sobre l'abast.

Refusar una arrel inesperada no és paranoia; és la mateixa decisió que pren un navegador quan mostra un avís de certificat. La diferència és que aquest persisteix i potser no tornarà a preguntar.

Com es veu realment la retirada

Esborrar el fitxer descarregat no treu un perfil instal·lat ni el seu certificat. El perfil viu als paràmetres de gestió del dispositiu fins que s'hi retira, i un dispositiu supervisat o gestionat pot refusar-ho. Comproveu l'estat d'instal·lació després de qualsevol canvi aprovat i confirmeu que el certificat ha desaparegut en lloc de suposar que el fitxer era l'artefacte. Després torneu-vos a connectar i mireu si el túnel encara funciona, perquè treure la CA mantenint el perfil és un mode de fallada propi.

Guardeu un registre d'emissor, propòsit, abast i camí de retirada.

Aquest registre és més útil que una icona de VPN que funciona, perquè sobreviu a la propera persona que hagi de decidir si aprova el mateix missatge en un altre dispositiu.