Android IKEv2: déanann an teastas úsáideora agus an CA jabanna difriúla
Cruthaíonn réimse amháin cé atá sa ghuthán, agus socraíonn an ceann eile cén geata ar féidir muinín a bheith agat as. Coinníonn próifíl IKEv2 Android iad scartha.
Tá cuma ar scáileán IKEv2 in Android a iarrann teastas úsáideora agus teastas CA ag an am céanna go bhfuil an rud céanna á iarraidh dhá uair aige. Níl sé amhlaidh. Fíoraíonn IKEv2 an dá thaobh sa dá threo laistigh d’aon mhalartú, agus bíonn ról difriúil ag an nguthán i ngach treo: caithfidh sé cruthú cé atá ann agus cinneadh a dhéanamh cén geata a gcreideann sé. Freagraíonn an teastas úsáideora an chéad cheist, an CA iontaofa an dara ceann, agus ní sheasann ceachtar acu do cheann eile.
Dhá threo fíorúcháin in aon mhalartú amháin
Tógann IKEv2 cainéal rialaithe in dhá chéim. Socraíonn an chéad cheann halgartaim agus eochracha; iompraíonn an dara ceann, IKE_AUTH, ualach AUTH amháin ó gach taobh lena chéannacht. Síniú nó MAC thar an malartú is ea an t-ualach, agus fíoraítear é i gcoinne rud a bhfuil muinín ag an bhfaighteoir as cheana.
Cruthaíonn an geata é féin lena theastas féin, agus fíoraíonn an guthán an slabhra suas go fréamh a nglacann sé léi agus seiceálann sé go n-oireann an chéannacht sa teastas don gheata a raibh sé ag iarraidh a shroicheadh; cruthaíonn an guthán é féin lena dhintiúir, agus fíoraíonn an geata iad i gcoinne an CA a d’eisigh an teastas cliaint.
Sin an mheicníocht iomlán taobh thiar den dá réimse. Is ráiteas ón nguthán faoi féin é an teastas úsáideora; is ráiteas é réimse an CA faoi cé a gcreidfidh sé. Ní féidir le próifíl a bhfuil ceann amháin aici gan an ceann eile an fhíorúchán frithpháirteach a chríochnú, agus ní athraíonn iarracht arís é sin. Breathnaíonn na teipeanna fiú difriúil: gan eochair úsáideora ní féidir leis an nguthán síniú ar chor ar bith, gan ancaire iontaobhais ní féidir leis teastas an gheata a ghlacadh.
| Material | Role | What it cannot do |
|---|---|---|
| User certificate plus its private key | Proves possession of the enrolled client identity | Establish that the gateway is the right one |
| Trusted CA certificate | Validates the gateway chain under the intended identity checks | Prove the client's identity to the gateway |
| Expected gateway identity | Pins which server the phone accepts | Grant that user access to every private resource |
Cad a iarrann tógálaí próifíle Android
Nochtann tógálaí próifíle IKEv2 Android gach modh fíorúcháin ar leith, ní mar aon mhód teastais. Tógann an modh sínithe dhigitigh teastas úsáideora, eochair phríobháideach agus fréamh-CA an fhreastalaí; tógann na cinn eile ainm úsáideora agus focal faire, nó eochair a roinntear roimh ré.
Léigh an síniú sin go cúramach, mar is é a chuireann síos ar an meicníocht thuas. Níl aon réimse don eochair phríobháideach sa mhodh ainm agus focal faire, ná aon ancaire iontaobhais sa mhodh PSK, toisc go gcruthaíonn na modhanna sin rudaí difriúla. Tugann focal faire a chuirtear i réimse teastais próifíl a theipeann ag IKE_AUTH le teachtaireacht nach n-ainmníonn ceachtar acu.
Is é RSA an cineál eochrach príobháidigh atá doiciméadaithe don mhodh sínithe dhigitigh. Ní chiallaíonn roghchlár lipéadaithe IPsec nó teastas tacaíocht ECDSA, agus teipeann próifíl a tógadh ar an mbarrúlacht sin in API an ardáin sula mbíonn an líonra i gceist fiú.
Cén fáth nach leor teastas úsáideora poiblí amháin
Is síniú thar an malartú é an t-ualach AUTH a dhéantar le heochair phríobháideach an chliaint. Ligeann an teastas poiblí don gheata síniú a sheiceáil, ach ní dhéanann sé aon rud don ghuthán, a dteastaíonn an eochair uaidh chun ceann a chruthú. Ní hamháin .crt a iompórtáil agus an eochair a fhágáil ina diaidh an fhoirm is coitianta den teip seo.
Léiríonn bonneagar eochrach Android é sin: téann roghnú céannachta cliaint trí KeyChain, a éilíonn rochtain ar an eochair phríobháideach chomhfhreagrach, ní hamháin iontráil teastais. Is é pacáiste clárúcháin nó sreabhadh bainistíochta feiste a shuiteálann an péire le chéile an ghnáthbhealach chun céannacht inúsáidte a fháil; ní hé cóipeáil láimhe comhaid de ghnáth.
Mar sin ní bailiúchán teastas agus a chóip iad an dá mhír sa phróifíl. Ceann amháin is péire eochrach ar gá don ardán síniú leis, agus an ceann eile is ancaire iontaobhais a chuirtear i gcomparáid leis. Seiceáil iad mar dhá fhíric ar leith: an féidir leis an bpróifíl seo síniú, agus an bhfuil a fhios aici cé a chreidiúint?
Baineann ancaire iontaobhais le feidhmchlár, ní leis an nguthán
Ní chuireann fréamh a shuiteáiltear i stór an úsáideora iallach ar gach feidhmchlár Android muinín a bheith aige aisti: ó Android 7 caithfidh feidhmchlár rogha a dhéanamh trína chumraíocht slándála líonra, agus roimh an eisiúint sin glacadh le CAanna arna suiteáil ag úsáideoir i bhfad níos leithne. Féadann an chumraíocht iontaobhais a bheith difriúil, agus b’fhéidir nach bhféachann cliant VPN a bhainistíonn a ábhar iontaobhais féin ar stór an úsáideora riamh. Sin an fáth a n-oibríonn an comhad CA céanna i gcliant amháin agus a bhféadfadh sé breathnú ar neamhaird i gceann eile.
Leanann dhá mhúnla úinéireachta. Úsáideann próifíl arna bhainistíocht ag an gcóras suiteáil teastas na feiste nó clárú riarthóra, agus ansin tagraíonn an phróifíl don CA atá beartaithe. Coinníonn VPN arna bhainistíocht ag feidhmchlár a ábhar iontaobhais féin agus a iompórtáil dhoiciméadaithe féin, a d’fhéadfadh a bheith go hiomlán scartha ó scáileán socruithe Android. Is ann freisin a dheisítear slabhra briste.
Socraigh cén múnla ina bhfuil tú sula n-iompórtálann tú aon rud, agus ansin dearbhaigh rogha iontaobhais na próifíle gníomhaí. Má easaontaíonn treoracha an oibreora agus roghchlár an chliaint, is é iompar doiciméadaithe an chliaint a bhuann don suiteáil sin, ach caithfidh an CA teacht ón oibreoir fós trí chainéal ar féidir leat a fhíorú. Ní cruthúnas é ainm comhaid ar cé a d’eisigh é.
Roghnaigh an mód, ansin na comhaid
Teastaíonn ón mód teastais péire eochrach cliaint, an CA eisitheach ar thaobh an gheata, ancaire iontaobhais do theastas an gheata agus ionchas faoin gcéannacht a chaithfidh an teastas sin a iompar. Cuireann ainm agus focal faire dintiúir in ionad an phéire eochrach ach coinníonn siad an ceanglas muiníne sa gheata. Cuireann PSK rún comhroinnte in ionad an dá cheann agus athraíonn sé an múnla iontaobhais seachas é a shimpliú.
Pé acu a roghnaíonn tú, coinnigh an ghnáth-bhailíochtú ar siúl. Baineann rogha gan fíorú an seiceáil a bhfuil réimse an CA ann dá haghaidh; ní dheisíonn sé ancaire iontaobhais atá ar iarraidh. Is amhlaidh freisin do ghlacadh le haon teastas freastalaí toisc go n-oibríonn an nasc gan é.
Fíoraigh ansin san áit cheart: iompórtáil an t-ábhar, nasc uair amháin, agus dearbhaigh i sonraí an naisc gurb í céannacht an gheata an ceann a raibh súil agat léi agus go n-insíonn an phróifíl an modh a bhí beartaithe agat. Is cumraíocht í nasc rathúil leis an modh mícheart nach dtuigeann tú fós, agus teipfidh sé nuair a dhéanfaidh an t-oibreoir polasaí a dhaingniú.