Instal·leu un perfil VPN signat a l'iPhone? Llegiu les càrregues

Els perfils arriben a Configuració amb un nom, un signant i un botó Instal·la, i la línia del signant és la part que llegeix la majoria de la gent. Aquesta línia respon una pregunta: qui ha empaquetat aquests ajustos, segons les regles de verificació de la signatura. No diu que la càrrega VPN apunti a la passarel·la de la vostra empresa, ni que un certificat arrel incrustat pertanyi al vostre magatzem de confiança TLS. El recorregut següent obre el paquet en l'ordre en què el dispositiu l'aplicarà.

Comenceu pel sobre: qui ha signat aquest perfil

A l'iOS el perfil apareix a Configuració, General, VPN i Gestió de dispositius, amb el signant mostrat sobre el botó Instal·la. Llegiu aquest nom abans de tocar res i pregunteu-vos si és l'organització de la qual esperàveu rebre ajustos. Una signatura vàlida d'una part que no reconeixeu continua sent una signatura vàlida, i autoritza la seva configuració, no la vostra. La mateixa pantalla també us diu si el perfil està signat o no.

Si teniu el fitxer en un Mac, inspeccioneu-lo abans que arribi al telèfon. L'eina de seguretat descodifica el sobre CMS i imprimeix el plist que llegirà el dispositiu, és a dir, el mateix contingut sense un botó Instal·la pel mig. La documentació d'Apple sobre l'aplicació forçosa de la configuració descriu la signatura com a validació d'origen, que és precisament l'abast descrit aquí.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Atureu-vos aquí si el signant no és qui esperàveu, o si el fitxer no està signat i ha arribat per un canal que no en pot respondre. Res del que segueix en aquest recorregut fa fiable un sobre no fiable.

Obriu cada càrrega i anomeneu què instal·la

Un perfil és un contenidor, i la part interessant és PayloadContent la matriu que hi ha a dins. Cada entrada porta un PayloadType que diu què instal·larà el dispositiu: una configuració VPN gestionada, una identitat PKCS#12, un certificat arrel o una inscripció de gestió. Imprimiu els tipus abans de llegir cap dels ajustos.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Una càrrega VPN anomena una connexió: adreça del servidor, mètode d'autenticació i, possiblement, una regla per aplicació o sota demanda. Una càrrega d'identitat proporciona la credencial de client que presentarà aquesta connexió. Una càrrega de certificat arrel afegeix un ancoratge de confiança, i una càrrega de gestió lliura el control continu a un servidor. Són quatre compromisos diferents, i la signatura cobreix el paquet en lloc d'avalar-ne cadascun per separat. Llegiu-los en aquest ordre, perquè la VPN és inútil sense la identitat i la identitat significa poc sense saber qui la va emetre.

La protecció amb contrasenya del fitxer torna a ser una propietat a part. Un paquet xifrat amaga el contingut a qui no té la contrasenya; no decideix si hauríeu d'autoritzar el que hi ha a dins. Tracteu la contrasenya com un mecanisme de lliurament, no com una revisió.

Resseguiu els certificats fins a la connexió que els utilitza

Lliste els certificats del paquet i assigneu cadascun a una feina. El certificat de client identifica aquest dispositiu davant la passarel·la, la CA que el va emetre pertany a la cadena de confiança d'aquesta connexió, i una arrel instal·lada per a un proxy o un servei intern no és automàticament un ancoratge per a cada lloc HTTPS. A l'iOS, una arrel instal·lada a mà continua sense confiança per a TLS fins que l'activeu a Configuració, Informació, Ajustos de confiança de certificats, mentre que una arrel lliurada per la gestió és de confiança sense aquest pas. Aquesta diferència és exactament per què importa la finalitat de la càrrega.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Un proveïdor que transporta el vostre trànsit no és, per aquest motiu, el punt final TLS de cada lloc web que visiteu. La intercepció necessita el camí del trànsit i un ancoratge de confiança que l'aplicació accepti, i un perfil que porta un certificat no demostra cap de les dues coses. Pregunteu quina connexió utilitza el certificat i quines aplicacions l'acceptaran, en lloc de suposar que instal·lar el perfil ho desxifra tot.

Després d'instal·lar: verifiqueu i sapigueu què fa l'eliminació

Un cop instal·lat el perfil, confirmeu-lo des del dispositiu i no des del fitxer que heu baixat. La pantalla de configuració llista el perfil instal·lat, el seu signant i les seves càrregues, i la pantalla VPN mostra si la connexió està configurada com cal. Esborrar el fitxer baixat no elimina res; la configuració instal·lada és un objecte a part.

profiles show -type configuration
scutil --nc list

Si el perfil inclou una inscripció de gestió, llegiu les conseqüències de l'eliminació abans d'instal·lar-lo, no després. Eliminar aquesta inscripció s'emporta les configuracions associades i pot eliminar aplicacions gestionades, segons com es va inscriure el dispositiu. No és un pas de reparació per provar quan un certificat sembla incorrecte. Pregunteu a l'administrador quina càrrega té el problema abans d'eliminar res.

El recorregut acaba amb quatre respostes separades: qui va signar el paquet, quines càrregues instal·la, quina identitat i confiança fa servir cada connexió i què s'enduria l'eliminació. Manteniu-les separades i un perfil signat es converteix en una decisió revisada en lloc d'una marca verda.