Kann ein VPN-Profil ein Zertifikat auf Ihrem Gerät installieren?

Ein VPN-Profil kann Zertifikate enthalten, und genau dieser Satz ist der Anfang der meisten Verwirrung. Was es enthält und was es vertraut, sind zwei verschiedene Fragen, beantwortet von zwei verschiedenen Mechanismen. Eine eingebettete CA, mit der ein Client einen Server prüft, ist nicht dasselbe Objekt wie ein Root, dem das gesamte Betriebssystem vertraut. Vergleichen Sie beides, bevor Sie das Paket für Routine halten.

Die Antwort auf die Titelfrage ist ja, mit einem Geltungsbereich, den Sie prüfen müssen.

Was ein VPN-Profil enthalten kann

Ein OpenVPN-Profil kann das CA-Zertifikat, das Client-Zertifikat und den Client-Schlüssel inline zwischen ihren Tags enthalten, sodass der Client sie aus dem Profil selbst liest. Dieses Material dient der Prüfung und Authentifizierung innerhalb dieses einen Clients. Es gelangt nicht allein dadurch in den System-Zertifikatsspeicher, dass es in der Datei steht.

Ein Plattform-Konfigurationsprofil ist ein anderer Container. Es kann eine Zertifikat-Nutzlast neben verwalteten Einstellungen enthalten: WLAN, VPN, Einschränkungen und in verwalteten Bereitstellungen sehr viel mehr. Wer es installiert, übergibt diese Einstellungen dem Betriebssystem statt einer einzelnen Anwendung. Das ist der Zweck des Formats, und deshalb zählt der Geltungsbereich.

Clientbezogenes Vertrauen gegenüber Plattform-Vertrauen

Clientbezogenes Vertrauen ist durch den Client begrenzt. Ist die CA im Profil falsch, scheitert dieser Tunnel, und andere Anwendungen bleiben unberührt. Plattform-Vertrauen ist durch nichts Bestimmtes begrenzt, weil jede Anwendung, die den Systemspeicher nutzt, diese Entscheidung erbt.

Auf Apple-Plattformen sind das sichtbar getrennte Schritte.

Ein heruntergeladenes Profil zu installieren und Vertrauen für ein Zertifikat zu aktivieren sind verschiedene Handlungen, und die zweite hat ihre eigene Steuerung in den Zertifikatsvertrauenseinstellungen. Eine verwaltete Bereitstellung kann sich von einer manuellen Installation unterscheiden, auch darin, ob das Profil überhaupt entfernt werden kann. Folgen Sie der aktuellen Plattformdokumentation für Ihre Version. Eine Abfrage, die wie ein Teil der VPN-Einrichtung aussieht, kann die Vertrauensentscheidung selbst sein.

Warum der Unterschied Ihre Antwort ändert

Fragt jemand, ob das Profil ein Zertifikat installiert, nennt eine nützliche Antwort den Geltungsbereich. Ein VPN-Profil mit eigener CA ändert, was dieser Client akzeptiert. Ein Profil, das eine Zertifikat-Nutzlast installiert und Vertrauen aktiviert hat, ändert, was das Gerät akzeptiert. Nur das zweite kann eine Bankseite in einem Browser betreffen, der den Tunnel nie berührt.

Das ist der ganze Vergleich, und er ist es wert, vor jeder Zustimmung klar ausgesprochen zu werden.

Was Sie vor der Zustimmung fragen sollten

Fragen Sie, welche Funktion das Zertifikat braucht und was ohne es bricht. Fragen Sie, wer es ausgestellt hat und was es bestätigen soll. Fragen Sie, wie es entfernt wird und ob die Entfernung bei der verwendeten Bereitstellungsmethode überhaupt für Sie möglich ist. Fragen Sie über den echten Betreiberkanal, nicht über die Seite, die den Download angeboten hat.

Eine Downloadseite, die das Paket als VPN-Reparatur bezeichnet, hat Ihnen nichts über den Geltungsbereich gesagt.

Ein unerwartetes Root abzulehnen ist keine Paranoia; es ist dieselbe Entscheidung, die ein Browser trifft, wenn er eine Zertifikatswarnung zeigt. Der Unterschied ist, dass diese bleibt und vielleicht nicht erneut fragt.

Wie Entfernung tatsächlich aussieht

Die heruntergeladene Datei zu löschen entfernt kein installiertes Profil und kein Zertifikat. Das Profil lebt in den Verwaltungseinstellungen des Geräts, bis es dort entfernt wird, und ein beaufsichtigtes oder verwaltetes Gerät kann dies verweigern. Prüfen Sie den Installationszustand nach jeder genehmigten Änderung und bestätigen Sie, dass das Zertifikat weg ist, statt anzunehmen, die Datei sei das Artefakt gewesen. Verbinden Sie sich dann erneut und sehen Sie, ob der Tunnel noch funktioniert, denn die CA zu entfernen und das Profil zu behalten ist ein eigener Fehlermodus.

Führen Sie ein Verzeichnis von Aussteller, Zweck, Geltungsbereich und Entfernungspfad.

Dieses Verzeichnis ist nützlicher als ein funktionierendes VPN-Symbol, weil es die nächste Person überdauert, die entscheiden muss, ob dieselbe Abfrage auf einem anderen Gerät bestätigt wird.