In ûndertekene VPN-profil op iPhone ynstallearje? Lês de payloads

Profylen komme yn Ynstellingen oan mei in namme, in ûndertekener en in Ynstallearje-knop, en de rigel fan de ûndertekener is it diel dat de measte minsken lêze. Dy rigel beantwurdet ien fraach: wa hat dizze ynstellingen ferpakt, neffens de regels foar it bewizen fan de ûndertekening. Hy seit net dat de VPN-payload nei de gateway fan jo wurkjouwer wiist, of dat in ynbêde root-sertifikaat yn jo TLS-fertrouwensopslach heart. De rûnlieding hjirûnder iepenet it pakket yn de folchoarder wêryn it apparaat it tapast.

Begjin by de envelope: wa hat dit profyl ûndertekene

Op iOS ferskynt it profyl ûnder Ynstellingen, Algemien, VPN en Apparaatbehear, mei de ûndertekener boppe de Ynstallearje-knop. Lês dy namme foardat jo earne op tikke, en freegje josels ôf oft it de organisaasje is dêr't jo ynstellingen fan ferwachte. In jildige ûndertekening fan in partij dy't jo net ken is noch altyd in jildige ûndertekening, en se machtiget har konfiguraasje, net dy fan jo. Itselde skerm fertelt ek oft it profyl hielendal ûndertekene is.

As jo it bestân op in Mac hawwe, besjoch it dan foardat it de telefoan berikt. It feilichheidsark ûntsiferet de CMS-envelope en prints it plist dat it apparaat lêze sil, deselde ynhâld sûnder in Ynstallearje-knop yn 'e wei. De dokumintaasje fan Apple oer it hanthavenjen fan konfiguraasje beskriuwt ûndertekening as falidaasje fan de oarsprong, en dat is krekt it berik dat hjir beskreaun wurdt.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Stop hjir as de ûndertekener net is wa't jo ferwachten, of as it bestân net ûndertekene is en fia in kanaal kaam dat der net foar ynstean kin. Neat letter yn dizze rûnlieding makket in net-fertroude envelope fertrouber.

Iepenje elke payload en beneam wat er ynstallearret

In profyl is in kontener, en it nijsgjirrige part is de PayloadContent-array derbinne. Elk item draacht in PayloadType dy't seit wat it apparaat ynstallearje sil: in beheard VPN-konfiguraasje, in PKCS#12-identiteit, in root-sertifikaat of in behearregistraasje. Prints de types foardat jo ien fan de ynstellingen lêze.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

In VPN-payload beneamt in ferbining: serveradres, autentikaasjemetoade en mooglik in regel per app of op fersyk. In identiteitspayload leveret de klantkrêftigens dy't dy ferbining presintearret. In root-sertifikaatpayload foeget in fertrouwensanker ta, en in beheer-payload jout trochgeande kontrôle oan in server. Dat binne fjouwer ferskillende ferplichtings, en de ûndertekening dekt it pakket yn stee fan elk apart te garandearjen. Lês se yn dy folchoarder, want de VPN is nutteloas sûnder de identiteit en de identiteit betsjut net folle sûnder te witten wa't it útjûn hat.

Wachtwurdbeskerming op it bestân is wer in apart eigenskip. In fersifere pakket ferberget de ynhâld foar immen sûnder it wachtwurd; it beslút net oft jo goedkarre moatte wat der yn sit. Behandel it wachtwurd as in leveringsmeganisme, net as in resinsje.

Folgje de sertifikaten nei de ferbining dy't se brûkt

Lis de sertifikaten yn it pakket op en keppelje elk oan in taak. It klantsertifikaat identifisearret dit apparaat by de gateway, de CA dy't it útjûn hat heart by de fertrouwenskeatling foar dy ferbining, en in root dy't foar in proxy of in ynterne tsjinst ynstallearre is, is net automatysk in anker foar elke HTTPS-side. Op iOS bliuwt in mei de hân ynstallearre root net-fertroud foar TLS oant jo it ynskeakelje ûnder Ynstellingen, Oer, Ynstellingen foar sertifikaatfertrouwen, wylst in root dy't troch behear levere wurdt sûnder dy stap fertroud is. Dat ferskil is krekt wêrom't it doel fan de payload fan belang is.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

In provider dy't jo ferkear ferfiert is om dy reden net it TLS-einpunt fan elke website dy't jo besykje. Underskepping hat it ferkearspaad en in fertrouwensanker nedich dat de tapassing akseptearret, en in profyl mei ien sertifikaat bewiist gjin fan beide. Freegje hokker ferbining it sertifikaat brûkt en hokker tapassingen it akseptearje sille, yn stee fan oan te nimmen dat it ynstallearjen fan it profyl alles ûntsiferet.

Nei de ynstallaasje: ferifiearje en witte wat fuortsmytjen docht

As it profyl ienris ynstallearre is, befêstigje it dan fan it apparaat ôf, net fan it bestân dat jo downloade hawwe. It ynstellingsskerm listet it ynstallearre profyl, syn ûndertekener en syn payloads op, en it VPN-skerm toant oft de ferbining konfigurearre is sa't it moat. It downloade bestân wiskje smyt neat weilûke; de ynstallearre konfiguraasje is in apart objekt.

profiles show -type configuration
scutil --nc list

As it profyl in behearregistraasje omfettet, lês dan de gefolgen fan fuortsmytjen foardat jo it ynstallearje, net dernei. It fuortheljen fan dy registraasje nimt de byhearrende konfiguraasjes mei en kin behearde apps fuortsmite, ôfhinklik fan hoe't it apparaat registrearre wie. Dat is gjin reparaasjestap om te besykjen as in sertifikaat ferkeard liket. Freegje de behearder hokker payload it probleem besit foardat jo eat fuortsmite.

De rûnlieding einiget mei fjouwer aparte antwurden: wa't it pakket ûndertekene hat, hokker payloads it ynstallearret, hokker identiteit en fertrouwen elke ferbining brûkt, en wat fuortsmytjen meinimme soe. Hâld se apart en in ûndertekene profyl wurdt in beoardiele beslissing yn stee fan in grien flakje.