Hvad en iPhone-nulstilling sletter fra din VPN-opsætning

Slet telefonen, og VPN-profilen kommer måske slet ikke tilbage. En iPhone-sikkerhedskopi bærer en hel del, men den er ikke et løfte om, at en privat nøgle, en administreret profil eller en tilmeldingsstatus kommer tilbage med den. Hullet viser sig normalt timer senere, når brugeren er på rejse, og den slettede telefon var den eneste fungerende loginvej. Fem fakta skrevet ned på forhånd forhindrer den eftermiddag.

Hvad en sikkerhedskopi bærer, og hvad den aldrig har haft

En lokal eller iCloud-sikkerhedskopi gendanner brugerdata og mange appindstillinger, og den kan gendanne legitimationsoplysninger, som en app vælger at inkludere. Den kan ikke genskabe en privat nøgle, der blev genereret inde i secure enclave og markeret som ikke-eksporterbar, og den tilmelder ikke enheden til administration igen. En konfigurationsprofil, der kom fra en MDM-server, leveres normalt igen af den server, ikke af sikkerhedskopien. Alle tre tilfælde ser ens ud på skærmen Indstillinger og opfører sig forskelligt efter en sletning.

Forskellen er vigtig, fordi den afgør, hvem der kan løse problemet. Brugerdata tilhører personen, profilen og dens tillidsankre tilhører den, der udstedte dem, og den private nøgle tilhører den tjeneste, der skal genudstede den. Hvis du ikke kan navngive de tre ejere før nulstillingen, er gendannelsesplanen ufuldstændig.

Et spørgsmål tester planen: hvem udsteder en erstatning, når nøglen er væk? Hvis svaret er ingen, så slet ikke telefonen endnu.

Skriv ned, hvad en kollega kan genopbygge ud fra

Skriv de fem fakta ned, som gør det muligt for en anden at genopbygge forbindelsen: tjenesteejer, understøttet klient og version, endepunktsnavn, protokol og port, og hvordan profilen leveres. Tilføj det private DNS-suffiks og de interne applikationer, der går i stykker uden tunnelen, for det er dem, brugeren rapporterer som en ødelagt VPN, selv når tunnelen er oppe. Opbevar notatet i billetten eller teamets wiki, aldrig i et skærmbillede af et grønt statusikon.

Gendannelse af godkendelse er et separat notat, og det hører i password manageren eller organisationens identitetsproces. At samle nøgler og adgangskoder i et ubeskyttet notat, fordi der kommer en nulstilling, er måden, hvorpå en hændelse, der kan gendannes, bliver til en sikkerhedshændelse. Notatet skal sige, hvor gendannelsesmaterialet ligger, ikke gengive det.

Navngiv også den person, der kan godkende en genudstedelse af certifikatet. En godkendelsesvej, der tager to dage, er stadig bedre end at opdage det samme dag.

Administrerede og personlige profiler kommer forskelligt tilbage

En administreret enhed får sine indstillinger igen, når den tilmeldes igen, og derfor kommer tilmeldingen før gendannelsen af brugerdata. En personlig profil ligner mere en downloadet fil: efter sletningen har brugeren brug for en ny download fra den udstedende tjeneste og en ny tillidsbeslutning. En generel sikkerhedskopi gendanner indstillinger, ikke en privat nøgle, der blev genereret som ikke-eksporterbar, så hver legitimationsoplysning skal kontrolleres mod sin egen genudstedelsesvej i stedet for mod gendannelsesresultatet.

Bekræft MFA-metoden i samme omgang, fordi den telefon, der modtager push, ofte er den telefon, der slettes. Hvis den eneste tilmeldte faktor bor der, arrangér en anden via identitetsteamet og den verificerede proces før nulstillingen. Certifikatets levetid hører også til i den samtale, da et kortlivet certifikat kan udløbe, mens enheden ligger i en skuffe, og Apples vejledning til konfigurationsprofiler dækker de installations- og fjernelsesprompter, du møder på vejen tilbage. Hvis opsætningsinstruktionerne kun kan læses bag VPN’en, så bryd den afhængighed før sletningen i stedet for efter.

Kontrollér den gendannede forbindelse mod en rigtig ressource

Efter gendannelsen installerer du den understøttede klient eller profil, logger ind og åbner en intern ressource, der kræver tunnelen. En tilsluttet-indikator beviser, at tunnelen findes, ikke at navneopløsning og routing når den tjeneste, brugeren har brug for. Kontrollér også tillidskæden: hvis profilen præsenterer en ukendt rod, så stop og bekræft udstederen i stedet for at trykke accepter for at blive hurtigt færdig. En ukendt rod, der accepteres under en hastig gendannelse, er en tillidsbeslutning, der træffes ved et uheld.

Test derefter de dele, der fejler i stilhed: det private DNS-suffiks, der opløses til en intern adresse, certifikatets dato og en applikation, der afhænger af tunnelen. Bed brugeren gentage login uden vejledning, fordi deres forsøg er overleveringsprøven.

Udskift den gamle enhedsidentitet, når telefonen udskiftes, eller når nulstillingen fulgte et tab. Gendannelse af en profil tilbagekalder ikke en kopi, der stadig kan findes andre steder.

Tjeklisten før nulstilling, på ét sted

Ejer, klient, endepunkt, protokol og leveringsmetode; DNS-suffikset og afhængige applikationer; MFA-gendannelsesvejen og hvem der godkender den; certifikatets genudstedelsesvej og dets levetid; og tilmeldingsmetoden for en administreret enhed. Hvis en linje er tom, er nulstillingen et møntkast. Listen tager ti minutter og afgør, om dette er en gendannelse eller et nedbrud.

Opbevar den, hvor den person, der udfører gendannelsen, kan læse den uden telefonen, og giv den et udløbsreview, fordi endepunkter og ejere ændrer sig. Et gendannelsesnotat, der citerer en nedlagt gateway, er værre end intet notat, fordi det inviterer til en selvsikker forkert handling.