Může profil VPN nainstalovat do zařízení certifikát?

Profil VPN může nést certifikáty a právě tato věta je místem, kde začíná většina zmatku. Co nese a čemu důvěřuje, jsou dvě různé otázky, na které odpovídají dva různé mechanismy. Vložená CA, kterou jeden klient používá k ověření serveru, není stejný objekt jako kořen, kterému důvěřuje celý operační systém. Porovnejte obojí, než rozhodnete, že je balíček rutinní.

Odpověď na otázku z titulku je ano, s rozsahem, který musíte ověřit.

Co může profil VPN nést

Profil OpenVPN může obsahovat certifikát CA, klientský certifikát a klientský klíč vložené mezi jejich značky, takže je klient čte přímo z profilu. Tento materiál se používá k ověřování a autentizaci uvnitř onoho jednoho klienta. Do systémového úložiště důvěry se nedostane jen tím, že je v souboru.

Konfigurační profil platformy je jiný kontejner. Může nést datovou část s certifikátem vedle spravovaných nastavení: Wi-Fi, VPN, omezení a ve spravovaných nasazeních mnohem více. Instalace předá tato nastavení operačnímu systému, nikoli jedné aplikaci. To je smysl formátu, a proto záleží na rozsahu.

Důvěra v rozsahu klienta versus důvěra platformy

Důvěra v rozsahu klienta je ohraničena klientem. Pokud je CA v profilu špatná, tento tunel selže a ostatní aplikace zůstanou nedotčené. Důvěra platformy není ohraničena ničím konkrétním, protože každá aplikace používající systémové úložiště toto rozhodnutí dědí.

Na platformách Apple jsou to viditelně oddělené kroky.

Instalace staženého profilu a povolení důvěry pro certifikát jsou odlišné úkony a druhý má vlastní ovládání v nastavení důvěry certifikátů. Spravované nasazení se může lišit od ruční instalace, včetně toho, zda lze profil vůbec odebrat. Řiďte se aktuální dokumentací platformy pro vaši verzi. Výzva, která vypadá jako součást nastavení VPN, může být samo rozhodnutí o důvěře.

Proč rozdíl mění vaši odpověď

Pokud se někdo ptá, zda profil instaluje certifikát, užitečná odpověď pojmenuje rozsah. Profil VPN s vlastní CA mění, co tento klient přijímá. Profil, který instaluje certifikát a má povolenou důvěru, mění, co přijímá zařízení. Jen druhý může ovlivnit bankovní web v prohlížeči, který se tunelu nikdy nedotkne.

To je celé srovnání a stojí za to je před jakýmkoli schválením říct jasně.

Na co se zeptat před schválením

Zeptejte se, která funkce certifikát potřebuje a co bez něj přestane fungovat. Zeptejte se, kdo jej vydal a co má ověřovat. Zeptejte se, jak se odstraňuje a zda je odstranění vůbec dostupné při použitém způsobu nasazení. Ptejte se skutečným kanálem provozovatele, ne stránkou, která nabídla stažení.

Stránka ke stažení, která balíček označuje za opravu VPN, vám o rozsahu neřekla nic.

Odmítnout neočekávaný kořen není paranoia; je to stejné rozhodnutí, jaké dělá prohlížeč, když zobrazí varování o certifikátu. Rozdíl je v tom, že toto přetrvává a možná se už nezeptá.

Jak odstranění skutečně vypadá

Smazání staženého souboru neodstraní nainstalovaný profil ani jeho certifikát. Profil žije v nastavení správy zařízení, dokud tam není odebrán, a dohlížené nebo spravované zařízení to může odmítnout. Po každé schválené změně zkontrolujte stav instalace a potvrďte, že certifikát zmizel, místo abyste předpokládali, že artefaktem byl soubor. Poté se znovu připojte a zjistěte, zda tunel stále funguje, protože odebrání CA při zachování profilu je samostatný režim selhání.

Veďte záznam o vydavateli, účelu, rozsahu a cestě odstranění.

Tento záznam je užitečnější než fungující ikona VPN, protože přežije dalšího člověka, který musí rozhodnout, zda stejnou výzvu schválit na jiném zařízení.