Instalujete podepsaný profil VPN na iPhonu? Přečtěte si jeho části

Profily přicházejí do Nastavení s názvem, podepisujícím a tlačítkem Instalovat a řádek s podepisujícím je to, co většina lidí čte. Ten řádek odpovídá na jednu otázku: kdo tyto údaje zabalil, podle pravidel ověřování podpisu. Neříká, že část VPN ukazuje na bránu vašeho zaměstnavatele, ani že vložený kořenový certifikát patří do vašeho úložiště důvěry TLS. Následující postup otevírá balíček v pořadí, v jakém ho zařízení použije.

Začněte obálkou: kdo tento profil podepsal

V iOS se profil objeví v Nastavení, Obecné, VPN a Správa zařízení a podepisující je zobrazen nad tlačítkem Instalovat. Přečtěte si to jméno, než na něco klepnete, a zeptejte se, zda je to organizace, od které jste očekávali nastavení. Platný podpis strany, kterou neznáte, je pořád platný podpis a opravňuje jejich konfiguraci, ne vaši. Stejná obrazovka také říká, zda je profil vůbec podepsaný.

Pokud máte soubor na Macu, prohlédněte ho, než se dostane do telefonu. Bezpečnostní nástroj dekóduje obálku CMS a vypíše plist, který zařízení přečte, tedy stejný obsah bez tlačítka Instalovat v cestě. Dokumentace Apple k vynucení konfigurace popisuje podepisování jako ověření původu, což je přesně rozsah popsaný zde.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Zastavte se tady, pokud podepisující není ten, koho jste čekali, nebo pokud je soubor nepodepsaný a dorazil kanálem, který za něj nemůže ručit. Nic dalšího v tomto postupu nedělá nedůvěryhodnou obálku důvěryhodnou.

Otevřete každou část a pojmenujte, co instaluje

Profil je kontejner a zajímavá část je PayloadContent pole uvnitř něj. Každá položka nese PayloadType , které říká, co zařízení nainstaluje: spravovanou konfiguraci VPN, identitu PKCS#12, kořenový certifikát nebo zápis do správy. Vypište typy, než přečtete jakékoli nastavení.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Část VPN pojmenovává připojení: adresu serveru, metodu ověřování a případně pravidlo pro jednotlivou aplikaci nebo na vyžádání. Část identity dodává klientský údaj, který toto připojení předloží. Část kořenového certifikátu přidává kotevní bod důvěry a část správy předává průběžnou kontrolu serveru. To jsou čtyři různé závazky a podpis pokrývá balíček, místo aby ručil za každý zvlášť. Čtěte je v tomto pořadí, protože VPN je bez identity k ničemu a identita znamená málo bez znalosti, kdo ji vydal.

Ochrana souboru heslem je opět samostatná vlastnost. Šifrovaný balíček skrývá obsah před tím, kdo heslo nemá; nerozhoduje, zda máte povolit to, co je uvnitř. Berte heslo jako způsob doručení, ne jako kontrolu.

Vystopujte certifikáty k připojení, které je používá

Vypište certifikáty v balíčku a každý přiřaďte k úloze. Klientský certifikát identifikuje toto zařízení vůči bráně, CA, která ho vydala, patří do řetězce důvěry toho připojení a kořen nainstalovaný pro proxy nebo interní službu není automaticky kotevním bodem pro každý web HTTPS. V iOS zůstává kořen nainstalovaný ručně nedůvěryhodný pro TLS, dokud ho nepovolíte v Nastavení, O zařízení, Nastavení důvěry certifikátů, zatímco kořeni dodanému správou se věří bez tohoto kroku. Právě proto záleží na účelu části.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Poskytovatel, který přenáší váš provoz, není z tohoto důvodu koncovým bodem TLS každého webu, který navštívíte. Zachytávání potřebuje cestu provozu a kotevní bod důvěry, který aplikace přijme, a profil s jedním certifikátem nedokazuje ani jedno. Ptejte se, které připojení certifikát používá a které aplikace ho přijmou, místo abyste předpokládali, že instalace profilu odšifruje všechno.

Po instalaci: ověřte a vězte, co dělá odstranění

Po instalaci profilu ho potvrďte ze zařízení, ne ze souboru, který jste stáhli. Obrazovka nastavení vypisuje nainstalovaný profil, jeho podepisujícího a jeho části a obrazovka VPN ukazuje, zda je připojení nastaveno podle záměru. Smazání staženého souboru nic neodebere; nainstalovaná konfigurace je samostatný objekt.

profiles show -type configuration
scutil --nc list

Pokud profil obsahuje zápis do správy, přečtěte si důsledky odstranění před instalací, ne po ní. Odstranění tohoto zápisu s sebou bere související konfigurace a může odstranit spravované aplikace podle toho, jak bylo zařízení zapsáno. Není to krok opravy, který máte zkusit, když certifikát vypadá špatně. Zeptejte se správce, která část problém vlastní, než cokoli odstraníte.

Postup končí čtyřmi oddělenými odpověďmi: kdo balíček podepsal, které části instaluje, jakou identitu a důvěru každé připojení používá a co by odstranění vzalo s sebou. Držte je oddělené a podepsaný profil se stane promyšleným rozhodnutím místo zelené fajfky.