Yn gosod proffil VPN wedi'i lofnodi ar iPhone? Darllenwch y llwythi

Mae proffiliau'n cyrraedd Gosodiadau ag enw, llofnodwr a botwm Gosod, a'r llinell llofnodwr yw'r rhan mae'r rhan fwyaf o bobl yn ei darllen. Mae'r llinell honno'n ateb un cwestiwn: pwy a becynnodd y gosodiadau hyn, yn ôl y rheolau gwirio llofnod. Nid yw'n dweud bod y llwyth VPN yn pwyntio at borth eich cyflogwr, nac bod tystysgrif gwraidd wedi'i mewnosod yn perthyn i'ch storfa ymddiriedaeth TLS. Mae'r daith isod yn agor y pecyn yn y drefn y bydd y ddyfais yn ei chymhwyso.

Dechreuwch gyda'r amlen: pwy lofnododd y proffil hwn

Ar iOS mae'r proffil yn ymddangos o dan Gosodiadau, Cyffredinol, VPN a Rheoli Dyfais, gyda'r llofnodwr yn cael ei ddangos uwchben y botwm Gosod. Darllenwch yr enw hwnnw cyn tapio unrhyw beth, a gofynnwch ai dyma'r sefydliad yr oeddech yn disgwyl gosodiadau ganddo. Mae llofnod dilys gan barti nad ydych yn ei adnabod yn dal yn llofnod dilys, ac mae'n awdurdodi eu cyfluniad nhw yn hytrach na'ch un chi. Mae'r un sgrin hefyd yn dweud wrthych a yw'r proffil wedi'i lofnodi o gwbl.

Os oes gennych y ffeil ar Fac, archwiliwch hi cyn iddi gyrraedd y ffôn. Mae'r offeryn diogelwch yn dadgodio'r amlen CMS ac yn argraffu'r plist y bydd y ddyfais yn ei ddarllen, sef yr un cynnwys heb fotwm Gosod yn y ffordd. Mae dogfennaeth Apple ar orfodi cyfluniad yn disgrifio llofnodi fel dilysu tarddiad, sef yn union y cwmpas a ddisgrifir yma.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Stopiwch yma os nad y llofnodwr yw'r un roeddech yn ei ddisgwyl, neu os yw'r ffeil heb ei llofnodi ac wedi cyrraedd trwy sianel na all warantu drosti. Nid oes dim yn ddiweddarach yn y daith hon yn gwneud amlen anniogel yn ddibynadwy.

Agorwch bob llwyth ac enwch beth mae'n ei osod

Mae proffil yn gynhwysydd, a'r rhan ddiddorol yw PayloadContent yr arae y tu mewn iddo. Mae pob cofnod yn cario PayloadType sy'n dweud beth fydd y ddyfais yn ei osod: cyfluniad VPN wedi'i reoli, hunaniaeth PKCS#12, tystysgrif gwraidd, neu gofrestriad rheoli. Argraffwch y mathau cyn darllen unrhyw osodiad.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Mae llwyth VPN yn enwi cysylltiad: cyfeiriad gweinydd, dull dilysu, ac o bosibl rheol fesul ap neu ar alw. Mae llwyth hunaniaeth yn darparu'r cymhwyster cleient y bydd y cysylltiad hwnnw'n ei gyflwyno. Mae llwyth tystysgrif gwraidd yn ychwanegu angor ymddiriedaeth, ac mae llwyth rheoli yn trosglwyddo rheolaeth barhaus i weinydd. Pedwar ymrwymiad gwahanol yw'r rhain, ac mae'r llofnod yn cwmpasu'r pecyn yn hytrach na gwarantu pob un ar wahân. Darllenwch nhw yn y drefn honno, oherwydd mae VPN yn ddiwerth heb yr hunaniaeth, ac ychydig y mae hunaniaeth yn ei olygu heb wybod pwy a'i cyhoeddodd.

Mae amddiffyn y ffeil â chyfrinair yn briodwedd ar wahân eto. Mae pecyn wedi'i amgryptio yn cuddio'r cynnwys oddi wrth rywun heb y cyfrinair; nid yw'n penderfynu a ddylech awdurdodi'r hyn sydd y tu mewn. Trinnwch y cyfrinair fel mecanwaith danfon, nid fel adolygiad.

Olrheiniwch y tystysgrifau i'r cysylltiad sy'n eu defnyddio

Rhestrwch y tystysgrifau yn y pecyn a chyfateb pob un i dasg. Mae tystysgrif y cleient yn nodi'r ddyfais hon i'r porth, mae'r CA a'i cyhoeddodd yn perthyn i gadwyn ymddiriedaeth y cysylltiad hwnnw, ac nid yw gwraidd a osodwyd ar gyfer procsi neu wasanaeth mewnol yn angor awtomatig ar gyfer pob safle HTTPS. Ar iOS mae gwraidd a osodir â llaw yn parhau'n anniogel ar gyfer TLS nes i chi ei alluogi o dan Gosodiadau, Ynglŷn â, Gosodiadau Ymddiriedaeth Tystysgrifau, tra bod gwraidd a ddanfonir gan reolaeth yn cael ei ymddiried heb y cam hwnnw. Dyna'n union pam mae pwrpas y llwyth yn bwysig.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Nid yw darparwr sy'n cario'ch traffig, oherwydd hynny, yn bwynt terfyn TLS pob gwefan yr ydych yn ymweld â hi. Mae angen llwybr y traffig ac angor ymddiriedaeth y mae'r ap yn ei dderbyn ar gyfer rhyng-gipio, ac nid yw proffil yn cario un dystysgrif yn profi'r naill na'r llall. Gofynnwch pa gysylltiad sy'n defnyddio'r dystysgrif a pha apiau fydd yn ei derbyn, yn lle rhagdybio bod gosod y proffil yn dadgryptio popeth.

Ar ôl gosod: gwiriwch, a gwybyddwch beth mae tynnu'n ei wneud

Unwaith y bydd y proffil wedi'i osod, cadarnhewch ef o'r ddyfais yn hytrach nag o'r ffeil a lawrlwythwyd gennych. Mae'r sgrin gosodiadau yn rhestru'r proffil sydd wedi'i osod, ei lofnodwr a'i lwythi, ac mae'r sgrin VPN yn dangos a yw'r cysylltiad wedi'i gyflunio fel y bwriadwyd. Nid yw dileu'r ffeil a lawrlwythwyd yn tynnu dim; mae'r cyfluniad sydd wedi'i osod yn wrthrych ar wahân.

profiles show -type configuration
scutil --nc list

Os yw'r proffil yn cynnwys cofrestriad rheoli, darllenwch ganlyniadau tynnu cyn ei osod, nid ar ôl. Mae tynnu'r cofrestriad hwnnw yn mynd â'r cyfluniadau cysylltiedig gydag ef ac yn gallu tynnu apiau wedi'u rheoli, yn dibynnu ar sut y cofrestrodd y ddyfais. Nid yw'n gam atgyweirio i'w roi cynnig arno pan fydd tystysgrif yn edrych yn anghywir. Gofynnwch i'r gweinyddwr pa lwyth sy'n berchen ar y broblem cyn tynnu unrhyw beth.

Mae'r daith yn gorffen â phedwar ateb ar wahân: pwy lofnododd y pecyn, pa lwythi y mae'n eu gosod, pa hunaniaeth ac ymddiriedaeth y mae pob cysylltiad yn ei ddefnyddio, a beth fyddai tynnu yn mynd ag ef. Cadwch nhw ar wahân ac mae proffil wedi'i lofnodi yn dod yn benderfyniad a adolygwyd yn hytrach na thic gwyrdd.