Gwall Keystore ar Android VPN: ailgofrestru, datgloi neu roi cynnig arall?
Mae tri chanlyniad keystore Android angen tri math gwahanol o adferiad. Cymharwch ddatgloi, ailgofrestru ac ailgynnig y darparwr cyn clirio storfa'r ap.
Mae'r proffil yn dal i fod ar y rhestr, mae'r dystysgrif yn dal i ymddangos fel pe bai wedi'i gosod, ac mae'r botwm cysylltu'n methu â neges sy'n dweud dim ond «Gwall Keystore» a dim byd arall. Cyn i chi glirio storfa'r ap neu drosglwyddo'r ffôn, gosodwch pa weithred allweddol a fethodd. Mae tri chanlyniad yn cynhyrchu'r un deialog, ac maent yn ymateb i dri gweithred gwahanol — dim ond un ohonynt sy'n ddinistriol. Mae'r gymhariaeth yn werth deng munud, oherwydd mae'r gangen anghywir yn costio'r hunaniaeth roeddech yn ceisio ei chadw.
Tri methiant y tu ôl i un deialog
Y cyntaf yw dilysu. Mae'r allwedd yn bodoli ac yn ddilys, ond mae ei defnyddio'n gofyn i'r defnyddiwr brofi presenoldeb — datgloi dyfais, biometreg, neu her proffil gwaith. Os yw'r terfyn amser clo, y biometreg gofrestredig neu gyflwr y proffil wedi newid yn ddiweddar, gall defnyddio'r allwedd fethu tra bod yr allwedd ei hun yn berffaith iawn.
Yr ail yw anghyfreithloni parhaol. Mae polisi'r platfform yn anghyfreithloni rhywfaint o ddeunydd allwedd pan gaiff y dull clo ei ailosod neu pan fydd y cofrestriad biometrig yn newid, oherwydd nid yw'r rhwymiad a'i hamddiffynnodd yn dal bellach. Ni ellir trwsio'r allwedd ac nid yw ailgynnig yn gynllun adfer; rhaid disodli'r hunaniaeth drwy'r broses gofrestru a'i cyhoeddodd.
Y trydydd yw methiant darparwr: ni allai gwasanaeth keystore gwblhau'r weithred nawr. Dyma'r dosbarth sy'n werth ailgynnig weithiau, a'r unig un.
| Failure | What it means | What recovers it | What does not |
|---|---|---|---|
| User not authenticated | Key needs a presence check | Supported unlock or authorization flow | A VPN account password reset |
| Key permanently invalidated | Binding is gone; key unusable | Replacement enrollment for that identity | Retrying, rebooting, reinstalling the client |
| Transient provider error | Service could not complete now | The provider's documented retry path | Clearing app data |
Sylwch fod dau o'r tri yn an-uniongyrchol eu heffaith ac nad oes gan un unrhyw ateb ar lefel y ddyfais. Nid oes yr un ohonynt yn cael ei ddatrys drwy ddileu'r ffôn, sef y cam y mae pobl yn ei gymryd gyntaf am fod y deialog yn rhoi dim arall iddynt.
Ailgofrestru yn erbyn clirio data
Mae'r ddau hyn yn edrych yn debyg o'r tu allan ac nid ydynt. Mae ailgofrestru'n gofyn i'r system gyhoeddi am hunaniaeth newydd — tystysgrif neu allwedd newydd wedi'i chlymu i'r ddyfais hon — ac yn ymddeol yr hen un. Mae clirio data'n dileu cyflwr storfa'r ap, a allai ddileu'r cyfeiriad at yr allwedd heb ddileu'r allwedd, neu a allai ddileu'r allwedd a'ch gadael heb awdurdod i'w hail-greu.
Mae'r gwahaniaeth yn bwysig oherwydd nad yw allweddi na ellir eu hallforio, yn ôl eu cynllun, yn gludadwy. Maent yn byw yn keystore'r ddyfais, wedi'u cefnogi gan ba bynnag galedwedd neu ddarparwr sydd ar gael, ac nid ydynt yn rhywbeth y mae copi wrth gefn yn ei ddal ac adferiad yn ei ddwyn yn ôl. Os yw hunaniaeth y defnydd yn allwedd na ellir ei hallforio, cynlluniwch ailgofrestru fel yr adferiad, a chadarnhewch ymlaen llaw fod gennych lwybr cymeradwy i gael y cofrestriad hwnnw — mae rhai sefydliadau'n gofyn am fynediad i rwydwaith preifat ar ei gyfer, sef yn union yr hyn oedd y VPN wedi torri yn ei ddarparu.
Felly'r drefn yw: rhowch gynnig ar y llwybr dilysu a gefnogir, yna penderfynwch a yw'r allwedd yn annilys yn barhaol, a disodli'r hunaniaeth dim ond os ydyw. Mae clirio storfa yn dod olaf, ar ôl i chi wybod beth fydd yn cael ei ail-greu, nid yn gyntaf am ei fod yn hawdd.
Ailgynnig dim ond yr hyn y gellir ei ailgynnig
Roedd fersiynau hŷn o'r platfform yn rhoi gwallau keystore at ei gilydd mewn un eithriad, a dyna pam mae cymaint o gleientiaid yn ailgynnig popeth. O API 33 mae'r math eithriad yn cario strwythur: gwall rhifol, baner methiant dros dro, a pholisi ailgynnig. I ddatblygwr cleient, nid yw'r polisi ailgynnig yn golygu dim ond pan fo'r faner dros-dro yn wir; nid oes gan anghyfreithloni parhaol unrhyw amserlen ailgynnig, ac nid yw ei guro mewn dolen yn gwneud dim ond draenio'r batri a llenwi'r log.
Os ydych yn dadansoddi yn hytrach nag yn ysgrifennu'r cleient, mae'r canlyniad ymarferol yr un fath. Mae methiannau unfath ar bob ymgais yn diystyru diffyg dros dro unigol, ond nid ydynt yn gwahanu allwedd a anghyfreithlonwyd yn barhaol oddi wrth ddarparwr sydd wedi bod yn anarferol am gyfnod — mae pylni darparwr yn edrych yn union yr un fath ar y degfed ymgais ag ar y cyntaf. Heb feysydd strwythuredig API 33, triniwch ailadrodd fel rheswm i chwilio am ail signal — y cod gwall os yw eich build yn ei ddangos, statws y gweithredwr, neu allwedd arall ar yr un ddyfais yn llwyddo — yn hytrach nag fel tystiolaeth bod yr allwedd yn farw.
Darllenwch y gadwyn achos, nid y label
Mae apiau'n lapio'r eithriad gwreiddiol, ac mae'r llinyn cyfeillgar yn y rhyngwyneb yn aml yn cuddio'r un maes sy'n penderfynu'r gangen. Cadwch y gadwyn achos a stamp amser yr ymgais: mae'r eithriad allanol fel arfer yn enwi'r weithred, ac mae'r achos yn enwi cyflwr yr allwedd.
Gwrthwynebwch y casgliad bod dau ap sy'n methu yn profi llawdriniaeth ddiffygiol. Gall allweddi gwahanol gael eu cefnogi gan ddarparwyr a lefelau diogelwch gwahanol, ac efallai nad yw ap sy'n dal i weithio yn cyflawni'r un weithred o gwbl — mae llofnod, dadgryptio ac ardystiad allwedd yn geisiadau gwahanol i'r un gwasanaeth. cyfeirlyfr KeyStoreException yn disgrifio'r meysydd strwythuredig ar lefelau API mwy newydd ac yw'r man i wirio beth y gall eich build ei adrodd mewn gwirionedd.
Mae'r hyn a fyddai'n cefnogi casgliad caledwedd yn gulach nag y mae'r rhan fwyaf o bobl yn cymryd yn ganiataol: yr un weithred, ar yr un darparwr, yn methu ar draws allweddi annibynnol â gwall ar lefel darparwr yn hytrach nag ar lefel allwedd. Cwestiwn i ddiagnosteg y platfform yw hwnnw, nid i edefyn fforwm cymorth am swp o ddyfeisiau.
Beth i'w gofnodi wrth benderfynu
Cofnodwch y build Android, fersiwn y cleient, y proffil a ddewiswyd, y weithred a fethodd, ac a newidiodd unrhyw beth yn ddiweddar — diweddariad OS, newid sgrin glo, ôl bys newydd, ailgofrestru. Cofnodwch y dilyniant fel cyd-destun yn hytrach nag fel prawf o achos; mae newid clo cyn methiant allwedd yn gydberthynas gredadwy, nid yn arddangosiad.
Yna gweithredwch ar y gangen a sefydlwyd gennych. Dros dro: cadwch yr hunaniaeth, defnyddiwch y llwybr ailgynnig a gefnogir. Angen dilysu: cwblhewch y llif datgloi a gefnogir a chadwch y polisi clo y mae'r defnydd yn ei ofyn yn hytrach na'i analluogi i basio deialog. Yn annilys yn barhaol: disodlwch a sborwch yr hunaniaeth drwy gofrestriad arferol.
Gorffennwch drwy brofi'r canlyniad ar gysylltiad awdurdodedig newydd, i adnodd go iawn, gyda dilysu'r gweinydd yn dal i fod yn alluog. Nid yw unrhyw beth sy'n gweithio dim ond gyda gwiriadau tystysgrif wedi'u llacio wedi trwsio'r broblem allwedd — mae wedi'i symud i haen y rhwydwaith, lle bydd yn codi'n ddiweddarach gyda symptomau gwaeth.
- Tair cangen: angen dilysu, annilys yn barhaol, dros dro gan y darparwr.
- Dim ond y drydedd sy'n elwa o ailgynnig, a hynny'n unig yn ôl ei pholisi ailgynnig.
- Mae cofrestriad disodli'n adfer mynediad; mae clirio data'n dileu'r opsiwn.
- Gwiriwch gyda chysylltiad newydd a gwiriadau hunaniaeth gweinydd arferol.