Gespeichertes VPN unter Android: Welches Geheimnis lässt sich wiederherstellen?
Ein Telefon, das sich ohne Passwortabfrage erneut verbindet, speichert kein Passwort, das Sie kopieren könnten. Vergleichen Sie die vier Anmeldedaten und die Wiederherstellung, die jede davon erfordert.
Das Telefon verbindet sich jeden Morgen erneut mit dem VPN, ohne etwas zu fragen. Das legt nahe, dass die Anmeldedaten irgendwo darin stecken. Meist ist das nicht der Fall, zumindest nicht in einer Form, die Sie vorlesen und in ein neues Gerät eintippen können.
Was das Telefon hat, ist die Berechtigung, sich zu verbinden. Was Sie wollen, ist ein Geheimnis, das Sie mitnehmen können, und das sind verschiedene Eigenschaften, die zufällig dasselbe Verhalten auf dem Bildschirm erzeugen.
Bevor Sie irgendetwas zurücksetzen, stellen Sie fest, welche der vier Arten von Geheimnis tatsächlich fehlt, denn jede hat einen anderen Eigentümer und eine andere Wiederherstellung.
Eine funktionierende Verbindung ist kein gespeichertes Passwort
Eine App, die sich still erneut verbindet, kann ein Passwort, ein Sitzungstoken, einen Zertifikatsverweis oder nichts weiter als einen gerätegebundenen Schlüssel halten, den sie nicht exportieren kann. Alle vier erzeugen dieselbe Benutzererfahrung, und keines davon ist austauschbar.
Eine Reihe von Punkten in einem Einstellungsfeld ist eine Darstellungsentscheidung, kein Beweis. Manche Apps speichern tatsächlich ein wiederherstellbares Passwort und bieten an, es anzuzeigen oder zu exportieren; andere nehmen ein Token aus einem Single-Sign-on-Ablauf und sehen das Passwort nie.
Die erste Frage ist also nicht, wo die Datei liegt. Sie lautet, welche Art von Berechtigung die App erhalten hat, und diese Antwort kommt vom Anbieter, nicht vom Gerät.
Vier Geheimnisse, vier Wiederherstellungen
Ordnen Sie Ihre Situation einer Zeile zu, bevor Sie jemanden kontaktieren, denn die Anfrage ändert sich völlig je nachdem, welche es ist.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
Die zweite Zeile erwischt die Leute am häufigsten. Ein PKCS#12-Importpasswort schützt Schlüsselmaterial und hat nichts mit der Kontoanmeldung zu tun, daher stellt das Zurücksetzen des Kontopassworts nichts wieder her. Ist das Paketpasswort wirklich verloren, ist eine Neuausstellung die Lösung.
Die vierte Zeile erklärt viele verwirrende Support-Threads. Das Profil kann auf Anmeldedaten im Schlüsselspeicher der Plattform verweisen, statt eine portable Kopie zu enthalten, und in diesem Fall gibt es im Profil nichts zu extrahieren, selbst im Prinzip nicht.
Warum das Kopieren von App-Daten meist scheitert
Das alte Rezept besteht darin, das Datenverzeichnis der App herauszuziehen und die Konfiguration daraus zu lesen. Auf dem aktuellen Android hat das Rezept zwei unabhängige Probleme.
Das erste ist die Backup-Richtlinie. Android 12 hat App-Daten, die über den alten adb backup-Pfad exportiert werden, für Apps mit Ziel-API 31 oder neuer eingeschränkt, und Apps können Daten vollständig vom Backup ausschließen. Ein für ein älteres Gerät geschriebenes Verfahren ist keine universelle Wiederherstellungsmethode für ein aktuelles.
Das zweite ist der Schlüsselspeicher. Dort erzeugte Schlüssel können nicht exportierbar und hardwaregebunden sein, wie die Android-Keystore-Dokumentation beschreibt. Das Kopieren eines verschlüsselten Blobs kopiert nicht den Schlüssel, der ihn entschlüsselt, sodass ein wiederhergestelltes Verzeichnis Anmeldedaten enthalten kann, die das neue Gerät nie nutzen kann.
Keines der beiden Probleme ist ein Fehler, den man umgehen müsste. Beide sind die Plattform, die tut, wofür sie entworfen wurde, und sie als Hindernisse zu behandeln endet meist mit einem gerooteten Telefon und keinem Passwort.
Wechseln Sie bewusst auf ein Ersatztelefon
Tun Sie zuerst das Unterstützte. Bietet der Anbieter einen Export an, der die benötigten Anmeldedaten ausdrücklich enthält, nutzen Sie ihn und prüfen Sie das Ergebnis auf dem neuen Gerät, bevor Sie das alte löschen. Wenn nicht, fordern Sie ein neues Profil oder eine neue Registrierung an, was der normale Weg für zertifikatsbasierte Dienste ist und meist weniger Zeit kostet als der Workaround.
Die Reihenfolge ist wichtig. Registrieren Sie den Ersatz, verbinden Sie ihn, schicken Sie eine Testanfrage durch den Tunnel und nehmen Sie erst dann das Original außer Betrieb. Das funktionierende Telefon zu behalten, bis das neue bewiesen ist, ist die billigste Versicherung, die es gibt, und kostet nur Geduld.
Planen Sie auch die Nebenwirkungen eines Zurücksetzens ein. Wird das Kontopasswort zurückgesetzt oder die Geräteidentität widerrufen, können andere Sitzungen ungültig werden, darunter ein Laptop-Client und ein Tablet, an das niemand gedacht hat. Kümmern Sie sich im selben Zeitfenster darum, statt sie einzeln zu entdecken.
Was man nicht tun sollte
Rooten Sie nicht das einzige funktionierende Gerät, um nach einer Klartextdatei zu suchen. Sie verwandeln ein Problem der Zugangswiederherstellung in ein Problem der Geräteintegrität, Sie können die Integritätsprüfungen der App selbst brechen, und Sie haben weiterhin keine Garantie, dass der gesuchte Wert in lesbarer Form existiert.
Kleben Sie keine privaten Schlüssel, exportierten Profile oder Passwörter in ein Support-Ticket, um zu beweisen, dass das Problem real ist. Der Anbieter braucht den Profilnamen, die App-Version, die Konto-Kennung und den Fehler, von denen keiner geheim ist.
Und deaktivieren Sie nicht die Zertifikatsprüfung, um eine Verbindung zu bekommen, während Sie warten. Das tauscht eine vorübergehende Unannehmlichkeit gegen eine dauerhafte Schwächung der einzigen Prüfung, die Ihnen sagt, mit welchem Server Sie sprechen. Notieren Sie die vier Fakten, stellen Sie die konkrete Frage und nutzen Sie den vorgesehenen Weg.