Nola inportatu VPN ziurtagiria Androiden eta egiaztatu gakoa

VPN bezeroaren ziurtagiria Androiden inportatzeak pare bat minutu behar ditu. Leku egokian lurreratu den egiaztatzeak denbora gehiago behar du, eta hori da jendeak instalazio-elkarrizketak arrakasta dioenean saltzen duen zatia. Arrakasta-mezu batek fitxategia analizatu dela besterik ez du esan nahi. Ez du ezer esaten zein hornitzaileren esku dagoen gako pribatua edo kopia bat oraindik zure Downloads karpetan dagoen.

1. urratsa: Irakurri P12 fitxategia zure makinatik irten aurretik

Hasi fitxategiarekin bertatik. Barruko subjektua, igorlea eta iraungitze-data ezin badituzu izendatu, gero egiaztatu ezin izango duzun zerbait inportatzen ari zara.

PKCS#12 paketeak normalean bezero-ziurtagiria, haren gako pribatua eta igorle-katea eramaten ditu. openssl pkcs12 -in client.p12 -info -noout MAC eta enkriptatze-algoritmoak inprimatzen ditu gako-materiala bota gabe, beraz paketea pasahitzarekin babestuta dagoen eta zein zifrarekin ikus dezakezu. Jarraitu keytool -list -v -keystore client.p12 -storetype PKCS12 erabiliz aliasa, SHA-256 hatz-marka eta telefonoarekin alderatuko duzun baliozkotasun-leihoa lortzeko.

Bidali pasahitza fitxategitik kanal desberdin batean, edo eman fitxategia kopia bat atzean uzten ez duen banaketa-fluxu kudeatu baten barruan. Artxiboarekin elkarrizketa-mezu berean itsatsitako pasahitzak bi kontrol bat bihurtzen ditu.

2. urratsa: Instalatu VPN aplikazioak benetan irakurtzen duen zirrikituan

Android 11tik 14ra stock bertsioan bideak Ezarpenak, Segurtasuna, Enkriptatzea eta kredentzialak, Ziurtagiri bat instalatu, gero VPN eta aplikazio erabiltzaile ziurtagiria zeharkatzen ditu. Idazkera eta habiaratzea bertsioen eta fabrikatzaileen azalen artean aldatzen dira, beraz jarraitu kredentzial motaren etiketa eta ez buruz ikasitako menu-posizioa. Lan-profil batean, instalatu lan-aldearen barrualdetik, kredentzialek profilaren muga ez dutelako zeharkatzen.

Ez jarri bezero-identitatea CA ziurtagiriaren zirrikituan. Zirrikitu horrek erabiltzailearen konfiantza-biltegia elikatzen du, eta Android 7tik aplikazioek erabiltzaileak gehitutako CAak alde batera uzten dituzte haien sare-segurtasun konfigurazioak baimendu ezean, beraz han utzitako bezero-ziurtagiria ez da inoiz agertzen VPN gako-hautatzailean.

VPN bezero batzuek ez dute sistema-biltegia inoiz ukitzen eta P12 beren aplikazio-direktorioan inportatzen dute. Diseinu zilegia da, baina geroagoko urrats guztiak aldatzen ditu: gakoa aplikazioaren sandboxaren azpian bizi da orain eta aplikazio horrek bere biltegiratzeko modua bezain sendo dago. Egiaztatu bezeroaren dokumentazioa KeyChain jokoan dagoela suposatu aurretik.

3. urratsa: Egiaztatu zein hornitzaileren esku dagoen gakoa

Inportazioak analisia baieztatzen du, ez hardware-euskarria. Android 12 eta geroago, KeyInfo.getSecurityLevel()(e)k adierazten du gako bat Exekuzio Ingurune Fidagarrian, StrongBox-en edo softwarean dagoen, eta zaharragoa den isInsideSecureHardware() deia ordezkatzen du. VPN bezeroak balio hori erakusten ez badu, 1. urratseko hatz-marka da zure ordezkoa. Inportatzean berrikodetu den ziurtagiriak ez du bytez byte bat egingo, baina gako publikoak eta subjektuak bai.

Esportaezina ez da erabilezina izatearen berdin. Gailutik irten ezin den gako bat erabiltzaileak alias hori hautatzeko baimena ematen dion edozein aplikaziok erabil dezake oraindik, eta horregatik aliasaren eskaera kontrola erreala da eta ez formalitatea. Android Keystore dokumentazioa behin irakurtzea merezi du diseinu-erabaki hori hartzen baduzu.

Gero kontuan hartu egin dituzun kopiak. Zure eramangarrian dagoen P12, ticketaren eranskinena eta joan den hilabeteko babeskopiarena identitate baliozkoak dira oraindik igorleak errebokatzen dituen arte. Telefonoko instantziaren hardware babesak ez du ezer egiten horientzat.

4. urratsa: Aurkitu nori dagokion pantaila-blokeoaren baldintza

Hiru sekretu nahasten dira hemen: gailua desblokeatzeko PINa, gako pribatuaren pasaesaldia eta VPN kontuaren pasahitza. Baten eskaera ez da inoiz besteen berrezartzeko eskaera, eta okerra berrezartzea da jendeak ondo funtzionatzen zuen profil batetik kanpo blokeatzeko modua.

Gailu-administratzaile batek edo profil kudeatu baten politikak blokeoa eskatzen duenean, baldintza politika horrena da, ez ziurtagiriarena. adb shell dumpsys device_policy(e)k administrari aktiboak eta haiek inposatzen duten pasahitz-kalitatea zerrendatzen ditu, eta hori da azkarrena MDM agente bat zure PIN arauak aldatzearen arrazoia den ikusteko. Ziurtagiria kentzeak ez du politika bigunduko, eta politika kentzea administrazio-erabakia da, ez ezarpenen doikuntza.

Espero ezazu erabilgarritasun-konpromiso bat ere. Gakoak erabiltzailearen baimena eskatzen badu, tunela ezin da lehen desblokeoa baino lehen altxatu, beraz programatutako sinkronizazioek eta urruneko esnatzeek hutsegiten dute diseinuz. Erabaki hori zabalkundea baino lehen, ez ondoren.

Saihestu locksettings.db editatzeko edo ahaztutako eredu baten inguruko konponbide zahar bat berriz erreproduzitzeko lasterbidea. Errutina horiek build zehatzetarako idatzi ziren, kredentzial-biltegia frameworkak jada espero ez duen egoeran utz dezakete, eta ez dute inoiz blokeoa lehen eskatu zuen politika aldatzen.

5. urratsa: Erretiratu identitatea eta egiaztatu ukoa

Erretiroak hiru zati ditu eta lehena bakarrik da lokala. Kendu VPN profila, ezabatu erabiltzaile-ziurtagiria Ezarpenak, Segurtasuna, Enkriptatzea eta kredentzialak, Erabiltzaile-kredentzialak atalean, eta gero egin igorleak ziurtagiriaren serie-zenbakia errebokatu dezan. Tokiko ezabaketak bakarrik uzten du zerbitzariak oraindik onartzen duen kredentzial bat norbait P12 gorde badu.

Egiaztatu emaitza suposatu beharrean. Saiatu konexio bat erretiratutako profilekin eta berretsi zerbitzariak ukatzen duela. Oraindik altxatzen den tunel batek esan nahi du serie-zenbaki okerra errebokatu duzula edo bezeroak isil-isilik instalatutako beste identitate batera jo duela.

Inportazio huts bat atzera botatzen ari bazara, inportatu berriro jatorrizko pakete enkriptatutik eta egiaztatu berriro hatz-marka, diskoan utzi duzun gako-fitxategi deszifratua berrerabili beharrean.