Kuidas importida Androidi VPN-sertifikaati ja kontrollida võtit

VPN-kliendisertifikaadi importimine Androidi kulutab paar minutit. Kontrollimine, kas see maandus õigesse kohta, võtab kauem, ja just selle osa jätavad enamik inimesi vahele, kui paigaldusdialoog teatab õnnestumisest. Õnnestumisteade tähendab ainult seda, et fail parsiti. See ei ütle midagi selle kohta, milline teenusepakkuja hoiab privaatvõtit või kas koopia istub veel sinu Downloads-kaustas.

Samm 1: Lugege P12 läbi enne, kui see teie masinast lahkub

Alustage failist endast. Kui te ei suuda nimetada selle sees olevat subjekti, väljaandjat ja aegumiskuupäeva, impordite midagi, mida te hiljem kontrollida ei saa.

PKCS#12-pakett kannab tavaliselt kliendisertifikaati, selle privaatvõtit ja väljaandja ahelat. openssl pkcs12 -in client.p12 -info -noout trükib MAC-i ja krüpteerimisalgoritmid ilma võtmematerjali väljastamata, nii et näete, kas pakett on parooliga kaitstud ja millise šifriga. Järgmisena käivitage keytool -list -v -keystore client.p12 -storetype PKCS12, et saada alias, SHA-256 sõrmejälg ja kehtivusaken, mida telefoniga võrdlete.

Saatke parool failist erineval kanalil või andke fail üle hallatavas jaotusvoos, mis ei jäta koopiat. Parool, mis kleebitakse samasse vestlusse arhiiviga, muudab kaks kontrolli üheks.

Samm 2: Paigaldage see pesasse, mida VPN-rakendus tegelikult loeb

Tavalises Android 11 kuni 14 kulgeb tee läbi Seaded, Turvalisus, Krüpteerimine ja volitused, Paigalda sertifikaat, seejärel VPN ja rakenduse kasutajasertifikaat. Sõnastus ja pesastamine muutuvad väljalasete ja tootjate kestade vahel, seega järgige volituse tüübi silti, mitte pähe õpitud menüüasukohta. Tööprofiilis paigaldage tööpoolest seestpoolt, sest volitused ei ületa profiili piiri.

Ärge pange kliendi identiteeti CA-sertifikaadi pesasse. See pesa toidab kasutaja usaldushoidlat ja alates Androidist 7 eiravad rakendused kasutaja lisatud CA-sid, kui nende võrgu turvakonfiguratsioon seda ei luba, nii et sinna jäetud kliendisertifikaat ei ilmu kunagi VPN-i võtmevalijas.

Mõned VPN-kliendid ei puuduta süsteemihoidlat üldse ja impordivad P12 hoopis oma rakenduse kataloogi. See on legitiimne disain, kuid muudab iga järgnevat sammu: võti elab nüüd rakenduse liivakastis ja on täpselt nii tugev, kui hästi see rakendus oma hoidlat haldab. Enne KeyChaini kaasamist eeldamist lugege kliendi dokumentatsiooni.

Samm 3: Tõestage, milline teenusepakkuja hoiab võtit

Import kinnitab parsimist, mitte riistvaralist tuge. Androidis 12 ja hiljem teatab KeyInfo.getSecurityLevel(), kas võti asub usaldusväärses täitmiskeskkonnas, StrongBoxis või tarkvaras, ja see asendab vanema isInsideSecureHardware() kutse. Kui VPN-klient seda väärtust ei näita, on 1. sammu sõrmejälg teie varuvariant. Impordi käigus ümber kodeeritud sertifikaat ei ühti bait-baidi haaval, kuid avalik võti ja subjekt ühtivad endiselt.

Mitteeksporditav ei ole sama mis kasutuskõlbmatu. Võtit, mis ei saa seadmest lahkuda, saab endiselt kasutada iga rakendus, millele kasutaja annab õiguse see alias valida, ja seetõttu on aliasviip tõeline kontroll, mitte formaalsus. Android Keystore'i dokumentatsioon tasub üks kord läbi lugeda, kui teete selle disainiotsuse.

Seejärel arvestage tehtud koopiatega. P12 teie sülearvutis, see piletimanuses ja see eelmise kuu varukoopias on kõik kehtivad identiteedid, kuni väljaandja need tühistab. Telefoni eksemplari riistvaraline kaitse ei tee nende jaoks midagi.

Samm 4: Uurige välja, kellele kuulub ekraaniluku nõue

Siin aetakse segi kolm saladust: seadme avamise PIN, privaatvõtme paroolifraas ja VPN-konto parool. Ühe viip ei ole kunagi teiste lähtestamise palve ja vale lähtestamine on see, kuidas inimesed lukustavad end välja profiilist, mis töötas hästi.

Kui seadmeadministraator või hallatava profiili poliitika nõuab lukku, kuulub nõue sellele poliitikale, mitte sertifikaadile. adb shell dumpsys device_policy loetleb aktiivsed administraatorid ja nende kehtestatava parooli kvaliteedi, mis on kiireim viis näha, kas MDM-agent on põhjus, miks teie PIN-reeglid muutusid. Sertifikaadi eemaldamine ei lõdvesta poliitikat ja poliitika eemaldamine on haldusotsus, mitte seadete kohendus.

Oodake ka kasutatavuse kompromissi. Kui võti nõuab kasutaja volitust, ei saa tunnel enne esimest avamist üles tulla, seega plaanilised sünkroonimised ja kaugäratused ebaõnnestuvad disaini järgi. Otsustage see enne juurutamist, mitte pärast.

Vältige lühikest teed locksettings.db redigeerida või vana unustatud mustri lahendust uuesti esitada. Need rutiinid kirjutati konkreetsete buildide jaoks, need võivad jätta volituste hoidla olekusse, mida raamistik enam ei eelda, ja need ei muuda kunagi poliitikat, mis lukku esialgu nõudis.

Samm 5: Võtke identiteet kasutusest välja ja kontrollige keeldumist

Kasutusest väljavõtmisel on kolm osa ja ainult esimene on kohalik. Eemaldage VPN-profiil, kustutage kasutajasertifikaat jaotises Seaded, Turvalisus, Krüpteerimine ja volitused, Kasutaja volitused, seejärel laske väljaandjal sertifikaadi seerianumber tühistada. Ainult kohalik kustutamine jätab volituse, mille server endiselt vastu võtab, kui keegi P12 alles hoidis.

Kontrollige tulemust, selle asemel et seda eeldada. Proovige ühendust kasutusest välja võetud profiiliga ja kinnitage, et server keeldub sellest. Tunnel, mis endiselt üles tuleb, tähendab, et tühistasite vale seerianumbri või klient langes vaikselt teisele paigaldatud identiteedile.

Kui pöörate ebaõnnestunud impordi tagasi, importige uuesti algse krüpteeritud paketi põhjal ja kontrollige sõrmejälge uuesti, selle asemel et kasutada uuesti kettale jäetud dekrüpteeritud võtmefaili.