Näin tuot VPN-varmenteen Androidiin ja varmistat avaimen

VPN-asiakasvarmenneen tuonti Androidiin vie pari minuuttia. Sen tarkistaminen, että se päätyi oikeaan paikkaan, vie kauemmin, ja juuri tämän osan useimmat jättävät väliin, kun asennusikkuna ilmoittaa onnistumisesta. Onnistumisviesti tarkoittaa vain, että tiedosto jäsennettiin. Se ei kerro, mikä tarjoaja pitää yksityistä avainta tai onko kopio yhä Downloads-kansiossasi.

Vaihe 1: Lue P12 ennen kuin se lähtee koneeltasi

Aloita itse tiedostosta. Jos et pysty nimeämään sen sisällä olevaa subjektia, myöntäjää ja vanhenemispäivää, tuot jotain, jota et voi myöhemmin varmentaa.

PKCS#12-paketti sisältää yleensä asiakasvarmenneen, sen yksityisen avaimen ja myöntäjäketjun. openssl pkcs12 -in client.p12 -info -noout tulostaa MACin ja salausalgoritmit vuotamatta avainmateriaalia, joten näet, onko paketti salasanasuojattu ja millä salauksella. Jatka komennolla keytool -list -v -keystore client.p12 -storetype PKCS12 saadaksesi aliaksen, SHA-256-sormenjäljen ja voimassaoloikkunan, jota vertaat puhelimeen.

Lähetä salasana eri kanavaa kuin tiedosto tai luovuta tiedosto hallitussa jakeluvirrassa, joka ei jätä kopiota. Salasana, joka liitetään samaan chatviestiin arkistin kanssa, muuttaa kaksi valvontaa yhdeksi.

Vaihe 2: Asenna se paikkaan, jota VPN-sovellus todella lukee

Tavallisessa Androidissa 11–14 polku kulkee Asetukset, Turvallisuus, Salaus ja tunnistetiedot, Asenna varmenne, sitten VPN ja sovelluksen käyttäjävarmenne. Sanamuoto ja sisäkkäisyys liikkuvat julkaisujen ja valmistajien kuorien välillä, joten seuraa tunnistetietotyypin merkintää äläkä ulkoa opittua valikkokohtaa. Työprofiilissa asenna työpuolen sisältä, koska tunnistetiedot eivät ylitä profiilin rajaa.

Älä laita asiakasidentiteettiä CA-varmenteen paikkaan. Se paikka ruokkii käyttäjän luottamusvarastoa, ja Android 7:stä lähtien sovellukset ovat jättäneet huomiotta käyttäjän lisäämät CA:t, ellei niiden verkon suojausasetus salli sitä, joten sinne jätetty asiakasvarmenne ei koskaan näy VPN:n avainvalitsimessa.

Jotkin VPN-asiakkaat eivät koske järjestelmän varastoon lainkaan ja tuovat P12:n omaan sovellushakemistoonsa. Se on laillinen suunnittelu, mutta muuttaa jokaista myöhempää vaihetta: avain elää nyt sovelluksen hiekkalaatikossa ja on täsmälleen niin vahva kuin kyseinen sovellus hoitaa omaa tallennustaan. Lue asiakkaan dokumentaatio ennen kuin oletat, että KeyChain on pelissä.

Vaihe 3: Todista, mikä tarjoaja pitää avainta

Tuonti vahvistaa jäsennyksen, ei laitteistotukea. Android 12:ssa ja uudemmissa KeyInfo.getSecurityLevel() kertoo, onko avain luotetussa suoritusympäristössä, StrongBoxissa vai ohjelmistossa, ja se korvaa vanhemman isInsideSecureHardware()-kutsun. Jos VPN-asiakas ei näytä tätä arvoa, vaiheen 1 sormenjälki on varasuunnitelmasi. Tuonnin aikana uudelleen koodattu varmenne ei täsmää tavu tavulta, mutta julkinen avain ja subjekti täsmäävät yhä.

Ei-vietävä ei ole sama kuin käyttökelvoton. Avainta, joka ei voi lähteä laitteesta, voivat silti käyttää kaikki sovellukset, joille käyttäjä antaa luvan valita kyseinen alias, ja siksi alias-kehote on todellinen valvonta eikä muodollisuus. Android Keystore -dokumentaatio kannattaa lukea kerran, jos teet tuon suunnittelupäätöksen.

Ota sitten huomioon tekemäsi kopiot. P12 kannettavassasi, se tikettiliitteessä ja se viime kuun varmuuskopiossa ovat kaikki yhä kelvollisia identiteettejä, kunnes myöntäjä peruuttaa ne. Puhelimen instanssin laitteistonsuojaus ei tee niille mitään.

Vaihe 4: Selvitä, kuka omistaa näytön lukitusvaatimuksen

Tässä sekoittuu kolme salaisuutta: laitteen avaus-PIN, yksityisen avaimen salalause ja VPN-tilin salasana. Kehote yhtä varten ei ole koskaan pyyntö nollata muita, ja väärän nollaus on se tapa, jolla ihmiset lukitsevat itsensä ulos profiilista, joka toimi hyvin.

Kun laitehallinnoija tai hallitun profiilin käytäntö vaatii lukituksen, vaatimus kuuluu sille käytännölle, ei varmenteelle. adb shell dumpsys device_policy luettelee aktiiviset hallinnoijat ja heidän vaatimansa salasanan laadun, mikä on nopein tapa nähdä, onko MDM-agentti syy siihen, että PIN-sääntösi muuttuivat. Varmenteen poistaminen ei löysää käytäntöä, ja käytännön poistaminen on hallinnollinen päätös eikä asetuksen viilaus.

Odota myös käytettävyyskompromissia. Jos avain vaatii käyttäjän valtuutuksen, tunneli ei voi nousta ennen ensimmäistä avausta, joten ajoitetut synkronoinnit ja etäherätykset epäonnistuvat suunnittelun mukaan. Päätä se ennen käyttöönottoa, ei jälkeen.

Vältä oikotietä muokata locksettings.db tai toistaa vanhaa unohdetun kuvion kiertotietä. Ne rutiinit kirjoitettiin tietyille buildeille, ne voivat jättää tunnistetietovaraston tilaan, jota kehys ei enää odota, eivätkä ne koskaan muuta käytäntöä, joka lukituksen alun perin vaati.

Vaihe 5: Poista identiteetti käytöstä ja varmista hylkäys

Käytöstä poistossa on kolme osaa ja vain ensimmäinen on paikallinen. Poista VPN-profiili, poista käyttäjävarmenne kohdasta Asetukset, Turvallisuus, Salaus ja tunnistetiedot, Käyttäjän tunnistetiedot, ja anna sitten myöntäjän peruuttaa varmenteen sarjanumero. Pelkkä paikallinen poisto jättää tunnistetiedon, jonka palvelin hyväksyy yhä, jos joku piti P12:n.

Varmista tulos sen sijaan että oletat sen. Yritä yhteyttä poistetulla profiililla ja vahvista, että palvelin hylkää sen. Tunneli, joka nousee yhä, tarkoittaa, että peruutit väärän sarjanumeron tai asiakas putosi hiljaa toiseen asennettuun identiteettiin.

Jos peruutat epäonnistuneen tuonnin, tuo uudelleen alkuperäisestä salatusta paketista ja tarkista sormenjälki uudelleen sen sijaan, että käyttäisit uudelleen levylle jäänyttä purettua avaintiedostoa.