Sie haben allen ein einziges VPN-Profil geschickt, und es enthält Ihr Passwort

Das Profil lässt sich sauber installieren, alle verbinden sich, und dann wird das Kontopasswort gewechselt. Jedes Gerät, das die Datei erhalten hat, verliert in derselben Minute die Authentifizierung, weil alle dasselbe Geheimnis tragen. Das ist das Kennzeichen: ein einziges Anmeldedatum, das in ein geteiltes Artefakt kopiert wird, macht aus einer routinemäßigen Passwortänderung einen flottenweiten Ausfall. Wiederverwendbare Konfiguration und individuelle Identität als zwei getrennte Übergaben zu behandeln vermeidet das, und Apples eigene Dokumentation zur Geräteverwaltung behandelt Profile als Einstellungen und Autorisierung, nicht als Geheimnisspeicher.

Das Symptom zeigt sich bei der ersten Rotation

Eine mobileconfig-Datei ist XML oder eine signierte plist. Wer eine Kopie hat, kann die Nutzlast dekodieren und lesen, was darin steht, also ist ein AuthPassword-Wert in einer Vorlage ein Anmeldedatum im Klartext mit ungewöhnlicher Dateiendung. Signieren ändert Integrität und Herkunft, nicht Lesbarkeit. Die Teile, die Sie wirklich teilen wollen, etwa die Gateway-Adresse, die erwartete Serveridentität und die Verkehrsrichtlinie, sind derweil für alle gleich.

Sortieren Sie die Felder, bevor Sie irgendetwas bearbeiten, denn die Grenze liegt nicht dort, wo man sie vermutet.

Trennen Sie gemeinsame Einstellungen von individuellen Anmeldedaten

Der interaktive Weg besteht darin, das Passwort wegzulassen und die unterstützte Authentifizierungsregelung danach fragen zu lassen. Lesen Sie das genau: ein Feld zu löschen, das nur ähnlich aussieht, ist keine allgemeine Umstellung auf interaktive Anmeldung. Die IKEv2-Nutzlast unterscheidet AuthName von AuthPassword, und die Authentifizierungsmethode entscheidet, ob eine Abfrage überhaupt erreichbar ist; eine zertifikatsbasierte Methode fragt gar kein Passwort ab.

Auch Zertifikate brauchen keinen gemeinsamen Schlüssel

Wenn das Gateway Zertifikatsauthentifizierung erwartet, registrieren Sie die vorgesehene Benutzer- oder Geräteidentität über den freigegebenen Mechanismus und halten Sie den privaten Schlüssel aus der Vorlage heraus. Ein gemeinsamer privater Schlüssel in jeder Kopie beschert Ihnen dasselbe Rotationsproblem mit größerem Schadensradius, denn ein Schlüssel lässt sich nicht pro Person widerrufen, wenn er nicht pro Person ausgestellt wurde.

Erfassen Sie Ausstellung, Erneuerung und Widerruf dieser Identität zusammen mit der Profilrevision. Wenn beides gemeinsam verfolgt wird, ist eine Erneuerung eine geplante Aufgabe statt eines Vorfalls.

Unbeaufsichtigte Rechner brauchen eine dritte Antwort

Ein Rechner, der sich verbinden muss, bevor sich jemand anmeldet, kann keine Abfrage beantworten. Das ist eine andere Anforderung als eine einfachere Einrichtung für eine angemeldete Person, und sie sollte mit einer verwalteten Identität oder einem pro Gerät vereinbarten Zertifikat gelöst werden, nicht durch Speichern eines menschlichen Passworts in einem Profil.

Ein gespeichertes Passwort beseitigt auch keinen zweiten Faktor. Verlangt das Gateway MFA, scheitert ein Profil mit gespeichertem Passwort beim Start trotzdem, und der Fehler sieht wie ein defektes Profil aus statt wie ein fehlender Faktor.

Prüfen Sie das Artefakt, das tatsächlich erzeugt wurde

Vorlagen lügen durch Auslassung. Ein Verwaltungsdienst oder Exportwerkzeug kann Anmeldedaten in die fertige Datei einschleusen, und begleitende Identitätsnutzlasten oder Diagnosekopien können Material tragen, das die Vorlage nie gezeigt hat. Öffnen Sie das erzeugte Artefakt, bevor Sie entscheiden, wer es erhalten darf. Lassen Sie auch die Einstellungen für vertrauenswürdigen Aussteller und erwartete Serveridentität unverändert; ein Passwort zu entfernen ist kein Grund, das Gateway-Vertrauen zu schwächen.

Wenn ein echtes Passwort oder eine private Identität bereits zu weit gereist ist, widerrufen Sie es beim Aussteller und ersetzen Sie es. Die Vorlage von morgen zu bearbeiten ändert nichts an den bereits installierten Kopien, und diese Kopien authentifizieren sich weiter, bis das dahinterliegende Anmeldedatum entzogen wird.

Nehmen Sie die Übergabe mit einer Testidentität ab

Installieren Sie über den freigegebenen Ablauf auf einem Gerät, das als separate Testidentität registriert ist, schließen Sie die vorgesehene Authentifizierung ab und erreichen Sie die private Ressource, statt nur zuzusehen, wie der Tunnel hochkommt. Bestätigen Sie, dass das Profil kein Anmeldedatenmaterial enthält, und bestätigen Sie dann, dass das Anmeldedatum im Identitätseintrag steht, der erneuert wird. Diese Paarung ist der Abnahmetest.

Eine Revision für gemeinsame Einstellungen, ein Eintrag pro Person und ein Widerrufsweg, den Sie tatsächlich schon einmal benutzt haben.