Jo stjoerden ien VPN-profyl nei elkenien, en it befettet jo wachtwurd
Hâld in dield Apple VPN-profyl allinnich foar ynstellings en jou elkenien syn eigen bewiis. Split de oerdracht, en ferfange dêrnei lekke wachtwurden by de útjouwer.
It profyl ynstallearret skjin, elkenien ferbynt, en dan wurdt it wachtwurd fan it akkount rotearre. Elk apparaat dat it bestân krige, stoppt mei autentisearjen op deselde minút, om't se allegear itselde geheim drage. Dat is it teken: ien bewiis dat yn in dield artefakt kopiaaid is, makket in routineuze wachtwurdferoaring ta in fleanetoerwide útfal. It apart hâlden fan 'e werbrûkbere konfiguraasje en de yndividuele identiteit as twa ôfsûnderlike oerdrachten foarkomt dat, en Apple syn eigen dokumintaasje oer apparaatbehear behandelt profylen as ynstellings en autorisaasje, net as in geheimopslach.
It symptoom ferskynt by de earste rotaasje
In mobileconfig-bestân is XML of in ûndertekene plist. Elkenien mei in kopy kin de lading dekodearje en lêze wat deryn stiet, dus in AuthPassword-wearde yn in sjabloan is in bewiis yn platte tekst mei in ûngewoane bestânsextinsje. Undertekenjen feroaret yntegriteit en oarsprong, net lêsberens. Underwilens binne de dielen dy't jo echt diele wolle, lykas it gateway-adres, de ferwachte serveridentiteit en it ferkearsbelied, foar elkenien identyk.
Sortearje de fjilden foardat jo wat bewurkje, want de grins is net wêr't minsken tinke dat er is.
Skied dielde ynstellings fan yndividuele bewizen
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
It ynteraktive paad is it wachtwurd weilitte en de stipe autentikaasjeregeling derom freegje litte. Lês dat soarchfâldich: it fuortheljen fan in fjild dat der allinnich op liket is net in universele omsetting nei ynteraktive oanmelding. De IKEv2-lading ûnderskiedt AuthName fan AuthPassword, en de autentikaasjemetoade beslút oft in oanfraach oait berikber is; in op sertifikaat basearre metoade sil hielendal gjin wachtwurd freegje.
Sertifikaten hawwe ek gjin dielde kaai nedich
As de gateway sertifikaatautentikaasje ferwachtet, registrearje dan de bedoelde brûker- of apparaatidentiteit fia it goedkarde meganisme en hâld de private kaai bûten it sjabloan. Ien dielde private kaai yn elke kopy jout jo itselde rotaasjeprobleem mei in slimmer trefberik, om't in kaai net per persoan weromlutsen wurde kin as er net per persoan útjûn is.
Registrearje útjefte, fernijing en weromlûken foar dy identiteit njonken de profylrevisy. As de twa tegearre folge wurde, is fernijing in plande taak ynstee fan in ynsidint.
Unbehearde masines hawwe in tredde antwurd nedich
In masine dy't ferbine moat foardat immen oanmeldt, kin gjin oanfraach beantwurdzje. Dat is in oar foarwei as it ienfâldiger meitsjen fan 'e opset foar in oanmelde persoan, en it moat oplost wurde mei in beheard identiteit of in sertifikaat per apparaat dat mei de gateway-eigner ôfpraat is, net troch in minsklik wachtwurd yn in profyl op te slaan.
It opslaan fan in wachtwurd hellet ek gjin twadde faktor fuort. As de gateway MFA easket, mislearret in profyl mei in bewarre wachtwurd dochs by it opstarten, en de mislearring liket op in stikken profyl ynstee fan in ûntbrekkende faktor.
Kontrolearje it artefakt dat eins generearre is
Sjabloanen lige troch weilitting. In beheardienst of eksportark kin bewizen yn it kleare bestân ynjeksje, en byhearrende identiteitsladings of diagnostyske kopyen kinne materiaal drage dat it sjabloan nea toande. Iepenje it generearre artefakt foardat jo beslute wa't it krije mei. Hâld ek de ynstellings foar fertroude útjouwer en ferwachte serveridentiteit yntakt; in wachtwurd fuorthelje is gjin reden om it fertrouwen yn 'e gateway te ferswakjen.
As in echt wachtwurd of in private identiteit al te breed reizge is, lûk it dan by de útjouwer werom en ferfange it. It bewurkjen fan it sjabloan fan moarn docht neat foar de al ynstallearre kopyen, en dy kopyen sille trochgean mei autentisearjen oant it bewiis efter har weromlutsen wurdt.
Akseptearje de oerdracht mei in testidentiteit
Ynstallearje fia de goedkarde flou op in apparaat dat as aparte testidentiteit registrearre is, foltôgje de bedoelde autentikaasje, en berik de private boarne ynstee fan allinnich te sjen hoe't de tunnel omheech komt. Befêstigje dat it profyl gjin bewiismateriaal befettet, befêstigje dan dat it bewiis bestiet yn 'e identiteitsregistraasje dy't fernijd wurde sil. Dat pear is de akseptaasjetest.
Ien revisy foar dielde ynstellings, ien registraasje per persoan, en in weromlûkpaad dat jo echt ien kear brûkt hawwe.