Instalar un perfil VPN asinado no iPhone? Le as cargas útiles

Os perfís chegan a Axustes cun nome, un asinante e un botón Instalar, e a liña do asinante é a parte que le a maioría da xente. Esa liña responde a unha soa pregunta: quen empaquetou estes axustes, segundo as regras de verificación da sinatura. Non di que a carga útil VPN apunte á pasarela do teu empregador, nin que un certificado raíz incrustado pertenza ao teu almacén de confianza TLS. O percorrido de abaixo abre o paquete na orde en que o dispositivo o aplicará.

Comeza polo sobre: quen asinou este perfil

En iOS o perfil aparece en Axustes, Xeral, VPN e Xestión do dispositivo, co asinante amosado enriba do botón Instalar. Le ese nome antes de tocar nada e pregúntate se é a organización da que esperabas recibir axustes. Unha sinatura válida dunha parte que non recoñeces segue a ser unha sinatura válida, e autoriza a súa configuración, non a túa. A mesma pantalla tamén indica se o perfil está asinado, sen máis.

Se tes o ficheiro nun Mac, inspeccióxao antes de que chegue ao teléfono. A ferramenta de seguridade descodifica o sobre CMS e imprime o plist que lerá o dispositivo, é dicir, o mesmo contido sen un botón Instalar polo medio. A documentación de Apple sobre a aplicación das configuracións describe a sinatura como validación da orixe, que é exactamente o alcance descrito aquí.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Pára aquí se o asinante non é quen esperabas, ou se o ficheiro non está asinado e chegou por unha canle que non pode responderte del. Nada máis adiante neste percorrido fai que un sobre non fiable sexa fiable.

Abre cada carga útil e nomea o que instala

Un perfil é un contedor, e a parte interesante é o conxunto PayloadContent que leva dentro. Cada entrada leva un PayloadType que indica o que instalará o dispositivo: unha configuración VPN xestionada, unha identidade PKCS#12, un certificado raíz ou unha inscrición de xestión. Imprime os tipos antes de ler ningún dos axustes.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Unha carga útil VPN nomea unha conexión: enderezo do servidor, método de autenticación e, se cadra, unha regra por aplicación ou a demanda. Unha carga útil de identidade fornece a credencial de cliente que presentará esa conexión. Unha carga útil de certificado raíz engade unha áncora de confianza, e unha carga útil de xestión entrega o control continuo a un servidor. Son catro compromisos distintos, e a sinatura cobre o paquete en vez de avalar cada un por separado. Léoos nesa orde, porque o VPN é inútil sen a identidade e a identidade significa pouco sen saber quen a emitiu.

A protección con contrasinal do ficheiro é outra propiedade á parte. Un paquete cifrado agocha o contido a quen non teña o contrasinal; non decide se debes autorizar o que hai dentro. Trata o contrasinal como un mecanismo de entrega, non como unha revisión.

Rastrexa os certificados ata a conexión que os usa

Lista os certificados do paquete e emparella cada un cunha función. O certificado de cliente identifica este dispositivo ante a pasarela, a CA que o emitiu pertence á cadea de confianza desa conexión, e unha raíz instalada para un proxy ou un servizo interno non é automaticamente unha áncora para todos os sitios HTTPS. En iOS, unha raíz instalada a man segue sen ser fiable para TLS ata que a activas en Axustes, Acerca de, Axustes de confianza de certificados, mentres que unha raíz entregada pola xestión é fiable sen ese paso. Esa diferenza explica precisamente por que importa o propósito da carga útil.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Un provedor que transporta o teu tráfico non é, por iso, o punto final TLS de cada sitio que visitas. A interceptación necesita o camiño do tráfico e unha áncora de confianza que a aplicación acepte, e un perfil cun só certificado non demostra nin unha cousa nin a outra. Pregunta que conexión usa o certificado e que aplicacións o aceptarán, en vez de supor que instalar o perfil descifra todo.

Despois de instalar: verifica e sabe que fai a eliminación

Unha vez instalado o perfil, confírmao desde o dispositivo en vez de desde o ficheiro que descargaches. A pantalla de axustes lista o perfil instalado, o seu asinante e as súas cargas útiles, e a pantalla VPN amosa se a conexión está configurada como se pretendía. Borrar o ficheiro descargado non quita nada; a configuración instalada é un obxecto aparte.

profiles show -type configuration
scutil --nc list

Se o perfil inclúe unha inscrición de xestión, le as consecuencias da eliminación antes de instalalo, non despois. Quitar esa inscrición leva consigo as configuracións asociadas e pode eliminar aplicacións xestionadas, segundo como se inscribise o dispositivo. Non é un paso de reparación que probar cando un certificado parece incorrecto. Pregunta ao administrador que carga útil é responsable do problema antes de eliminar nada.

O percorrido remata con catro respostas separadas: quen asinou o paquete, que cargas útiles instala, que identidade e confianza usa cada conexión e que levaría consigo a eliminación. Manténas separadas e un perfil asinado convértese nunha decisión revisada en vez dunha marca verde.