VPN gardada en Android: que segredo podes recuperar?
Un teléfono que se volve conectar sen pedir contrasinal non garda ningún que poidas copiar. Compara as catro credenciais e a recuperación que necesita cada unha.
O teléfono volve conectar á VPN cada mañá sen pedir nada. Iso implica que a credencial está aí dentro nalgún sitio. Normalmente non o está, polo menos non nunha forma que poidas ler e escribir nun dispositivo novo.
O que ten o teléfono é autoridade para conectarse. O que queres é un segredo que poidas levar contigo, e son propiedades distintas que casualmente producen o mesmo comportamento na pantalla.
Antes de restablecer nada, identifica cal dos catro tipos de segredo falta realmente, porque cada un ten un propietario distinto e unha recuperación distinta.
Unha conexión que funciona non é un contrasinal gardado
Unha aplicación que se reconecta en silencio pode estar gardando un contrasinal, un token de sesión, unha referencia a un certificado ou nada máis que unha chave vinculada ao dispositivo que non pode exportar. As catro producen a mesma experiencia de usuario e ningunha é intercambiable.
Unha fila de puntos nun campo de axustes é unha decisión de representación, non unha proba. Algunhas aplicacións gardan de verdade un contrasinal recuperable e ofrecen revelalo ou exportalo; outras toman un token dun fluxo de inicio de sesión único e nunca ven o contrasinal.
Así que a primeira pregunta non é onde está o ficheiro. É que tipo de autoridade recibiu a aplicación, e esa resposta vén do provedor, non do dispositivo.
Catro segredos, catro recuperacións
Encadra a túa situación nunha fila antes de contactar con ninguén, porque a petición cambia por completo segundo cal sexa.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
A segunda fila é a que máis atrapa á xente. Un contrasinal de importación PKCS#12 protexe material de chave e non ten relación co inicio de sesión da conta, así que restablecer o contrasinal da conta non recupera nada. Se o contrasinal do paquete se perdeu de verdade, a solución é reemitilo.
A cuarta fila explica moitos fíos de soporte confusos. O perfil pode referenciar unha credencial no almacén de chaves da plataforma en lugar de conter unha copia portátil, e nese caso non hai nada no perfil que extraer nin sequera en principio.
Por que copiar os datos da aplicación adoita fallar
A receita antiga é extraer o directorio de datos da aplicación e ler a configuración de alí. No Android actual a receita ten dous problemas independentes.
O primeiro é a política de copias de seguridade. Android 12 restrinxiu os datos de aplicacións exportados pola ruta antiga adb backup para aplicacións dirixidas a API 31 ou posterior, e as aplicacións poden excluír os datos da copia de seguridade por completo. Un procedemento escrito para un dispositivo antigo non é un método de recuperación universal para un actual.
O segundo é o almacén de chaves. As chaves xeradas alí poden ser non exportables e estar vinculadas ao hardware, como describe a documentación de Android Keystore. Copiar un blob cifrado non copia a chave que o descifra, así que un directorio restaurado pode conter unha credencial que o dispositivo novo nunca poderá usar.
Ningún dos dous problemas é un fallo que haxa que sortear. Ambos son a plataforma facendo o que foi deseñada para facer, e tratalos como obstáculos adoita acabar cun teléfono rooteado e sen contrasinal.
Pasa a un teléfono de substitución de forma deliberada
Fai primeiro o que está soportado. Se o provedor ofrece unha exportación que inclúe explicitamente as credenciais que necesitas, úsaa e verifica o resultado no dispositivo novo antes de borrar o antigo. Se non a ofrece, pide un perfil ou un rexistro novos, que é a vía normal para os servizos baseados en certificados e adoita levar menos tempo que o rodeo.
A orde importa. Rexistra o substituto, conéctao, envía unha petición de proba polo túnel e só entón retira o orixinal. Conservar o teléfono que funciona ata que o novo estea probado é o seguro máis barato dispoñible, e só custa paciencia.
Planifica tamén os efectos secundarios dun restablecemento. Se se restablece o contrasinal da conta ou se revoga a identidade do dispositivo, outras sesións poden quedar invalidadas, incluído un cliente de portátil e unha tableta que ninguén recordaba. Ocúpate delas na mesma xanela en lugar de descubrilas unha a unha.
Que non facer
Non roottees o único dispositivo que funciona para buscar un ficheiro de texto plano. Convertis un problema de recuperación de acceso nun problema de integridade do dispositivo, podes romper as comprobacións de integridade da propia aplicación e segues sen ter garantía de que o valor que buscas exista en forma lexible.
Non peges chaves privadas, perfís exportados nin contrasinais nun ticket de soporte para demostrar que o problema é real. O provedor necesita o nome do perfil, a versión da aplicación, o identificador da conta e o erro, ningún dos cales é secreto.
E non desactives a verificación de certificados para conseguir unha conexión mentres esperas. Iso cambia unha molestia temporal por un debilitamento permanente da única comprobación que che di con que servidor falas. Anota os catro feitos, fai a pregunta concreta e usa a vía emitida.