Hoe jo in VPN-sertifikaat op Android ymportearje en de kaai ferifiearje

It ymportearjen fan in VPN-kliïntsertifikaat op Android duorret in pear minuten. Kontrolearje dat it op it goede plak bedarre is duorret langer, en dat is it part dat de measte minsken oerslaan sadree't de ynstallaasjedialooch sukses seit. In suksesberjocht betsjut allinnich dat it bestân parsearre is. It seit neat oer hokker provider de priveeskaai hâldt of oft der noch in kopy yn jo Downloads-map sit.

Stap 1: Lês de P12 foardat er jo masine ferlit

Begjin mei it bestân sels. As jo it ûnderwerp, de útjouwer en de ferfaldatum deryn net beneame kinne, ymportearje jo eat dat jo letter net kontrolearje kinne.

In PKCS#12-pakket draacht normaal in kliïntsertifikaat, syn priveeskaai en de útjouwerskeatling. openssl pkcs12 -in client.p12 -info -noout prints it MAC en de fersiferingalgoritmen sûnder skaaimateriaal te dumpen, sadat jo sjogge oft it pakket mei in wachtwurd beskerme is en mei hokker sifer. Folgje it mei keytool -list -v -keystore client.p12 -storetype PKCS12 om de alias, de SHA-256-fingerprint en it jildichheidsfinster te krijen dat jo mei de telefoan fergelykje.

Stjoer it wachtwurd fia in oar kanaal as it bestân, of oerhandigje it bestân yn in beheard distribúsjefloei dy't gjin kopy efterlit. In wachtwurd dat yn itselde chatsberjocht as it argyf plakt wurdt, makket twa kontrôles ien.

Stap 2: Ynstallearje it yn it slot dêr't de VPN-app echt lêst

Op standert Android 11 oant 14 rint it paad fia Ynstellingen, Feilichheid, Fersifering en befinigens, In sertifikaat ynstallearje, dêrnei VPN en app-brûkerssertifikaat. De bewurding en it nêstjen ferskowe tusken releases en leveransiershûden, folgje dêrom it label fan it befinigingstype ynstee fan in út 'e holle leard menuplak. Yn in wurkprofyl ynstallearje jo fan 'e wurkkant ôf, om't befinigens de profylgrins net oerstekke.

Set gjin kliïntidentiteit yn it CA-sertifikaatslot. Dat slot fiedt it fertrouwensopslach fan de brûker, en sûnt Android 7 negearje apps troch de brûker tafoege CA's, útsein as har netwurkfeilichheidskonfiguraasje dat tastean, dus in kliïntsertifikaat dat dêr parkearre wurdt, ferskynt nea yn 'e VPN-skaaikeizer.

Guon VPN-kliïnten reitsje it systeemopslach nea oan en ymportearje de P12 ynstee yn har eigen app-map. Dat is in legitym ûntwerp, mar it feroaret elke lettere stap: de skaai libbet no ûnder de app-sandbox en is krekt sa sterk as dy app syn eigen opslach behannelet. Kontrolearje de dokumintaasje fan 'e kliïnt foardat jo oannimme dat KeyChain yn spul is.

Stap 3: Bewiis hokker provider de skaai hâldt

In ymport befêstiget it parsearjen, net hardwarestipe. Op Android 12 en letter meldt KeyInfo.getSecurityLevel() oft in skaai yn 'e Fertroude Utfieringsomjouwing, yn StrongBox of yn software sit, en it ferfangt de âldere isInsideSecureHardware()-oprop. As de VPN-kliïnt dy wearde net toant, is de fingerprint fan stap 1 jo efterfal. In sertifikaat dat by ymport opnij kodearre wurdt, sil net byte foar byte oerienkomme, mar de publike skaai en it ûnderwerp wol.

Net-eksportearber is net itselde as ûnbrûkber. In skaai dy't it apparaat net ferlitte kin, kin noch brûkt wurde troch elke app dêr't de brûker tastimming foar jout om dy alias te kiezen, en dêrom is de aliasfreegje in echte kontrôle en net in formaliteit. De Android Keystore-dokumintaasje is ien kear lêzen wurdich as jo dy ûntwerpsbeslissing nimme.

Rekkenje dan mei de kopyen dy't jo makke hawwe. De P12 op jo laptop, dy yn 'e tiketbysluting en dy yn 'e back-up fan ôfrûne moanne binne allegear noch jildige identiteiten oant de útjouwer se weromlûkt. Hardwarebeskerming fan it eksimplaar op 'e telefoan docht foar dy neat.

Stap 4: Fyn út wa't it skermslot-ferfang hat

Trije geheimen wurde hjir trochinoar helle: de PIN om it apparaat te ûntsluten, de wachtwurdsin fan 'e priveeskaai en it wachtwurd fan it VPN-akkoart. In freegje om ien is nea in fersyk om de oaren werom te setten, en it ferkearde weromsette is hoe't minsken harsels bûten in profyl slute dat goed wurke.

As in apparaatbehearder of in belied fan in beheard profyl in slot easket, heart it ferfang by dat belied, net by it sertifikaat. adb shell dumpsys device_policy listet de aktive behearders en de wachtwurdkwaliteit dy't se ôftwinge, wat de fluchste manier is om te sjen oft in MDM-agent de reden is dat jo PIN-regels feroare binne. It sertifikaat fuorthelje sil it belied net fersoepje, en it belied fuorthelje is in bestjoerlike beslissing ynstee fan in ynstellings-oanpassing.

Ferwachtsje ek in kompromis yn brûkberens. As de skaai brûkersautorisearring easket, kin de tunnel net omheech komme foar de earste ûntsluting, dus plande syngronisaasjes en ôfstâns-weakrôpen mislearje neffens ûntwerp. Beslis dat foar de útrôl, net dêrnei.

Foarkom de koarte wei fan locksettings.db bewurkje of in âlde omwei foar in fergetten patroan opnij ôfspylje. Dy routines waarden skreaun foar spesifike builds, se kinne it befinigensopslach efterlitte yn in steat dy't it ramt net mear ferwachtet, en se feroarje nea it belied dat it slot yn it earstoan frege.

Stap 5: Lûk de identiteit werom en ferifiearje de wegering

It weromlûken hat trije dielen en allinnich it earste is lokaal. Ferwiderje it VPN-profyl, wiskje it brûkerssertifikaat ûnder Ynstellingen, Feilichheid, Fersifering en befinigens, Brûkersbefinigens, en lit de útjouwer dan it searjenûmer fan it sertifikaat weromlûke. It lokale wiskjen allinnich lit in befinigens efter dy't de tsjinner noch akseptearret as immen de P12 bewarre hat.

Ferifiearje it resultaat ynstee fan it oan te nimmen. Probearje in ferbining mei it weromlutsen profyl en befêstigje dat de tsjinner dy wegeret. In tunnel dy't noch omheech komt, betsjut dat jo it ferkearde searjenûmer weromlutsen hawwe of dat de kliïnt stil weromfallen is op in oare ynstallearre identiteit.

As jo in mislearre ymport weromdraaie, ymportearje dan opnij fan it orizjinele fersifere pakket en kontrolearje de fingerprint opnij ynstee fan in ûntsifere skaaibestân te werbrûken dat jo op 'e skiif litten hawwe.