IKEv2 ziurtagiria iPhonean: izen-emate eskuzkoa edo kudeatua
Izen-emate bideak zehazten du zein ziurtagiri aukera dauden. Lehenengo eskuzkoa edo kudeatua aukeratu, eta gero egokitu zerbitzariaren identitatea, bezeroaren kredentziala eta algoritmoa.
RSA aukeratzea atebidearen ziurtagiri tresnak lehenetsita erabiltzen duelako da garrantzitsua den galderaren aurretik hartutako erabakia: nola erregistratuko dira iPhone hauek? Erabiltzaileak idatzitako konexioak eta kudeaketak bidalitako konfigurazio profileak ezarpen desberdinak erakusten dituzte, eta ziurtagiri aukera batzuk bide horietako batean soilik daude. Ordena ondo jartzen baduzu, ziurtagiriaren plana laburra izango da; oker jartzen baduzu, telefonoak erabiliko ez duen kredentzial bat igorriko duzu. Beheko pausoak segida gisa hartu, bakoitzak hurrengoarentzat eskuragarri dauden aukerak murrizten baititu.
Lehen pausoa: aukeratu izen-emate bidea
Eskuzko konfigurazioak esan nahi du erabiltzaileak zerbitzariaren helbidea sartzen duela, autentifikazio metodoa aukeratzen duela eta interfazeak uzten duen kredentzial oro ematen duela. Kudeatutako izen-emateak esan nahi du profilek helbidea, identifikatzaileak eta kredentzialen karga baten erreferentzia daramatzala. Kudeatutako bideak eskuzko pantailak ezin dituen konbinazioak adieraz ditzake, eta horregatik ziurtagiriaren erabakia aukera honen ondoren etorri behar da, ez aurretik.
Bi bideek autentifika dezakete telefono bat. Konfigura daitekeenean eta identitatearen jabea nor den bereizten dira, beraz, hautatu bat nahita, kudeatutako profila eskuzko kredentzial sarrerekin nahastu beharrean.
Bigarren pausoa: aukeratu algoritmoak aukeratu duzun biderako
Eskuz konfiguratutako iPhoneetarako, strongSwanen iOS elkarrekintza oharrek RSA zerbitzari ziurtagiria gomendatzen dute, eskuzko bezeroak agian ez duelako ECDSA zerbitzari ziurtagiria onartuko; ohar berberek macOS bereizita tratatzen dute. Irakurri hori onartutako bezero multzoaren gidaritza gisa, ez Apple gailuei buruzko lege iraunkor gisa. Kudeatutako profilek tarte handiagoa du: ziurtagiri mota esplizituki hautatu dezake, ECDSA bezero identitatea barne, kargak eta atebideak biak onartzen dutenean.
Baliozkotu benetan onartzen dituzun iOS bertsioak ezer zabaldu aurretik. Bertsio berrienean dagoen laborategiko telefono batek ez du gailu zaharragoak biltzen dituen flota deskribatzen, eta laborategian funtzionatzen duen algoritmo batek huts egin dezake landako telefono zaharrenean. Hartu bertsio tartea gailuen kudeaketatik, ez memoriatik. Flotak hainbat bertsio hartzen baditu, probatu zaharrena lehenengo, eskuzko interfazea han baita murriztaileena.
Hirugarren pausoa: irakurri profileko eremuak gauza bereizi gisa
Izen antzeko gako batzuek objektu desberdinak deskribatzen dituzte. Urruneko helbidea telefonoak markatzen duen ostalaria da. Urruneko identifikatzailea atebideak aurkeztu behar duen IKE identitatea da. Kargako ziurtagiri erreferentziak bezero kredentzial bat seinalatzen du, eta ziurtagiri mota eremuak IKEv2 makinaren autentifikaziorako erabiltzen den mota hautatzen du. Horietako bat bera ere ez da CAren sinadura algoritmoa, hitzek bat egiten badute ere.
Appleren IKEv2 karga erreferentziak RSA zerrendatzen du ziurtagiri mota lehenetsi gisa, ECDSA aldaera esplizituekin, eta igorlearen izen gakoa autentifikazio ezarpen jakin batzuei lotzen die. Irakurri erlazio horiek aukeratu duzun metodoko erreferentzian, funtzionatzen duen inplementazio batetik gako bat kopiatu beharrean.
Laugarren pausoa: egokitu atebidearen identitatea bere ziurtagiriarekin
Erabili atebide izen esplizitu bat, adibidez vpn.example.com eta jarri bat datorren subjektu izen alternatiboa zerbitzariaren ziurtagirian. strongSwanen Apple gidaritzak zerbitzariaren autentifikaziorako gako erabilera hedatua ere espero du. RSA edo ECDSA hautatzeak ez du horietako ezer aldatzen: algoritmoak ezin du izen desadostasun bat, falta den EKU bat edo kate osatugabe bat konpondu.
Konfiantza aingura banatzea identitatea baieztatzetik bereizitako zeregina da. Telefonoak baliozkotu dezakeen ziurtagiri kate bat behar du, eta ziurtagirian benetan jarri duzun izena espero dezan konfiguratu behar da.
Beste plataforma batek ondo konektatzeak plataforma horren balidazio arauen froga da, ez telefonoaren arauak lasaitzeko baimena. Mantendu egiaztapenak berdinak bezeroen artean, desberdintzeko dokumentatutako arrazoirik ez baduzu.
Bosgarren pausoa: bereizi bezeroaren identitatea CArekiko konfiantzatik
Bezero ziurtagiri bat eta haren gako pribatua ez dira telefonoak fidatzen duen CA ziurtagiriaren objektu bera. CA ziurtagiri bat PKCS#12 identitate baten barruan sartzeak ez du automatikoki konfiantza aingura gisa instalatzen onartutako gailu guztietan, beraz, konfiantza banaketa bere kontroleko pauso propio gisa hartu.
Diseinuak pasahitz oinarriko EAP erabiltzen badu, telefonak aurreikusitako kontu autentifikazioa behar du gehi zerbitzariaren balidazioa. Bideak ez du justifikatzen bezero gako pribatu partekatu bat flota osoari bidaltzea, beste diseinu bat baita, hutsegite modu askoz okerragoarekin.
Amaitu plana berritzean eta baliogabetzean pentsatuta: nork berrargitaratzen duen bezero kredentziala, nola eguneratzen den profila eta nola mozten den galdutako telefono bat. Erregistratu profileko bertsioa eta baliozkotu duzun gailu bertsioak, erregistro horrek egiten baitu hurrengo ziurtagiri aldaketa zeregin arrunt.