Un profil VPN peut-il installer un certificat sur votre appareil ?

Un profil VPN peut transporter des certificats, et c'est de cette phrase que part la plus grande partie de la confusion. Ce qu'il transporte et ce à quoi il fait confiance sont deux questions différentes, auxquelles répondent deux mécanismes différents. Une AC embarquée qu'un client utilise pour vérifier un serveur n'est pas le même objet qu'une racine approuvée par tout le système d'exploitation. Comparez les deux avant de conclure que le paquet est routinier.

La réponse à la question du titre est oui, avec une portée qu'il faut vérifier.

Ce qu'un profil VPN peut transporter

Un profil OpenVPN peut contenir le certificat de l'AC, le certificat client et la clé client en ligne, entre leurs balises, de sorte que le client les lise depuis le profil lui-même. Ce matériel sert à la vérification et à l'authentification à l'intérieur de ce seul client. Il n'entre pas dans le magasin de confiance du système simplement parce qu'il se trouve dans le fichier.

Un profil de configuration de plateforme est un autre conteneur. Il peut transporter une charge de certificat à côté de réglages gérés : Wi-Fi, VPN, restrictions, et dans les déploiements gérés bien davantage. L'installer remet ces réglages au système d'exploitation plutôt qu'à une seule application. C'est l'intérêt du format, et c'est aussi pourquoi la portée compte.

Confiance limitée au client ou confiance de la plateforme

La confiance limitée au client est bornée par le client. Si l'AC du profil est erronée, ce tunnel échoue et les autres applications restent intactes. La confiance de la plateforme n'est bornée par rien de particulier, car toute application qui utilise le magasin du système hérite de la décision.

Sur les plateformes Apple, ce sont des étapes visiblement distinctes.

Installer un profil téléchargé et activer la confiance pour un certificat sont deux actions distinctes, et la seconde a son propre contrôle dans les réglages de confiance des certificats. Un déploiement géré peut différer d'une installation manuelle, y compris sur la possibilité de retirer le profil. Suivez la documentation actuelle de la plateforme pour votre version. Une invite qui ressemble à une étape de configuration du VPN peut être la décision de confiance elle-même.

Pourquoi la différence change votre réponse

Si quelqu'un demande si le profil installe un certificat, une réponse utile nomme la portée. Un profil VPN qui transporte sa propre AC change ce que ce client accepte. Un profil qui installe une charge de certificat et dont la confiance est activée change ce que l'appareil accepte. Seul le second peut affecter un site bancaire dans un navigateur qui ne touche jamais au tunnel.

C'est toute la comparaison, et elle mérite d'être énoncée clairement avant toute approbation.

Ce qu'il faut demander avant d'approuver

Demandez quelle fonction a besoin du certificat et ce qui casse sans lui. Demandez qui l'a émis et ce qu'il est censé authentifier. Demandez comment il est retiré, et si le retrait vous est possible avec la méthode de déploiement utilisée. Demandez par le canal réel de l'opérateur, pas par la page qui a proposé le téléchargement.

Une page de téléchargement qui qualifie le paquet de réparation VPN ne vous a rien dit sur la portée.

Refuser une racine inattendue n'est pas de la paranoïa ; c'est la même décision qu'un navigateur prend lorsqu'il affiche un avertissement de certificat. La différence est que celle-ci persiste, et qu'elle ne redemandera peut-être pas.

À quoi ressemble réellement le retrait

Supprimer le fichier téléchargé ne retire pas un profil installé ni son certificat. Le profil vit dans les réglages de gestion de l'appareil jusqu'à ce qu'il y soit retiré, et un appareil supervisé ou géré peut refuser. Vérifiez l'état d'installation après tout changement approuvé et confirmez que le certificat a disparu plutôt que de supposer que le fichier était l'artefact. Reconnectez-vous ensuite et regardez si le tunnel fonctionne encore, car retirer l'AC en gardant le profil est un mode de défaillance à part entière.

Conservez une trace de l'émetteur, de l'usage, de la portée et du chemin de retrait.

Cette trace est plus utile qu'une icône VPN qui fonctionne, car elle survit à la personne suivante qui devra décider d'approuver la même invite sur un autre appareil.