Ĉu vi instalas subskribitan VPN-profilo sur iPhone? Legu la ŝarĝojn

Profiloj alvenas en Agordoj kun nomo, subskribinto kaj butono Instali, kaj la linio de la subskribinto estas la parto, kiun plej multaj legas. Tiu linio respondas unu demandon: kiu pakaĵigis ĉi tiujn agordojn, laŭ la reguloj de subskriba kontrolado. Ĝi ne diras, ke la VPN-ŝarĝo montras al la enirejo de via dunganto, nek ke enmetita radika atestilo apartenas al via TLS-fidujo. La sekva trairo malfermas la pakaĵon en la ordo, laŭ kiu la aparato aplikos ĝin.

Komencu per la koverto: kiu subskribis ĉi tiun profilon

En iOS la profilo aperas sub Agordoj, Ĝeneralaj, VPN kaj Administrado de aparatoj, kun la subskribinto montrita super la butono Instali. Legu tiun nomon antaŭ ol frapeti ion ajn, kaj demandu ĉu ĝi estas la organizo, de kiu vi atendis agordojn. Valida subskribo de partio, kiun vi ne rekonas, restas valida subskribo, kaj ĝi rajtigas ilian agordon, ne vian. La sama ekrano ankaŭ diras al vi ĉu la profilo entute estas subskribita.

Se vi havas la dosieron en Mac, ekzamenu ĝin antaŭ ol ĝi atingos la telefonon. La sekureca ilo malĉifras la CMS-koverton kaj presas la plist, kiun la aparato legos, do la saman enhavon sen butono Instali sur la vojo. La dokumentaro de Apple pri deviga agordado priskribas subskribadon kiel kontroladon de origino, kio estas ĝuste la amplekso priskribita ĉi tie.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Haltu ĉi tie se la subskribinto ne estas tiu, kiun vi atendis, aŭ se la dosiero estas nesubskribita kaj alvenis per kanalo, kiu ne povas garantii por ĝi. Nenio poste en ĉi tiu trairo igas nefidindan koverton fidinda.

Malfermu ĉiun ŝarĝon kaj nomu, kion ĝi instalas

Profilo estas ujo, kaj la interesa parto estas PayloadContent la tabelo interne. Ĉiu ero portas PayloadType , kiu diras, kion la aparato instalos: administrata VPN-agordo, PKCS#12-identeco, radika atestilo aŭ administra aliĝo. Presu la tipojn antaŭ ol legi ajnan agordon.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN-ŝarĝo nomas ligon: servila adreso, aŭtentiga metodo kaj eble regulo por aparta aplikaĵo aŭ laŭ postulo. Identeca ŝarĝo provizas la klientajn legitimilojn, kiujn tiu ligo prezentos. Radika atestila ŝarĝo aldonas fidan ankron, kaj administra ŝarĝo transdonas daŭran kontrolon al servilo. Tio estas kvar malsamaj devontigoj, kaj la subskribo kovras la pakaĵon anstataŭ garantii ĉiun aparte. Legu ilin laŭ tiu ordo, ĉar VPN estas senutila sen la identeco, kaj la identeco signifas malmulte sen scii, kiu eldonis ĝin.

Pasvorta protekto de la dosiero denove estas aparta eco. Ĉifrita pakaĵo kaŝas la enhavon de iu sen la pasvorto; ĝi ne decidas, ĉu vi rajtigu tion, kio estas interne. Traktu la pasvorton kiel liveran mekanismon, ne kiel revizion.

Spuru la atestilojn ĝis la ligo, kiu uzas ilin

Listigu la atestilojn en la pakaĵo kaj alordigu ĉiun al tasko. La klienta atestilo identigas ĉi tiun aparaton al la enirejo, la CA, kiu eldonis ĝin, apartenas al la fidoĉeno de tiu ligo, kaj radiko instalita por prokura aŭ interna servo ne estas aŭtomate ankro por ĉiu HTTPS-ejo. En iOS radiko instalita permane restas nefidinda por TLS ĝis vi ebligos ĝin sub Agordoj, Pri, Agordoj de atestila fido, dum radiko liverita de administrado estas fidata sen tiu paŝo. Tiu diferenco estas ĝuste la kialo, kial la celo de la ŝarĝo gravas.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Provizanto, kiu portas vian trafikon, ne estas pro tio la TLS-fina punkto de ĉiu retejo, kiun vi vizitas. Interceptado bezonas la trafikan vojon kaj fidan ankron, kiun la aplikaĵo akceptas, kaj profilo portanta unu atestilon pruvas nek unu nek la alian. Demandu, kiu ligo uzas la atestilon kaj kiuj aplikaĵoj akceptos ĝin, anstataŭ supozi, ke instalado de la profilo malĉifras ĉion.

Post installo: kontrolu, kaj sciu, kion faras forigo

Post kiam la profilo estas instalita, konfirmu ĝin de la aparato anstataŭ de la dosiero, kiun vi elŝutis. La agorda ekrano listigas la instalitan profilon, ĝian subskribinton kaj ĝiajn ŝarĝojn, kaj la VPN-ekrano montras ĉu la ligo estas agordita laŭ la intenco. Forigi la elŝutitan dosieron forigas nenion; la instalita agordo estas aparta objekto.

profiles show -type configuration
scutil --nc list

Se la profilo inkluzivas administran aliĝon, legu la sekvojn de forigo antaŭ ol instali ĝin, ne poste. Forigi tiun aliĝon forprenas la rilatajn agordojn kaj povas forigi administratajn aplikaĵojn, depende de tio, kiel la aparato aliĝis. Tio ne estas riparpaŝo por provi, kiam atestilo ŝajnas malĝusta. Demandu la administranton, kiu ŝarĝo posedas la problemon antaŭ ol forigi ion ajn.

La trairo finiĝas per kvar apartaj respondoj: kiu subskribis la pakaĵon, kiujn ŝarĝojn ĝi instalas, kiun identecon kaj fidon ĉiu ligo uzas, kaj kion forigo forprenus. Tenu ilin aparte, kaj subskribita profilo fariĝas reviziita decido anstataŭ verda marko.