Kan en VPN-profil installere et certifikat på din enhed?

En VPN-profil kan bære certifikater, og den sætning er der, hvor det meste forvirring starter. Hvad den bærer, og hvad den stoler på, er to forskellige spørgsmål besvaret af to forskellige mekanismer. En indlejret CA, som én klient bruger til at verificere en server, er ikke det samme objekt som en rod, som hele operativsystemet stoler på. Sammenlign de to, før du beslutter, at pakken er rutine.

Svaret på overskriftens spørgsmål er ja, med et omfang du skal kontrollere.

Hvad en VPN-profil kan bære

En OpenVPN-profil kan indeholde CA-certifikatet, klientcertifikatet og klientnøglen indlejret mellem deres tags, så klienten læser dem fra profilen selv. Det materiale bruges til verifikation og autentificering inde i den ene klient. Det havner ikke i systemets tillidslager, blot fordi det står i filen.

En platformskonfigurationsprofil er en anden beholder. Den kan bære en certifikatnyttel ved siden af administrerede indstillinger: Wi-Fi, VPN, begrænsninger og i administrerede udrulninger meget mere. At installere den overdrager disse indstillinger til operativsystemet i stedet for til en enkelt applikation. Det er formatets pointe, og derfor betyder omfanget noget.

Klientafgrænset tillid kontra platformstillid

Klientafgrænset tillid er begrænset af klienten. Hvis CA'en i profilen er forkert, fejler den tunnel, og andre applikationer er urørte. Platformstillid er ikke begrænset af noget bestemt, fordi enhver applikation, der bruger systemlageret, arver beslutningen.

På Apple-platforme er det synligt adskilte trin.

At installere en downloadet profil og at aktivere tillid for et certifikat er forskellige handlinger, og den anden har sin egen kontrol i indstillingerne for certifikattillid. Administreret udrulning kan afvige fra en manuel installation, blandt andet om profilen overhovedet kan fjernes. Følg platformens aktuelle dokumentation for din version. En prompt, der ligner en del af VPN-opsætningen, kan være selve tillidsbeslutningen.

Hvorfor forskellen ændrer dit svar

Hvis nogen spørger, om profilen installerer et certifikat, navngiver et brugbart svar omfanget. En VPN-profil med sin egen CA ændrer, hvad den klient accepterer. En profil, der installerer en certifikatnyttel og har tillid aktiveret, ændrer, hvad enheden accepterer. Kun den anden kan påvirke en bankside i en browser, der aldrig rører tunnelen.

Det er hele sammenligningen, og den er værd at sige klart før enhver godkendelse.

Hvad du skal spørge om før godkendelse

Spørg, hvilken funktion der har brug for certifikatet, og hvad der går i stykker uden det. Spørg, hvem der udstedte det, og hvad det skal autentificere. Spørg, hvordan det fjernes, og om fjernelse overhovedet er mulig for dig under den anvendte udrulningsmetode. Spørg gennem operatørens ægte kanal, ikke gennem siden, der tilbød downloadet.

En downloadside, der kalder pakken en VPN-reparation, har ikke fortalt dig noget om omfanget.

At afvise en uventet rod er ikke paranoia; det er den samme beslutning, en browser tager, når den viser en certifikatadvarsel. Forskellen er, at denne varer ved, og den spørger måske ikke igen.

Hvordan fjernelse faktisk ser ud

At slette den downloadede fil fjerner ikke en installeret profil eller dens certifikat. Profilen lever i enhedens administrationsindstillinger, indtil den fjernes der, og en overvåget eller administreret enhed kan nægte. Kontrollér installationstilstanden efter enhver godkendt ændring, og bekræft, at certifikatet er væk, i stedet for at antage, at filen var artefaktet. Genopret derefter forbindelsen, og se, om tunnelen stadig virker, fordi fjernelse af CA'en mens profilen beholdes er sin egen fejltilstand.

Hold en registrering af udsteder, formål, omfang og fjernelsesvej.

Den registrering er mere nyttig end et fungerende VPN-ikon, fordi den overlever til den næste person, som skal beslutte, om den samme prompt skal godkendes på en anden enhed.