Gemt VPN på Android: hvilken hemmelighed kan du gendanne?

Telefonen genopretter hver morgen forbindelsen til VPN uden at spørge om noget. Det antyder, at legitimationsoplysningen er derinde et sted. Det er den normalt ikke, i det mindste ikke i en form, du kan læse op og skrive ind på en ny enhed.

Det, telefonen har, er tilladelse til at oprette forbindelse. Det, du vil have, er en hemmelighed, du kan tage med, og det er forskellige egenskaber, der tilfældigvis giver samme adfærd på skærmen.

Før du nulstiller noget, skal du afgøre, hvilken af fire slags hemmeligheder der faktisk mangler, fordi hver har en anden ejer og en anden gendannelse.

En fungerende forbindelse er ikke en gemt adgangskode

En app, der stille genopretter forbindelsen, kan holde en adgangskode, et sessionstoken, en certifikatreference eller intet mere end en enhedsbundet nøgle, den ikke kan eksportere. Alle fire giver samme brugeroplevelse, og ingen af dem kan udskiftes.

En række prikker i et indstillingsfelt er en visningsbeslutning, ikke bevis. Nogle apps gemmer faktisk en adgangskode, der kan gendannes, og tilbyder at vise eller eksportere den; andre tager et token fra et single sign-on-flow og ser aldrig adgangskoden.

Så det første spørgsmål er ikke, hvor filen er. Det er, hvilken slags tilladelse appen har fået, og det svar kommer fra udbyderen, ikke fra enheden.

Fire hemmeligheder, fire gendannelser

Match din situation med én række, før du kontakter nogen, fordi anmodningen ændrer sig fuldstændigt, alt efter hvilken det er.

Den anden række fanger oftest folk. En PKCS#12-importadgangskode beskytter nøglemateriale og har intet med kontologinet at gøre, så nulstilling af kontoens adgangskode gendanner intet. Hvis pakkens adgangskode virkelig er tabt, er løsningen at genudstede den.

Den fjerde række forklarer mange forvirrende supporttråde. Profilen kan referere til en legitimationsoplysning i platformens nøglelager i stedet for at indeholde en flytbar kopi, og i så fald er der intet i profilen at udtrække, selv i princippet.

Hvorfor kopiering af appdata normalt mislykkes

Den gamle opskrift er at trække appens datamappe ud og læse konfigurationen derfra. På nuværende Android har opskriften to uafhængige problemer.

Det første er backup-politik. Android 12 begrænsede appdata eksporteret via den gamle adb backup-sti for apps, der retter sig mod API 31 eller nyere, og apps kan helt udelukke data fra backup. En procedure skrevet til en ældre enhed er ikke en universel gendannelsesmetode til en nuværende.

Det andet er nøglelageret. Nøgler, der genereres der, kan være ikke-eksporterbare og hardwarebundne, som Android Keystore-dokumentationen beskriver. At kopiere en krypteret blob kopierer ikke den nøgle, der dekrypterer den, så en gendannet mappe kan indeholde en legitimationsoplysning, som den nye enhed aldrig kan bruge.

Ingen af de to problemer er en fejl, der skal omgås. Begge er platformen, der gør, hvad den er designet til, og at behandle dem som forhindringer ender normalt med en rootet telefon og ingen adgangskode.

Skift bevidst til en erstatningstelefon

Gør først det understøttede. Hvis udbyderen tilbyder en eksport, der udtrykkeligt indeholder de legitimationsoplysninger, du har brug for, så brug den, og kontrollér resultatet på den nye enhed, før du sletter den gamle. Hvis ikke, så bed om en ny profil eller tilmelding, hvilket er den normale vej for certifikatbaserede tjenester og normalt tager kortere tid end omvejen.

Rækkefølgen betyder noget. Tilmeld erstatningen, forbind den, send en testanmodning gennem tunnelen, og pensionér først derefter den oprindelige. At beholde den fungerende telefon, indtil den nye er bevist, er den billigste forsikring, der findes, og den koster kun tålmodighed.

Planlæg også bivirkningerne af en nulstilling. Hvis kontoens adgangskode nulstilles, eller enhedens identitet tilbagekaldes, kan andre sessioner blive ugyldige, herunder en laptopklient og en tablet, som ingen huskede. Håndter dem i samme vindue i stedet for at opdage dem én ad gangen.

Hvad du ikke bør gøre

Root ikke den eneste fungerende enhed for at lede efter en klartekstfil. Du forvandler et adgangsgendannelsesproblem til et enhedsintegritetsproblem, du kan ødelægge appens egne integritetskontroller, og du har stadig ingen garanti for, at den værdi, du leder efter, findes i læsbar form.

Indsæt ikke private nøgler, eksporterede profiler eller adgangskoder i en supportbillet for at bevise, at problemet er reelt. Udbyderen har brug for profilnavnet, appversionen, kontoidentifikatoren og fejlen, hvoraf ingen er hemmelige.

Og deaktiver ikke certifikatverifikation for at få en forbindelse, mens du venter. Det bytter en midlertidig ulempe for en permanent svækkelse af den eneste kontrol, der fortæller dig, hvilken server du taler med. Notér de fire fakta, stil det konkrete spørgsmål, og brug den udstedte vej.