Installid allkirjastatud VPN-profiili iPhone'is? Loe kasulikke koormisi

Profiilid saabuvad Seadetesse nime, allkirjastaja ja Installi nupuga ning allkirjastaja rida on see osa, mida enamik loeb. See rida vastab ühele küsimusele: kes pakendas need seaded allkirja kontrollimise reeglite järgi. See ei ütle, et VPN-i koormis osutab sinu tööandja lüüsile, ega seda, et manustatud juursertifikaat kuulub sinu TLS-i usaldushoidlasse. Alljärgnev läbivaatus avab paketi selles järjekorras, milles seade selle rakendab.

Alusta ümbrikust: kes selle profiili allkirjastas

iOS-is kuvatakse profiil jaotises Seaded, Üldine, VPN ja Seadmehaldus, kusjuures allkirjastaja on näidatud Installi nupu kohal. Loe seda nime enne, kui midagi puudutad, ja küsi, kas see on organisatsioon, kellelt seadeid ootasid. Võõra osapoole kehtiv allkiri on ikka kehtiv allkiri ja see volitab nende konfiguratsiooni, mitte sinu oma. Sama ekraan ütleb ka, kas profiil on üldse allkirjastatud.

Kui fail on Macis, vaata see enne läbi, kui see telefonini jõuab. Turbetööriist dekodeerib CMS-i ümbriku ja trükib plist-faili, mida seade loeb, see tähendab sama sisu ilma Installi nupuga teel. Apple'i dokumentatsioon konfiguratsiooni sundrakendamise kohta kirjeldab allkirjastamist päritolu valideerimisena ja täpselt see on siin kirjeldatud ulatus.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Peatu siin, kui allkirjastaja ei ole see, keda ootasid, või kui fail on allkirjastamata ja saabus kanali kaudu, mis ei saa selle eest vastutada. Miski edaspidi selles läbivaatuses ei muuda mitteusaldusväärset ümbrikku usaldusväärseks.

Ava iga koormis ja nimeta, mida see installib

Profiil on konteiner ja huvitav osa on PayloadContent massiiv selle sees. Iga kirje kannab PayloadType , mis ütleb, mida seade installib: hallatud VPN-i konfiguratsioon, PKCS#12 identiteet, juursertifikaat või halduskirje. Trüki tüübid enne, kui loed ühtegi seadet.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN-i koormis nimetab ühendust: serveri aadress, autentimismeetod ja võimalikult rakendusepõhine või nõudmisel reegel. Identiteedi koormis annab klienditõendi, mille see ühendus esitab. Juursertifikaadi koormis lisab usaldusankru ja halduskoormis annab pideva kontrolli serverile. Need on neli erinevat kohustust ja allkiri katab paketi, selle asemel et igaüht eraldi garanteerida. Loe neid selles järjekorras, sest VPN on ilma identiteedita kasutu ja identiteet tähendab vähe, kui ei tea, kes selle väljastas.

Faili paroolikaitse on jälle eraldi omadus. Krüpteeritud pakett varjab sisu nende eest, kellel parooli pole; see ei otsusta, kas peaksid sisu lubama. Käsitle parooli tarnevõimalusena, mitte ülevaatusena.

Jälgi sertifikaadid selle ühenduseni, mis neid kasutab

Loetle paketis olevad sertifikaadid ja seo igaüks tööga. Kliendisertifikaat tuvastab selle seadme lüüsi ees, selle väljastanud CA kuulub selle ühenduse usaldusahelasse ja puhverserveri või sisemise teenuse jaoks installitud juur ei ole automaatselt iga HTTPS-saidi ankur. iOS-is jääb käsitsi installitud juur TLS-i jaoks usaldamatuks, kuni lubad selle jaotises Seaded, Teave, Sertifikaatide usalduse seaded, samal ajal kui halduse kaudu edastatud juurt usaldatakse ilma selle sammuta. Just see erinevus näitab, miks koormise otstarve on oluline.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Teenusepakkuja, kes kannab sinu liiklust, ei ole sel põhjusel iga külastatava saidi TLS-i lõpp-punkt. Vahendamine vajab liiklusteed ja usaldusankrut, mida rakendus aktsepteerib, ning ühte sertifikaati kandev profiil ei tõesta kumbagi. Küsi, milline ühendus sertifikaati kasutab ja millised rakendused selle vastu võtavad, selle asemel et eeldada, et profiili installimine krüpteerib kõik lahti.

Pärast installimist: kontrolli ja tea, mida eemaldamine teeb

Kui profiil on installitud, kinnita see seadmest, mitte allalaaditud failist. Seadete ekraan loetleb installitud profiili, selle allkirjastaja ja koormised ning VPN-i ekraan näitab, kas ühendus on kavatsetult konfigureeritud. Allalaaditud faili kustutamine ei eemalda midagi; installitud konfiguratsioon on eraldi objekt.

profiles show -type configuration
scutil --nc list

Kui profiil sisaldab halduskirjet, loe eemaldamise tagajärgi enne installimist, mitte pärast. Selle kirje eemaldamine võtab kaasa sellega seotud konfiguratsioonid ja võib eemaldada hallatud rakendusi, sõltuvalt sellest, kuidas seade registreeriti. See ei ole parandussamm, mida proovida, kui sertifikaat tundub vale. Küsi administraatorilt, millisele koormisele probleem kuulub, enne kui midagi eemaldad.

Läbivaatus lõpeb nelja eraldi vastusega: kes paketi allkirjastas, milliseid koormisi see installib, millist identiteeti ja usaldust iga ühendus kasutab ning mida eemaldamine endaga kaasa võtaks. Hoia need eraldi ja allkirjastatud profiilist saab läbi vaadatud otsus, mitte roheline linnuke.