So importieren Sie ein VPN-Zertifikat auf Android und prüfen den Schlüssel

Das Importieren eines VPN-Clientzertifikats auf Android dauert ein paar Minuten. Zu prüfen, ob es am richtigen Ort gelandet ist, dauert länger, und genau diesen Teil lassen die meisten aus, sobald der Installationsdialog Erfolg meldet. Eine Erfolgsmeldung bedeutet nur, dass die Datei geparst wurde. Sie sagt nichts darüber, welcher Anbieter den privaten Schlüssel hält oder ob noch eine Kopie im Downloads-Ordner liegt.

Schritt 1: Lesen Sie die P12, bevor sie Ihren Rechner verlässt

Fangen Sie mit der Datei selbst an. Wenn Sie Subjekt, Aussteller und Ablaufdatum darin nicht benennen können, importieren Sie etwas, das Sie später nicht prüfen können.

Ein PKCS#12-Bündel enthält normalerweise ein Clientzertifikat, dessen privaten Schlüssel und die Ausstellerkette. openssl pkcs12 -in client.p12 -info -noout gibt MAC und Verschlüsselungsalgorithmen aus, ohne Schlüsselmaterial auszugeben, sodass Sie sehen, ob das Bündel passwortgeschützt ist und mit welcher Chiffre. Lassen Sie keytool -list -v -keystore client.p12 -storetype PKCS12 folgen, um Alias, SHA-256-Fingerabdruck und das Gültigkeitsfenster zu erhalten, das Sie mit dem Telefon vergleichen.

Senden Sie das Passwort über einen anderen Kanal als die Datei oder übergeben Sie die Datei in einem verwalteten Verteilungsfluss, der keine Kopie hinterlässt. Ein Passwort, das in derselben Chatnachricht wie das Archiv eingefügt wird, macht aus zwei Kontrollen eine.

Schritt 2: Installieren Sie es in dem Slot, den die VPN-App tatsächlich liest

Auf Stock-Android 11 bis 14 führt der Weg über Einstellungen, Sicherheit, Verschlüsselung und Anmeldedaten, Zertifikat installieren, dann VPN und App-Benutzerzertifikat. Wortlaut und Verschachtelung ändern sich zwischen Releases und Herstelleroberflächen, folgen Sie daher dem Etikett des Anmeldedatentyps statt einer auswendig gelernten Menüposition. In einem Arbeitsprofil installieren Sie von der Arbeitsseite aus, weil Anmeldedaten die Profilgrenze nicht überschreiten.

Legen Sie keine Client-Identität in den CA-Zertifikatsslot. Dieser Slot speist den Benutzer-Vertrauensspeicher, und seit Android 7 ignorieren Apps vom Benutzer hinzugefügte CAs, sofern ihre Netzwerksicherheitskonfiguration dem nicht zustimmt, daher erscheint ein dort abgelegtes Clientzertifikat nie in der VPN-Schlüsselauswahl.

Manche VPN-Clients berühren den Systemspeicher nie und importieren die P12 stattdessen in ihr eigenes App-Verzeichnis. Das ist ein legitimes Design, ändert aber jeden weiteren Schritt: Der Schlüssel lebt nun in der App-Sandbox und ist genau so stark, wie diese App ihren eigenen Speicher behandelt. Lesen Sie die Client-Dokumentation, bevor Sie annehmen, KeyChain sei im Spiel.

Schritt 3: Beweisen Sie, welcher Anbieter den Schlüssel hält

Ein Import bestätigt das Parsen, nicht die Hardware-Backing. Ab Android 12 meldet KeyInfo.getSecurityLevel(), ob ein Schlüssel in der Trusted Execution Environment, in StrongBox oder in Software liegt, und ersetzt den älteren Aufruf isInsideSecureHardware(). Wenn der VPN-Client diesen Wert nicht anzeigt, ist der Fingerabdruck aus Schritt 1 Ihr Rückfall. Ein bei der Installation neu kodiertes Zertifikat stimmt nicht Byte für Byte überein, der öffentliche Schlüssel und das Subjekt aber schon.

Nicht exportierbar ist nicht dasselbe wie unbrauchbar. Ein Schlüssel, der das Gerät nicht verlassen kann, kann immer noch von jeder App genutzt werden, deren Auswahl dieses Alias der Benutzer erlaubt, deshalb ist die Alias-Abfrage eine echte Kontrolle und keine Formalität. Die Android-Keystore-Dokumentation ist eine Lektüre wert, wenn Sie diese Designentscheidung treffen.

Rechnen Sie dann mit den Kopien, die Sie angelegt haben. Die P12 auf Ihrem Laptop, die im Ticketanhang und die im Backup des letzten Monats sind alle noch gültige Identitäten, bis der Aussteller sie widerruft. Der Hardwareschutz der Instanz auf dem Telefon hilft diesen nicht.

Schritt 4: Finden Sie heraus, wem die Sperrbildschirm-Anforderung gehört

Hier werden drei Geheimnisse verwechselt: die Entsperr-PIN des Geräts, die Passphrase des privaten Schlüssels und das Passwort des VPN-Kontos. Eine Abfrage für eines ist nie eine Aufforderung, die anderen zurückzusetzen, und das falsche zurückzusetzen ist der Weg, auf dem sich Leute aus einem Profil aussperren, das gut funktionierte.

Wenn ein Geräteadministrator oder eine Richtlinie für ein verwaltetes Profil eine Sperre verlangt, gehört die Anforderung zu dieser Richtlinie, nicht zum Zertifikat. adb shell dumpsys device_policy listet die aktiven Administratoren und die Passwortqualität, die sie durchsetzen, was der schnellste Weg ist zu sehen, ob ein MDM-Agent der Grund für geänderte PIN-Regeln ist. Das Zertifikat zu entfernen lockert die Richtlinie nicht, und die Richtlinie zu entfernen ist eine administrative Entscheidung statt einer Einstellungsanpassung.

Erwarten Sie auch einen Usability-Kompromiss. Wenn der Schlüssel eine Benutzerautorisierung verlangt, kann der Tunnel vor dem ersten Entsperren nicht hochkommen, daher schlagen geplante Synchronisierungen und Fernwecken konstruktionsbedingt fehl. Entscheiden Sie das vor dem Rollout, nicht danach.

Vermeiden Sie die Abkürzung, locksettings.db zu bearbeiten oder einen alten Workaround für ein vergessenes Muster erneut abzuspielen. Diese Routinen wurden für bestimmte Builds geschrieben, sie können den Anmeldedatenspeicher in einem Zustand hinterlassen, den das Framework nicht mehr erwartet, und sie ändern nie die Richtlinie, die die Sperre ursprünglich verlangt hat.

Schritt 5: Ziehen Sie die Identität zurück und prüfen Sie die Ablehnung

Der Rückzug hat drei Teile, und nur der erste ist lokal. Entfernen Sie das VPN-Profil, löschen Sie das Benutzerzertifikat unter Einstellungen, Sicherheit, Verschlüsselung und Anmeldedaten, Benutzeranmeldedaten, und lassen Sie dann den Aussteller die Seriennummer des Zertifikats widerrufen. Das lokale Löschen allein hinterlässt Anmeldedaten, die der Server weiterhin akzeptiert, wenn jemand die P12 behalten hat.

Überprüfen Sie das Ergebnis, statt es anzunehmen. Versuchen Sie eine Verbindung mit dem zurückgezogenen Profil und bestätigen Sie, dass der Server sie ablehnt. Ein Tunnel, der immer noch hochkommt, bedeutet, dass Sie die falsche Seriennummer widerrufen haben oder der Client stillschweigend auf eine andere installierte Identität zurückgefallen ist.

Wenn Sie einen fehlgeschlagenen Import zurückrollen, importieren Sie erneut aus dem ursprünglichen verschlüsselten Bündel und prüfen Sie den Fingerabdruck erneut, statt eine entschlüsselte Schlüsseldatei weiterzuverwenden, die Sie auf der Festplatte gelassen haben.