پروفایل VPN امضاشده را در iPhone نصب می‌کنید؟ محتواها را بخوانید
پروفایل امضاشده نشان می‌دهد چه کسی آن را بسته‌بندی کرده، نه اینکه چه چیزی نصب می‌کند. پیش از اعتماد به VPN یا CA ریشه، پاکنش، هر محتوا و هر گواهی را بررسی کنید.
پروفایل‌ها با یک نام، یک امضاکننده و دکمهٔ نصب در تنظیمات ظاهر می‌شوند و بیشتر مردم فقط خط امضاکننده را می‌خوانند. آن خط به یک پرسش پاسخ می‌دهد: چه کسی این تنظیمات را بر پایهٔ قواعد بررسی امضا بسته‌بندی کرده است. نمی‌گوید که محتوای VPN به دروازهٔ کارفرمای شما اشاره می‌کند یا گواهی ریشهٔ جاسازی‌شده به مخزن اعتماد TLS شما تعلق دارد. راهنمای زیر بسته را به همان ترتیبی باز می‌کند که دستگاه آن را اعمال خواهد کرد.
با پاکنش شروع کنید: چه کسی این پروفایل را امضا کرده است
در iOS پروفایل زیر تنظیمات، عمومی، VPN و مدیریت دستگاه نمایش داده می‌شود و امضاکننده بالای دکمهٔ نصب دیده می‌شود. پیش از لمس هر چیزی آن نام را بخوانید و بپرسید آیا همان سازمانی است که انتظار داشتید از آن تنظیمات بگیرید. امضای معتبر از طرفی که نمی‌شناسید همچنان امضای معتبر است و پیکربندی آن‌ها را مجاز می‌کند، نه پیکربندی شما را. همان صفحه همچنین می‌گوید آیا پروفایل اصلاً امضا شده است یا نه.
اگر فایل را روی Mac دارید، پیش از رسیدن آن به گوشی بررسی‌اش کنید. ابزار امنیتی پاکنش CMS را رمزگشایی می‌کند و plistای را چاپ می‌کند که دستگاه خواهد خواند، یعنی همان محتوا بدون دکمهٔ نصب در میان راه. مستندات Apple دربارهٔ اعمال اجباری پیکربندی امضا را اعتبارسنجی منشأ می‌داند و دامنهٔ توصیف‌شده در اینجا دقیقاً همان است.
security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plistاگر امضاکننده همان کسی نیست که انتظار داشتید، یا اگر فایل امضا نشده و از کانالی رسیده که نمی‌تواند ضامن آن باشد، همین‌جا بایستید. هیچ چیز بعدی در این راهنما یک پاکنش نامعتبر را معتبر نمی‌کند.
هر محتوا را باز کنید و بگویید چه چیزی نصب می‌کند
پروفایل یک ظرف است و بخش جالب آن PayloadContent آرایهٔ درون آن است. هر ورودی یک PayloadType دارد که می‌گوید دستگاه چه چیزی نصب می‌کند: پیکربندی مدیریت‌شدهٔ VPN، هویت PKCS#12، گواهی ریشه یا ثبت مدیریت. پیش از خواندن هر تنظیمی، نوع‌ها را چاپ کنید.
plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
grep -E 'PayloadType|PayloadDisplayName'محتوای VPN یک اتصال را نام می‌برد: نشانی سرور، روش احراز هویت و شاید قاعده‌ای برای هر برنامه یا بر اساس تقاضا. محتوای هویت، اعتبارنامهٔ کارساز را فراهم می‌کند که آن اتصال ارائه خواهد داد. محتوای گواهی ریشه یک لنگر اعتماد می‌افزاید و محتوای مدیریت کنترل پیوسته را به سرور می‌سپارد. این‌ها چهار تعهد متفاوت‌اند و امضا بسته را پوشش می‌دهد نه اینکه هر یک را جدا تضمین کند. آن‌ها را به همین ترتیب بخوانید، زیرا VPN بدون هویت بی‌فایده است و هویت بدون دانستن صادرکنندهٔ آن معنای کمی دارد.
محافظت فایل با گذرواژه باز هم ویژگی جداگانه‌ای است. بستهٔ رمزگذاری‌شده محتوا را از کسی که گذرواژه ندارد پنهان می‌کند؛ اما تصمیم نمی‌گیرد که آیا باید آنچه درونش است را مجاز کنید. گذرواژه را سازوکار تحویل بدانید، نه بازبینی.
گواهی‌ها را تا اتصالی که از آن‌ها استفاده می‌کند دنبال کنید
گواهی‌های داخل بسته را فهرست کنید و هر یک را به کاری نسبت دهید. گواهی کارساز این دستگاه را به دروازه معرفی می‌کند، CAای که آن را صادر کرده در زنجیرهٔ اعتماد آن اتصال قرار دارد، و ریشه‌ای که برای پروکسی یا سرویس داخلی نصب شده به‌طور خودکار لنگر هر سایت HTTPS نیست. در iOS ریشه‌ای که دستی نصب شود تا زمانی که آن را در تنظیمات، دربارهٔ دستگاه، تنظیمات اعتماد گواهی‌ها فعال نکنید برای TLS نامعتبر می‌ماند، در حالی که ریشهٔ تحویل‌شده از مدیریت بدون آن مرحله معتبر است. همین تفاوت دلیل اهمیت کاربرد محتواست.
openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -datesفراهم‌کننده‌ای که ترافیک شما را حمل می‌کند به همین دلیل نقطهٔ پایانی TLS هر سایتی که بازدید می‌کنید نیست. شنود به مسیر ترافیک و لنگر اعتمادی نیاز دارد که برنامه بپذیرد، و پروفایلی که یک گواهی دارد هیچ‌کدام را اثبات نمی‌کند. بپرسید کدام اتصال از گواهی استفاده می‌کند و کدام برنامه‌ها آن را می‌پذیرند، به‌جای آنکه فرض کنید نصب پروفایل همه‌چیز را رمزگشایی می‌کند.
پس از نصب: بررسی کنید و بدانید حذف چه می‌کند
پس از نصب پروفایل، آن را از دستگاه تأیید کنید نه از فایلی که بارگیری کرده‌اید. صفحهٔ تنظیمات پروفایل نصب‌شده، امضاکننده و محتواهای آن را فهرست می‌کند و صفحهٔ VPN نشان می‌دهد آیا اتصال آن‌گونه که مقصود بوده پیکربندی شده است. حذف فایل بارگیری‌شده چیزی را برنمی‌دارد؛ پیکربندی نصب‌شده شیئی جداست.
profiles show -type configuration
scutil --nc listاگر پروفایل شامل ثبت مدیریت است، پیامدهای حذف را پیش از نصب بخوانید، نه پس از آن. حذف آن ثبت، پیکربندی‌های وابسته را با خود می‌برد و بسته به اینکه دستگاه چگونه ثبت شده بود ممکن است برنامه‌های مدیریت‌شده را بردارد. این مرحلهٔ تعمیری نیست که وقتی گواهی اشتباه به نظر می‌رسد امتحان کنید. پیش از برداشتن هر چیزی از مدیر بپرسید کدام محتوا صاحب مشکل است.
راهنما با چهار پاسخ جداگانه پایان می‌یابد: چه کسی بسته را امضا کرد، چه محتواهایی نصب می‌کند، هر اتصال کدام هویت و اعتماد را به کار می‌برد و حذف چه چیزی را با خود خواهد برد. آن‌ها را جدا نگه دارید تا پروفایل امضاشده به تصمیمی بررسی‌شده بدل شود، نه به یک تیک سبز.