איך לייבא תעודת VPN באנדרואיד ולאמת את המפתח

ייבוא תעודת לקוח של VPN באנדרואיד לוקח כמה דקות. לבדוק שהיא נחתה במקום הנכון לוקח יותר זמן, וזה החלק שרוב האנשים מדלגים עליו ברגע שחלון ההתקנה מודיע על הצלחה. הודעת הצלחה אומרת רק שהקובץ נותח. היא לא אומרת מי הספק שמחזיק במפתח הפרטי או אם עדיין יושבת עותק בתיקיית Downloads שלך.

שלב 1: קראו את ה-P12 לפני שהוא עוזב את המחשב

התחילו בקובץ עצמו. אם אינכם יכולים לנקוב בשם הנושא, המנפיק ותאריך התפוגה שבתוכו, אתם מייבאים משהו שלא תוכלו לאמת מאוחר יותר.

חבילת PKCS#12 נושאת בדרך כלל תעודת לקוח, את המפתח הפרטי שלה ואת שרשרת המנפיק. openssl pkcs12 -in client.p12 -info -noout מדפיס את ה-MAC ואת אלגוריתמי ההצפנה בלי לשפוך חומר מפתח, כך שאתם רואים אם החבילה מוגנת בסיסמה ובאיזה צופן. אחריו הריצו keytool -list -v -keystore client.p12 -storetype PKCS12 כדי לקבל את הכינוי, טביעת האצבע SHA-256 וחלון התוקף שתשוו לטלפון.

שלחו את הסיסמה בערוץ אחר מהקובץ, או מסרו את הקובץ בתוך תהליך הפצה מנוהל שלא משאיר עותק. סיסמה שהודבקה באותה הודעת צ'אט כמו הארכיון הופכת שני בקרות לאחת.

שלב 2: התקינו אותו בחריץ שאפליקציית ה-VPN באמת קוראת

באנדרואיד 11 עד 14 מקורי המסלול עובר דרך הגדרות, אבטחה, הצפנה ואישורים, התקנת תעודה, ואז VPN ותעודת משתמש של האפליקציה. הניסוח והקינון משתנים בין מהדורות וערכות של יצרנים, לכן עקבו אחר תווית סוג האישור ולא אחרי מיקום תפריט משונן. בפרופיל עבודה התקינו מבפנים של צד העבודה, כי אישורים לא חוצים את גבול הפרופיל.

אל תשימו זהות לקוח בחריץ תעודת CA. החריץ הזה מזין את מאגר האמון של המשתמש, ומאז אנדרואיד 7 אפליקציות מתעלמות מ-CA שהוסיף המשתמש אלא אם תצורת אבטחת הרשת שלהן מאפשרת זאת, ולכן תעודת לקוח שהושארה שם לעולם לא מופיעה בבורר המפתחות של ה-VPN.

יש לקוחות VPN שלא נוגעים במאגר המערכת בכלל ומייבאים את ה-P12 לתיקיית האפליקציה שלהם במקום. זהו עיצוב לגיטימי, אבל הוא משנה כל שלב בהמשך: המפתח חי כעת תחת ארגז החול של האפליקציה והוא חזק בדיוק כמו שהאפליקציה מטפלת באחסון של עצמה. בדקו את תיעוד הלקוח לפני שאתם מניחים ש-KeyChain משחק תפקיד.

שלב 3: הוכיחו איזה ספק מחזיק במפתח

ייבוא מאשר ניתוח, לא תמיכת חומרה. באנדרואיד 12 ואילך, KeyInfo.getSecurityLevel() מדווח אם מפתח יושב בסביבת ההרצה המהימנה, ב-StrongBox או בתוכנה, והוא מחליף את הקריאה הישנה יותר isInsideSecureHardware(). אם לקוח ה-VPN לא מציג את הערך הזה, טביעת האצבע משלב 1 היא הגיבוי שלכם. תעודה שקודדה מחדש בזמן הייבוא לא תתאים בייט אחר בייט, אבל המפתח הציבורי והנושא עדיין יתאימו.

לא ניתן לייצוא אינו זהה ללא שמיש. מפתח שלא יכול לצאת מהמכשיר יכול עדיין לשמש כל אפליקציה שהמשתמש מאשר לה לבחור את הכינוי הזה, ולכן בקשת הכינוי היא בקרה אמיתית ולא פורמליות. תיעוד Android Keystore שווה קריאה אחת אם אתם מקבלים את החלטת העיצוב הזו.

אחר כך חשבו על העותקים שיצרתם. ה-P12 במחשב הנייד, זה שבקובץ המצורף של הכרטיס וזה שבגיבוי של החודש שעבר הם כולם זהויות תקפות עד שהמנפיק יבטל אותן. הגנת החומרה של המופע בטלפון לא עושה דבר עבורם.

שלב 4: גלו למי שייכת דרישת נעילת המסך

שלושה סודות מתבלבלים כאן: PIN הפתיחה של המכשיר, מילת הסיסמה של המפתח הפרטי וסיסמת חשבון ה-VPN. בקשה לאחד היא אף פעם לא בקשה לאפס את האחרים, ואיפוס הלא נכון הוא הדרך שבה אנשים נועלים את עצמם מחוץ לפרופיל שעבד היטב.

כאשר מנהל מכשיר או מדיניות פרופיל מנוהל דורשים נעילה, הדרישה שייכת למדיניות הזו, לא לתעודה. adb shell dumpsys device_policy מפרט את המנהלים הפעילים ואת איכות הסיסמה שהם אוכפים, וזו הדרך המהירה ביותר לראות אם סוכן MDM הוא הסיבה שכללי ה-PIN שלכם השתנו. הסרת התעודה לא תרפה את המדיניות, והסרת המדיניות היא החלטה מנהלית ולא כוונון הגדרות.

צפו גם לפשרה בשימושיות. אם המפתח דורש אישור משתמש, המנהרה לא יכולה לעלות לפני הפתיחה הראשונה, ולכן סנכרונים מתוזמנים והתעוררויות מרחוק נכשלים לפי העיצוב. החליטו את זה לפני הפריסה, לא אחריה.

הימנעו מקיצור הדרך של עריכת locksettings.db או הפעלה חוזרת של עקיפה ישנה לדפוס שנשכח. שגרות אלה נכתבו למהדורות מסוימות, הן יכולות להשאיר את מאגר האישורים במצב שהמסגרת כבר לא מצפה לו, והן לעולם לא משנות את המדיניות שביקשה את הנעילה מלכתחילה.

שלב 5: הוציאו את הזהות משימוש ואמתו את הדחייה

להוצאה משימוש שלושה חלקים ורק הראשון מקומי. הסירו את פרופיל ה-VPN, מחקו את תעודת המשתמש תחת הגדרות, אבטחה, הצפנה ואישורים, אישורי משתמש, ואז בקשו מהמנפיק לבטל את המספר הסידורי של התעודה. המחיקה המקומית לבדה משאירה אישור שהשרת עדיין מקבל אם מישהו שמר את ה-P12.

אמתו את התוצאה במקום להניח אותה. נסו חיבור עם הפרופיל שהוצא משימוש וודאו שהשרת דוחה אותו. מנהרה שעולה בכל זאת פירושה שביטלתם את המספר הסידורי הלא נכון או שהלקוח נפל בשקט לזהות אחרת שמותקנת.

אם אתם מגלגלים אחורה ייבוא שנכשל, ייבאו שוב מהחבילה המוצפנת המקורית ובדקו שוב את טביעת האצבע במקום לעשות שימוש חוזר בקובץ מפתח מפוענח שהשארתם בדיסק.