Vous avez envoyé un seul profil VPN à tout le monde, et il contient votre mot de passe

Le profil s’installe proprement, tout le monde se connecte, puis le mot de passe du compte est changé. Chaque appareil qui a reçu le fichier cesse de s’authentifier à la même minute, parce qu’ils portent tous le même secret. C’est le signe : un identifiant copié dans un artefact partagé transforme un changement de mot de passe de routine en panne de toute la flotte. Conserver la configuration réutilisable et l’identité individuelle comme deux remises séparées l’évite, et la documentation de gestion des appareils d’Apple traite les profils comme des réglages et une autorisation, non comme un magasin de secrets.

Le symptôme apparaît à la première rotation

Un fichier mobileconfig est du XML ou un plist signé. Quiconque en détient une copie peut décoder la charge utile et lire son contenu, donc une valeur AuthPassword dans un modèle est un identifiant en clair avec une extension de fichier inhabituelle. La signature change l’intégrité et l’origine, pas la lisibilité. Pendant ce temps, les parties que vous voulez vraiment partager, comme l’adresse de la passerelle, l’identité attendue du serveur et la politique de trafic, sont identiques pour tous.

Triez les champs avant toute modification, car la frontière n’est pas là où les gens l’imaginent.

Séparez les réglages partagés des identifiants individuels

La voie interactive consiste à laisser le mot de passe de côté et à laisser le dispositif d’authentification pris en charge le demander. Lisez bien : supprimer un champ qui ressemble seulement n’est pas une conversion universelle à la connexion interactive. La charge utile IKEv2 distingue AuthName de AuthPassword, et la méthode d’authentification décide si une invite est seulement atteignable ; une méthode par certificat ne demandera aucun mot de passe.

Les certificats n’ont pas non plus besoin d’une clé partagée

Si la passerelle attend une authentification par certificat, enrôlez l’identité d’utilisateur ou d’appareil prévue via le mécanisme approuvé et gardez la clé privée hors du modèle. Une clé privée partagée dans chaque copie vous donne le même problème de rotation avec un rayon d’impact pire, car une clé ne peut pas être révoquée par personne si elle n’a pas été émise par personne.

Consignez l’émission, le renouvellement et la révocation de cette identité en regard de la révision du profil. Quand les deux sont suivis ensemble, un renouvellement est une tâche planifiée plutôt qu’un incident.

Les machines sans surveillance ont besoin d’une troisième réponse

Une machine qui doit se connecter avant que quiconque ouvre une session ne peut pas répondre à une invite. C’est une exigence différente de celle de faciliter l’installation pour une personne connectée, et elle devrait être résolue par une identité gérée ou un certificat par appareil convenu avec le propriétaire de la passerelle, non en stockant un mot de passe humain dans un profil.

Stocker un mot de passe ne supprime pas non plus un second facteur. Si la passerelle exige une MFA, un profil avec un mot de passe enregistré échoue quand même au démarrage, et l’échec ressemble à un profil cassé plutôt qu’à un facteur manquant.

Vérifiez l’artefact qui a réellement été généré

Les modèles mentent par omission. Un service de gestion ou un outil d’export peut injecter des identifiants dans le fichier final, et les charges d’identité ou copies de diagnostic qui l’accompagnent peuvent porter des éléments que le modèle n’a jamais montrés. Ouvrez l’artefact généré avant de décider qui peut le recevoir. Gardez aussi intacts les réglages d’émetteur de confiance et d’identité attendue du serveur ; retirer un mot de passe n’est pas une raison d’affaiblir la confiance dans la passerelle.

Si un vrai mot de passe ou une identité privée a déjà trop circulé, révoquez-le chez l’émetteur et remplacez-le. Modifier le modèle de demain ne fait rien aux copies déjà installées, et ces copies continueront de s’authentifier jusqu’à ce que l’identifiant derrière elles soit retiré.

Acceptez la remise avec une identité de test

Installez via le flux approuvé sur un appareil enrôlé comme identité de test distincte, effectuez l’authentification prévue et atteignez la ressource privée au lieu de simplement regarder le tunnel monter. Confirmez que le profil ne contient aucun élément d’identifiant, puis confirmez que l’identifiant figure dans l’enregistrement d’identité qui sera renouvelé. Cette paire est le test d’acceptation.

Une révision pour les réglages partagés, un enregistrement par personne, et un chemin de révocation que vous avez réellement utilisé une fois.