Sut i fewnforio tystysgrif VPN ar Android a gwirio'r allwedd

Mae mewnforio tystysgrif cleient VPN ar Android yn cymryd cwpl o funudau. Mae gwirio ei bod wedi glanio yn y lle iawn yn cymryd mwy o amser, a dyna'r rhan y mae'r rhan fwyaf o bobl yn ei hepgor unwaith y bydd y deialog gosod yn dweud llwyddiant. Nid yw neges llwyddiant yn golygu ond bod y ffeil wedi'i pharsio. Nid yw'n dweud dim am ba ddarparwr sy'n dal yr allwedd breifat na ph'un a oes copi yn dal i fod yn eich ffolder Downloads.

Cam 1: Darllenwch y P12 cyn iddo adael eich peiriant

Dechreuwch gyda'r ffeil ei hun. Os na allwch enwi'r pwnc, y dyroddwr a'r dyddiad dod i ben ynddi, rydych yn mewnforio rhywbeth na fyddwch yn gallu ei wirio yn ddiweddarach.

Mae pecyn PKCS#12 fel arfer yn cario tystysgrif cleient, ei allwedd breifat a chadwyn y dyroddwr. Mae openssl pkcs12 -in client.p12 -info -noout yn argraffu'r MAC a'r algorithmau amgryptio heb ollwng deunydd allwedd, felly gallwch weld a yw'r pecyn wedi'i ddiogelu â chyfrinair a pha siffr. Dilynwch ef gyda keytool -list -v -keystore client.p12 -storetype PKCS12 i gael yr alias, ôl-bys SHA-256 a'r ffenestr dilysrwydd y byddwch yn ei chymharu â'r ffôn.

Anfonwch y cyfrinair drwy sianel wahanol i'r ffeil, neu drosglwyddwch y ffeil o fewn llif dosbarthu a reolir nad yw'n gadael copi ar ôl. Mae cyfrinair a lapiwyd yn yr un neges sgwrs â'r archif yn troi dau reolydd yn un.

Cam 2: Gosodwch ef yn y slot y mae'r ap VPN yn ei ddarllen mewn gwirionedd

Ar Android 11 i 14 safonol mae'r llwybr yn mynd drwy Gosodiadau, Diogelwch, Amgryptio a chredilion, Gosod tystysgrif, yna VPN a thystysgrif defnyddiwr ap. Mae'r geiriau a'r nythu yn symud rhwng rhyddhau a chrwynau gwneuthurwyr, felly dilynwch label y math o gredynol yn hytrach na safle dewislen a gofiwyd. Mewn proffil gwaith, gosodwch o du mewn yr ochr waith, oherwydd nid yw credilion yn croesi ffin y proffil.

Peidiwch â rhoi hunaniaeth cleient yn slot tystysgrif CA. Mae'r slot hwnnw'n bwydo storfa ymddiriedaeth y defnyddiwr, ac ers Android 7 mae apiau wedi anwybyddu CAau a ychwanegwyd gan y defnyddiwr oni bai bod eu cyfluniad diogelwch rhwydwaith yn caniatáu, felly nid yw tystysgrif cleient a barciwyd yno byth yn ymddangos yn y dewisydd allwedd VPN.

Nid yw rhai cleientiaid VPN byth yn cyffwrdd â storfa'r system ac yn mewnforio'r P12 i'w cyfeiriadur ap eu hunain yn lle hynny. Mae hwnnw'n ddyluniad dilys, ond mae'n newid pob cam diweddarach: mae'r allwedd bellach yn byw o dan sandbocs yr ap ac mae mor gryf ag y mae'r ap hwnnw'n trin ei storfa ei hun. Gwiriwch ddogfennaeth y cleient cyn tybio bod KeyChain yn chwarae rhan.

Cam 3: Profwch pa ddarparwr sy'n dal yr allwedd

Mae mewnforio yn cadarnhau parsiad, nid cefnogaeth galedwedd. Ar Android 12 ac yn ddiweddarach, mae KeyInfo.getSecurityLevel() yn adrodd a yw allwedd yn eistedd yn yr Amgylchedd Gweithredu Ymddiriedig, yn StrongBox neu mewn meddalwedd, ac mae'n disodli'r alwad hŷn isInsideSecureHardware(). Os nad yw'r cleient VPN yn dangos y gwerth hwnnw, ôl-bys cam 1 yw eich cefn. Ni fydd tystysgrif a ailgodwyd yn ystod mewnforio yn cydweddu fesul beit, ond bydd yr allwedd gyhoeddus a'r pwnc yn dal i wneud.

Nid yw annefyddadwy yr un peth ag anghyflawn. Gall allwedd na all adael y ddyfais gael ei defnyddio gan unrhyw ap y mae'r defnyddiwr yn awdurdodi i ddewis yr alias hwnnw, a dyma pam mae anogwr yr alias yn reolydd gwirioneddol ac nid yn ffurfioldeb. Mae dogfennaeth Android Keystore yn werth ei darllen unwaith os ydych yn gwneud y penderfyniad dylunio hwnnw.

Yna cyfrifwch am y copïau a wnaethoch. Mae'r P12 ar eich gliniadur, yr un yn atodiad y tocyn a'r un yn y copi wrth gefn mis diwethaf i gyd yn hunaniaethau dilys o hyd nes i'r dyroddwr eu dirymu. Nid yw amddiffyniad caledwedd y fersiwn ar y ffôn yn gwneud dim i'r rheini.

Cam 4: Canfyddwch pwy sy'n berchen ar y gofyniad clo sgrin

Mae tri chyfrinach yn cael eu cymysgu yma: PIN datgloi'r ddyfais, cyfrinair yr allwedd breifat a chyfrinair cyfrif VPN. Nid yw anogwr ar gyfer un byth yn gais i ailosod y lleill, ac ailosod yr un anghywir yw sut mae pobl yn cloi eu hunain allan o broffil a oedd yn gweithio'n iawn.

Pan fydd gweinyddwr dyfais neu bolisi proffil a reolir yn gofyn am glo, mae'r gofyniad yn perthyn i'r polisi hwnnw, nid i'r dystysgrif. Mae adb shell dumpsys device_policy yn rhestru'r gweinyddwyr gweithredol a'r ansawdd cyfrinair maen nhw'n ei orfodi, sef y ffordd gyflymaf i weld a yw asiant MDM yn rheswm dros newid eich rheolau PIN. Ni fydd tynnu'r dystysgrif yn lleddfu'r polisi, ac mae tynnu'r polisi yn benderfyniad gweinyddol yn hytrach na thrwsiad gosodiadau.

Disgwyliwch fasnachfraint defnyddiadwyedd hefyd. Os yw'r allwedd yn gofyn am awdurdodiad defnyddiwr, ni all y twmff y codi cyn y datgloi cyntaf, felly mae cydamseru wedi'i drefnu a deffroadau o bell yn methu yn ôl dyluniad. Penderfynwch hynny cyn defnyddio, nid ar ôl.

Osgoi'r llwybr byr o olygu locksettings.db neu ailchwarae hen waith o gwmpas patrwm a anghofiwyd. Ysgrifennwyd y rhuthinau hynny ar gyfer buildau penodol, gallant adael y storfa gredilion mewn cyflwr nad yw'r fframwaith yn ei ddisgwyl mwyach, ac ni fyddant byth yn newid y polisi a ofynnodd am y clo yn y lle cyntaf.

Cam 5: Ymddeolwch yr hunaniaeth a gwirio'r gwrthodiad

Mae tair rhan i ymddeoliad a dim ond y gyntaf sy'n lleol. Tynnwch y proffil VPN, dilëwch y dystysgrif defnyddiwr o dan Gosodiadau, Diogelwch, Amgryptio a chredilion, Credilion defnyddiwr, yna gofynnwch i'r dyroddwr ddirymu rhif cyfresol y dystysgrif. Mae'r dilead lleol ar ei ben ei hun yn gadael credynol y mae'r gweinydd yn dal i'w dderbyn os cadwodd rhywun y P12.

Gwirwch y canlyniad yn lle ei dybio. Rhowch gynnig ar gysylltiad â'r proffil ymddeoledig a chadarnhewch fod y gweinydd yn ei wrthod. Mae twmff sy'n dal i godi yn golygu eich bod wedi dirymu'r rhif cyfresol anghywir neu fod y cleient wedi disgyn yn dawel i hunaniaeth arall sydd wedi'i gosod.

Os ydych yn rhoi'r gorau i fewnforiad a fethodd, mewnforiwch eto o'r pecyn amgryptiedig gwreiddiol a gwirio'r ôl-bys eto yn hytrach nag ailddefnyddio ffeil allwedd wedi'i datgryptio a adawyd gennych ar y disg.