Lähetit yhden VPN-profiilin kaikille, ja siinä on salasanasi

Profiili asentuu siististi, kaikki yhdistävät, ja sitten tilin salasana vaihtuu. Jokainen laite, joka sai tiedoston, lopettaa todennuksen samalla minuutilla, koska ne kaikki kantavat samaa salaisuutta. Se on merkki: yksi jaettuun artefaktiin kopioitu tunnistetieto muuttaa rutiininomaisen salasananvaihdon koko laivaston katkokseksi. Uudelleenkäytettävän kokoonpanon ja yksilöllisen identiteetin pitäminen kahtena erillisenä luovutuksena välttää sen, ja Applen oma laitehallinnan dokumentaatio käsittelee profiileja asetuksina ja valtuutuksena, ei salaisuuksien säilönä.

Oire ilmenee ensimmäisessä kierrossa

mobileconfig-tiedosto on XML tai allekirjoitettu plist. Kuka tahansa kopion haltija voi purkaa hyötykuorman ja lukea, mitä siinä on, joten mallin AuthPassword-arvo on selkokielinen tunnistetieto epätavallisella tiedostopäätteellä. Allekirjoitus muuttaa eheyttä ja alkuperää, ei luettavuutta. Sillä välin osat, jotka todella haluat jakaa, kuten yhdyskäytävän osoite, odotettu palvelimen identiteetti ja liikennepolitiikka, ovat kaikille samat.

Lajittele kentät ennen minkään muokkaamista, koska raja ei ole siellä, missä ihmiset olettavat.

Erottele jaetut asetukset yksilöllisistä tunnistetiedoista

Interaktiivinen polku on jättää salasana pois ja antaa tuetun todennusjärjestelyn kysyä sitä. Lue tämä huolella: sellaisen kentän poistaminen, joka vain näyttää samalta, ei ole yleinen muunnos interaktiiviseen kirjautumiseen. IKEv2-hyötykuorma tekee eron AuthName ja AuthPassword välillä, ja todennusmenetelmä päättää, onko kehote ylipäätään saavutettavissa; varmenneperusteinen menetelmä ei kysy salasanaa lainkaan.

Myöskään varmenteet eivät tarvitse jaettua avainta

Jos yhdyskäytävä odottaa varmenneperusteista todennusta, rekisteröi aiottu käyttäjän tai laitteen identiteetti hyväksytyn mekanismin kautta ja pidä yksityinen avain mallin ulkopuolella. Yksi jaettu yksityinen avain jokaisessa kopiossa antaa saman kierron ongelman pahemmalla vaikutusalalla, koska avainta ei voi peruuttaa henkilökohtaisesti, ellei sitä myönnetty henkilökohtaisesti.

Kirjaa kyseisen identiteetin myöntäminen, uusiminen ja peruutus profiilin version kanssa. Kun molempia seurataan yhdessä, uusiminen on aikataulutettu tehtävä eikä tapaus.

Valvomattomat koneet tarvitsevat kolmannen vastauksen

Kone, jonka on yhdistettävä ennen kuin kukaan kirjautuu sisään, ei voi vastata kehotteeseen. Se on eri vaatimus kuin asennuksen helpottaminen sisäänkirjautuneelle henkilölle, ja se pitäisi ratkaista hallitulla identiteetillä tai yhdyskäytävän omistajan kanssa sovitulla laitekohtaisella varmenteella, ei tallentamalla ihmisen salasanaa profiiliin.

Salasanan tallentaminen ei poista toista tekijääkään. Jos yhdyskäytävä vaatii MFA:n, tallennetun salasanan sisältävä profiili epäonnistuu silti käynnistyksessä, ja epäonnistuminen näyttää rikkinäiseltä profiililta eikä puuttuvalta tekijältä.

Tarkista artefakti, joka todella luotiin

Mallit valehtelevat pois jättämällä. Hallintapalvelu tai vientityökalu voi lisätä tunnistetietoja valmiiseen tiedostoon, ja mukana seuraavat identiteettihyötykuormat tai diagnostiikkakopiot voivat kantaa materiaalia, jota malli ei koskaan näyttänyt. Avaa luotu artefakti ennen kuin päätät, kuka voi saada sen. Pidä myös luotetun myöntäjän ja odotetun palvelimen identiteetin asetukset ennallaan; salasanan poistaminen ei ole syy heikentää yhdyskäytävän luottamusta.

Jos todellinen salasana tai yksityinen identiteetti on jo kulkenut liian laajalle, peruuta se myöntäjän luona ja korvaa se. Huomisen mallin muokkaaminen ei tee mitään jo asennetuille kopioille, ja ne kopiot jatkavat todennusta, kunnes niiden takana oleva tunnistetieto vedetään pois.

Hyväksy luovutus testi-identiteetillä

Asenna hyväksytyn kulun kautta laitteelle, joka on rekisteröity erilliseksi testi-identiteetiksi, suorita aiottu todennus ja saavuta yksityinen resurssi sen sijaan, että vain katselet tunnelin nousua. Vahvista, että profiili ei sisällä tunnistetietomateriaalia, ja vahvista sitten, että tunnistetieto on identiteettitietueessa, joka uusitaan. Tämä pari on hyväksymistesti.

Yksi versio jaetuille asetuksille, yksi tietue per henkilö ja peruutuspolku, jota olet todella käyttänyt kerran.