Allekirjoitetun VPN-profiilin asentaminen iPhoneen? Lue hyötykuormat

Profiilit saapuvat Asetuksiin nimen, allekirjoittajan ja Asenna-painikkeen kanssa, ja useimmat lukevat juuri allekirjoittajarivin. Se rivi vastaa yhteen kysymykseen: kuka paketoi nämä asetukset allekirjoituksen vahvistussääntöjen mukaan. Se ei kerro, että VPN-hyötykuorma osoittaa työnantajasi yhdyskäytävään tai että upotettu juurivarmenne kuuluu TLS-luottamusvarastoosi. Alla oleva katsaus avaa paketin siinä järjestyksessä, jossa laite sen ottaa käyttöön.

Aloita kirjekuoresta: kuka allekirjoitti tämän profiilin

iOS:ssä profiili näkyy kohdassa Asetukset, Yleiset, VPN ja Laitteen hallinta, ja allekirjoittaja näytetään Asenna-painikkeen yläpuolella. Lue nimi ennen kuin kosket mihinkään ja kysy, onko kyseessä organisaatio, jolta odotit asetuksia. Tunnistamattoman osapuolen kelvollinen allekirjoitus on yhä kelvollinen allekirjoitus, ja se valtuuttaa heidän kokoonpanonsa, ei sinun. Sama näyttö kertoo myös, onko profiili ylipäätään allekirjoitettu.

Jos tiedosto on Macissa, tutki se ennen kuin se päätyy puhelimeen. Suojatyökalu purkaa CMS-kirjekuoren ja tulostaa plistin, jonka laite lukee – sama sisältö ilman Asenna-painiketta tiellä. Applen kokoonpanon valvontaa koskeva dokumentaatio kuvaa allekirjoituksen alkuperän vahvistamiseksi, mikä on täsmälleen tässä kuvattu laajuus.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Pysähdy tähän, jos allekirjoittaja ei ole se, jota odotit, tai jos tiedosto on allekirjoittamaton ja saapui kanavaa pitkin, joka ei voi taata sitä. Mikään myöhempi vaihe tässä katsauksessa ei tee epäluotettavasta kirjekuoresta luotettavaa.

Avaa jokainen hyötykuorma ja nimeä, mitä se asentaa

Profiili on säilö, ja kiinnostava osa on sen sisällä oleva PayloadContent-taulukko. Jokainen merkintä kantaa PayloadType-kenttää, joka kertoo, mitä laite asentaa: hallittu VPN-kokoonpano, PKCS#12-identiteetti, juurivarmenne tai hallintarekisteröinti. Tulosta tyypit ennen kuin luet yhtään asetusta.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN-hyötykuorma nimeää yhteyden: palvelimen osoite, todennusmenetelmä ja mahdollisesti sovelluskohtainen tai tarpeen mukaan aktivoituva sääntö. Identiteettihyötykuorma tarjoaa asiakastunnisteen, jonka tämä yhteys esittää. Juurivarmennehyötykuorma lisää luottamusankkurin, ja hallintahyötykuorma luovuttaa jatkuvan hallinnan palvelimelle. Nämä ovat neljä eri sitoumusta, ja allekirjoitus kattaa paketin eikä takaa jokaista niistä erikseen. Lue ne tässä järjestyksessä, sillä VPN on hyödytön ilman identiteettiä, eikä identiteetti merkitse paljon, jos ei tiedä, kuka sen myönsi.

Tiedoston salasanasuojaus on taas erillinen ominaisuus. Salattu paketti kätkee sisällön siltä, jolla ei ole salasanaa; se ei ratkaise, pitäisikö sinun valtuuttaa sen sisältö. Kohtele salasanaa toimitusmekanismina, älä tarkistuksena.

Jäljitä varmenteet yhteyteen, joka niitä käyttää

Listaa paketin varmenteet ja sovita jokainen tehtävään. Asiakasvarmenne tunnistaa tämän laitteen yhdyskäytävälle, sen myöntänyt varmenneviranomainen kuuluu kyseisen yhteyden luottamussarjaan, eikä välityspalvelinta tai sisäistä palvelua varten asennettu juuri ole automaattisesti jokaisen HTTPS-sivuston ankkuri. iOS:ssä käsin asennettu juuri pysyy TLS:n osalta epäluotettuna, kunnes otat sen käyttöön kohdassa Asetukset, Tietoja, Varmenteiden luottamusasetukset, kun taas hallinnan kautta toimitettu juuri on luotettu ilman tätä vaihetta. Juuri tämä ero selittää, miksi hyötykuorman tarkoitus on merkityksellinen.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Palveluntarjoaja, joka kuljettaa liikennettäsi, ei siitä syystä ole jokaisen vierailemasi sivuston TLS-päätepiste. Sieppaus vaatii liikennepolun ja luottamusankkurin, jonka sovellus hyväksyy, eikä yhden varmenteen sisältävä profiili todista kumpaakaan. Kysy, mikä yhteys varmennetta käyttää ja mitkä sovellukset hyväksyvät sen, sen sijaan että olettaisit profiilin asentamisen salaavan kaiken.

Asennuksen jälkeen: vahvista ja tiedä, mitä poistaminen tekee

Kun profiili on asennettu, vahvista se laitteesta äläkä lataamastasi tiedostosta. Asetusnäyttö luettelee asennetun profiilin, sen allekirjoittajan ja hyötykuormat, ja VPN-näyttö näyttää, onko yhteys määritetty tarkoitetulla tavalla. Ladatun tiedoston poistaminen ei poista mitään; asennettu kokoonpano on erillinen objekti.

profiles show -type configuration
scutil --nc list

Jos profiili sisältää hallintarekisteröinnin, lue poistamisen seuraukset ennen asentamista, älä sen jälkeen. Rekisteröinnin poistaminen vie mukanaan siihen liittyvät kokoonpanot ja voi poistaa hallittuja sovelluksia riippuen siitä, miten laite rekisteröitiin. Se ei ole korjausvaihe, jota kannattaa kokeilla, kun varmenne näyttää väärältä. Kysy ylläpitäjältä, mikä hyötykuorma omistaa ongelman, ennen kuin poistat mitään.

Katsaus päättyy neljään erilliseen vastaukseen: kuka paketin allekirjoitti, mitkä hyötykuormat se asentaa, mitä identiteettiä ja luottamusta kukin yhteys käyttää ja mitä poistaminen veisi mukanaan. Pidä ne erillään, niin allekirjoitetusta profiilista tulee harkittu päätös vihreän valintamerkin sijaan.