Saatsite ühe VPN-profiili kõigile ja see sisaldab teie parooli

Profiil paigaldub puhtalt, kõik ühenduvad ja siis pööratakse konto parool. Iga seade, mis faili sai, lõpetab autentimise samal minutil, sest kõik kannavad sama saladust. See ongi märk: üks ühishulka kopeeritud mandaat muudab rutiinse paroolimuudatuse kogu laevastiku katkestuseks. Taaskasutatava konfiguratsiooni ja isikliku identiteedi hoidmine kahe eraldi üleandmisena väldib seda ning Apple'i enda seadmehalduse dokumentatsioon käsitleb profiile seadete ja volitusena, mitte saladuste hoidlana.

Sümptom ilmneb esimesel pööramisel

Fail mobileconfig on XML või allkirjastatud plist. Igaüks, kellel on koopia, saab kasuliku koormuse dekodeerida ja lugeda, mis selles on, seega on mallis olev AuthPassword väärtus lihttekstis mandaat ebatavalise faililaiendiga. Allkirjastamine muudab terviklikkust ja päritolu, mitte loetavust. Vahepeal on osad, mida te tõesti jagada tahate, nagu lüüsi aadress, oodatav serveri identiteet ja liikluspoliitika, kõigile samad.

Sorteerige väljad enne mis tahes redigeerimist, sest piir ei ole seal, kus inimesed arvavad.

Eraldage jagatud seaded isiklikest mandaatidest

Interaktiivne tee on jätta parool välja ja lasta toetatud autentimiskorraldusel seda küsida. Lugege seda hoolikalt: lihtsalt sarnase välja kustutamine ei ole universaalne üleminek interaktiivsele sisselogimisele. IKEv2 kasulik koormus teeb vahet AuthName ja AuthPassword vahel, ja autentimismeetod otsustab, kas viip on üldse kättesaadav; sertifikaadipõhine meetod ei küsi parooli üldse.

Ka sertifikaadid ei vaja jagatud võtit

Kui lüüs eeldab sertifikaatautentimist, registreerige kavandatud kasutaja või seadme identiteet heakskiidetud mehhanismi kaudu ja hoidke privaatvõti mallist väljas. Üks jagatud privaatvõti igas koopias annab teile sama pööramisprobleemi halvema mõjuraadiusega, sest võtit ei saa isiku kaupa tühistada, kui seda ei väljastatud isiku kaupa.

Registreerige selle identiteedi väljastamine, uuendamine ja tühistamine koos profiili redaktsiooniga. Kui mõlemat jälgitakse koos, on uuendamine planeeritud ülesanne, mitte intsident.

Järelevalveta masinad vajavad kolmandat vastust

Masin, mis peab ühenduma enne, kui keegi sisse logib, ei saa viibale vastata. See on teine nõue kui sisseloginud inimese jaoks seadistamise lihtsamaks tegemine, ja see tuleks lahendada hallatava identiteedi või lüüsi omanikuga kokku lepitud seadmepõhise sertifikaadiga, mitte inimparooli profiili salvestamisega.

Parooli salvestamine ei kõrvalda ka teist tegurit. Kui lüüs nõuab MFA-d, ebaõnnestub salvestatud parooliga profiil ikkagi käivitamisel ja tõrge näeb välja nagu katkine profiil, mitte nagu puuduv tegur.

Kontrollige artefakti, mis tegelikult genereeriti

Mallid valetavad vaikimisi. Haldusteenus või ekspordiriist võib valmis faili mandaadid süstida ning kaasnevad identiteedikoormused või diagnostikakoopiad võivad kanda materjali, mida mall kunagi ei näidanud. Avage genereeritud artefakt enne, kui otsustate, kes tohib selle saada. Hoidke puutumatuna ka usaldusväärse väljaandja ja oodatava serveri identiteedi seaded; parooli eemaldamine ei ole põhjus lüüsi usaldust nõrgendada.

Kui tõeline parool või privaatne identiteet on juba liiga laialt levinud, tühistage see väljaandja juures ja asendage. Homse malli redigeerimine ei tee midagi juba paigaldatud koopiatele ja need koopiad jätkavad autentimist, kuni nende taga olev mandaat tagasi võetakse.

Võtke üleandmine vastu testidentiteediga

Paigaldage heakskiidetud voo kaudu seadmele, mis on registreeritud eraldi testidentiteedina, lõpetage kavandatud autentimine ja jõudke privaatse ressursini, mitte ainult ei jälgige tunneli tõusmist. Kinnitage, et profiil ei sisalda mandaadi materjali, seejärel kinnitage, et mandaat on identiteedikirjes, mida uuendatakse. See paar on vastuvõtutest.

Üks redaktsioon jagatud seadete jaoks, üks kirje inimese kohta ja tühistamistee, mida olete tõesti korra kasutanud.