Αποθηκευμένο VPN στο Android: ποιο μυστικό μπορείτε να ανακτήσετε;
Ένα τηλέφωνο που επανασυνδέεται χωρίς να ζητά κωδικό πρόσβασης δεν αποθηκεύει έναν που μπορείτε να αντιγράψετε. Συγκρίνετε τα τέσσερα διαπιστευτήρια και την ανάκτηση που χρειάζεται καθένα.
Το τηλέφωνο επανασυνδέεται στο VPN κάθε πρωί χωρίς να ζητά τίποτα. Αυτό υπονοεί ότι το διαπιστευτήριο βρίσκεται κάπου μέσα. Συνήθως δεν βρίσκεται, τουλάχιστον όχι σε μορφή που μπορείτε να διαβάσετε και να πληκτρολογήσετε σε μια νέα συσκευή.
Αυτό που έχει το τηλέφωνο είναι εξουσία σύνδεσης. Αυτό που θέλετε είναι ένα μυστικό που μπορείτε να μεταφέρετε, και πρόκειται για διαφορετικές ιδιότητες που τυχαίνει να παράγουν την ίδια συμπεριφορά στην οθόνη.
Πριν επαναφέρετε οτιδήποτε, προσδιορίστε ποιο από τα τέσσερα είδη μυστικού λείπει πραγματικά, γιατί το καθένα έχει διαφορετικό ιδιοκτήτη και διαφορετική ανάκτηση.
Μια λειτουργική σύνδεση δεν είναι αποθηκευμένος κωδικός
Μια εφαρμογή που επανασυνδέεται σιωπηλά μπορεί να κρατά κωδικό πρόσβασης, διακριτικό συνεδρίας, αναφορά πιστοποιητικού ή τίποτα περισσότερο από ένα κλειδί δεσμευμένο στη συσκευή που δεν μπορεί να εξαγάγει. Και τα τέσσερα παράγουν την ίδια εμπειρία χρήστη και κανένα δεν είναι ανταλλάξιμο.
Μια σειρά κουκκίδων σε ένα πεδίο ρυθμίσεων είναι απόφαση απεικόνισης, όχι απόδειξη. Κάποιες εφαρμογές αποθηκεύουν πράγματι ανακτήσιμο κωδικό και προσφέρουν αποκάλυψη ή εξαγωγή· άλλες παίρνουν διακριτικό από ροή ενιαίας σύνδεσης και δεν βλέπουν ποτέ τον κωδικό.
Άρα το πρώτο ερώτημα δεν είναι πού είναι το αρχείο. Είναι τι είδους εξουσία δόθηκε στην εφαρμογή, και αυτή η απάντηση έρχεται από τον πάροχο, όχι από τη συσκευή.
Τέσσερα μυστικά, τέσσερις ανακτήσεις
Ταιριάξτε την περίπτωσή σας με μία γραμμή πριν επικοινωνήσετε με οποιονδήποτε, γιατί το αίτημα αλλάζει εντελώς ανάλογα με το ποια είναι.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
Η δεύτερη γραμμή πιάνει τους περισσότερους. Ένας κωδικός εισαγωγής PKCS#12 προστατεύει υλικό κλειδιού και δεν σχετίζεται με τη σύνδεση στον λογαριασμό, οπότε η επαναφορά του κωδικού του λογαριασμού δεν ανακτά τίποτα. Αν ο κωδικός του πακέτου χαθεί πραγματικά, η λύση είναι η επανέκδοση.
Η τέταρτη γραμμή εξηγεί πολλά μπερδεμένα νήματα υποστήριξης. Το προφίλ μπορεί να αναφέρεται σε διαπιστευτήριο στο χώρο κλειδιών της πλατφόρμας αντί να περιέχει φορητό αντίγραφο, και σε αυτή την περίπτωση δεν υπάρχει τίποτα στο προφίλ προς εξαγωγή ούτε κατ' αρχήν.
Γιατί η αντιγραφή δεδομένων εφαρμογής συνήθως αποτυγχάνει
Η παλιά συνταγή είναι να τραβήξετε τον κατάλογο δεδομένων της εφαρμογής και να διαβάσετε τη διαμόρφωση από εκεί. Στο τρέχον Android η συνταγή έχει δύο ανεξάρτητα προβλήματα.
Το πρώτο είναι η πολιτική αντιγράφων ασφαλείας. Το Android 12 περιόρισε τα δεδομένα εφαρμογών που εξάγονται μέσω της παλιάς διαδρομής adb backup για εφαρμογές με στόχο το API 31 ή νεότερο, και οι εφαρμογές μπορούν να αποκλείσουν εντελώς τα δεδομένα από το αντίγραφο ασφαλείας. Μια διαδικασία γραμμένη για παλαιότερη συσκευή δεν είναι καθολική μέθοδος ανάκτησης για μια τρέχουσα.
Το δεύτερο είναι ο χώρος κλειδιών. Τα κλειδιά που δημιουργούνται εκεί μπορεί να μην εξάγονται και να είναι δεσμευμένα στο υλικό, όπως περιγράφει η τεκμηρίωση του Android Keystore. Η αντιγραφή ενός κρυπτογραφημένου blob δεν αντιγράφει το κλειδί που το αποκρυπτογραφεί, οπότε ένας επαναφερμένος κατάλογος μπορεί να περιέχει διαπιστευτήριο που η νέα συσκευή δεν μπορεί ποτέ να χρησιμοποιήσει.
Κανένα από τα δύο προβλήματα δεν είναι σφάλμα προς παράκαμψη. Και τα δύο είναι η πλατφόρμα να κάνει αυτό για το οποίο σχεδιάστηκε, και η αντιμετώπισή τους ως εμπόδια καταλήγει συνήθως σε τηλέφωνο με root και χωρίς κωδικό.
Μεταβείτε σκόπιμα σε τηλέφωνο αντικατάστασης
Κάντε πρώτα το υποστηριζόμενο. Αν ο πάροχος προσφέρει εξαγωγή που περιλαμβάνει ρητά τα διαπιστευτήρια που χρειάζεστε, χρησιμοποιήστε την και επαληθεύστε το αποτέλεσμα στη νέα συσκευή πριν σβήσετε την παλιά. Αν δεν το κάνει, ζητήστε νέο προφίλ ή εγγραφή, που είναι η κανονική διαδρομή για υπηρεσίες βασισμένες σε πιστοποιητικά και συνήθως χρειάζεται λιγότερο χρόνο από την παράκαμψη.
Η σειρά έχει σημασία. Καταχωρίστε την αντικατάσταση, συνδέστε την, στείλτε ένα δοκιμαστικό αίτημα μέσω της σήραγγας και μόνο τότε αποσύρετε το πρωτότυπο. Το να κρατήσετε το τηλέφωνο που λειτουργεί μέχρι να αποδειχθεί το νέο είναι η φθηνότερη διαθέσιμη ασφάλεια και κοστίζει μόνο υπομονή.
Σχεδιάστε και τις παρενέργειες μιας επαναφοράς. Αν γίνει επαναφορά του κωδικού του λογαριασμού ή ανακληθεί η ταυτότητα της συσκευής, άλλες συνεδρίες μπορεί να ακυρωθούν, μεταξύ τους ένας πελάτης σε φορητό υπολογιστή και ένα tablet που κανείς δεν θυμήθηκε. Αντιμετωπίστε τα στο ίδιο παράθυρο αντί να τα ανακαλύπτετε ένα ένα.
Τι να μην κάνετε
Μην κάνετε root στη μόνη συσκευή που λειτουργεί για να ψάξετε για αρχείο απλού κειμένου. Μετατρέπετε ένα πρόβλημα ανάκτησης πρόσβασης σε πρόβλημα ακεραιότητας συσκευής, μπορεί να σπάσετε τους ελέγχους ακεραιότητας της ίδιας της εφαρμογής και πάλι δεν έχετε εγγύηση ότι η τιμή που ψάχνετε υπάρχει σε αναγνώσιμη μορφή.
Μην επικολλάτε ιδιωτικά κλειδιά, εξαγμένα προφίλ ή κωδικούς σε δελτίο υποστήριξης για να αποδείξετε ότι το πρόβλημα είναι πραγματικό. Ο πάροχος χρειάζεται το όνομα του προφίλ, την έκδοση της εφαρμογής, το αναγνωριστικό λογαριασμού και το σφάλμα, κανένα από τα οποία δεν είναι μυστικό.
Και μην απενεργοποιείτε την επαλήθευση πιστοποιητικών για να αποκτήσετε σύνδεση όσο περιμένετε. Αυτό ανταλλάσσει μια προσωρινή ταλαιπωρία με μόνιμη αποδυνάμωση του μόνου ελέγχου που σας λέει με ποιον διακομιστή μιλάτε. Καταγράψτε τα τέσσερα γεγονότα, κάντε τη συγκεκριμένη ερώτηση και χρησιμοποιήστε τη διαδρομή που εκδόθηκε.