שלחתם פרופיל VPN אחד לכולם והוא מכיל את הסיסמה שלכם
הגבילו פרופיל Apple VPN משותף להגדרות בלבד ומסרו לכל אדם את פרטי הגישה שלו. פצלו את המסירה, ואז החליפו סיסמאות שדלפו אצל המנפיק.
הפרופיל מותקן בצורה נקייה, כולם מתחברים, ואז סיסמת החשבון מוחלפת. כל מכשיר שקיבל את הקובץ מפסיק להזדהות באותה דקה, משום שכולם נושאים את אותו סוד. זה הסימן: פרט גישה אחד שהועתק לארטיפקט משותף הופך החלפת סיסמה שגרתית לתקלה בכל הצי. שמירה על התצורה הניתנת לשימוש חוזר ועל הזהות האישית כשתי מסירות נפרדות מונעת זאת, ו התיעוד של Apple לניהול מכשירים מתייחס לפרופילים כהגדרות והרשאה, לא כמאגר סודות.
התסמין מופיע בהחלפה הראשונה
קובץ mobileconfig הוא XML או plist חתום. כל מי שמחזיק עותק יכול לפענח את המטען ולקרוא מה יש בו, ולכן ערך AuthPassword בתבנית הוא פרט גישה בטקסט גלוי עם סיומת קובץ לא שגרתית. החתימה משנה שלמות ומוצא, לא קריאות. בינתיים, החלקים שבאמת רוצים לשתף, כמו כתובת השער, זהות השרת הצפויה ומדיניות התעבורה, זהים לכולם.
מיינו את השדות לפני עריכה של משהו, כי הגבול אינו במקום שאנשים מניחים.
הפרידו הגדרות משותפות מפרטי גישה אישיים
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
המסלול האינטראקטיבי הוא להשאיר את הסיסמה בחוץ ולתת למנגנון האימות הנתמך לבקש אותה. קראו זאת בעיון: מחיקת שדה שרק נראה דומה אינה המרה אוניברסלית לכניסה אינטראקטיבית. מטען IKEv2 מבדיל את AuthName לבין AuthPassword, ושיטת האימות קובעת אם בקשה בכלל ניתנת להשגה; שיטה מבוססת תעודה לא תבקש סיסמה כלל.
גם תעודות אינן זקוקות למפתח משותף
אם השער מצפה לאימות בתעודה, רשמו את זהות המשתמש או המכשיר המיועדת באמצעות המנגנון המאושר והשאירו את המפתח הפרטי מחוץ לתבנית. מפתח פרטי משותף בכל עותק נותן לכם את אותה בעיית החלפה עם רדיוס פגיעה גרוע יותר, משום שאי אפשר לבטל מפתח לפי אדם אם הוא לא הונפק לפי אדם.
תעדו הנפקה, חידוש וביטול של אותה זהות לצד עדכון הפרופיל. כששניהם נעקבים יחד, חידוש הוא משימה מתוכננת ולא תקרית.
מכונות ללא השגחה זקוקות לתשובה שלישית
מכונה שחייבת להתחבר לפני שמישהו מתחבר אינה יכולה לענות לבקשה. זו דרישה שונה מהקלה על ההתקנה עבור אדם מחובר, ויש לפתור אותה בזהות מנוהלת או בתעודה לכל מכשיר שסוכמה עם בעל השער, ולא באחסון סיסמה אנושית בפרופיל.
אחסון סיסמה גם אינו מסיר גורם שני. אם השער דורש MFA, פרופיל עם סיסמה שמורה עדיין נכשל באתחול, והכשל נראה כמו פרופיל שבור ולא כמו גורם חסר.
בדקו את הארטיפקט שנוצר בפועל
תבניות משקרות בהשמטה. שירות ניהול או כלי ייצוא יכול להזריק פרטי גישה לקובץ המוגמר, ומטעני זהות נלווים או עותקי אבחון יכולים לשאת חומר שהתבנית מעולם לא הציגה. פתחו את הארטיפקט שנוצר לפני שאתם מחליטים מי רשאי לקבל אותו. שמרו גם על הגדרות מנפיק מהימן וזהות שרת צפויה ללא שינוי; הסרת סיסמה אינה סיבה להחליש את האמון בשער.
אם סיסמה אמיתית או זהות פרטית כבר נדדו רחוק מדי, בטלו אותן אצל המנפיק והחליפו אותן. עריכת התבנית של מחר לא עושה דבר לעותקים שכבר מותקנים, והעותקים האלה ימשיכו להזדהות עד שפרט הגישה שמאחוריהם יימשך.
קבלו את המסירה בזהות בדיקה
התקינו דרך הזרימה המאושרת במכשיר שנרשם כזהות בדיקה נפרדת, השלימו את האימות המיועד והגיעו למשאב הפרטי במקום רק לצפות במנהרה עולה. אשרו שהפרופיל אינו מכיל חומר פרטי גישה, ואז אשרו שפרט הגישה קיים ברשומת הזהות שתתחדש. הצימוד הזה הוא מבחן הקבלה.
עדכון אחד להגדרות משותפות, רשומה אחת לכל אדם, ומסלול ביטול שכבר השתמשתם בו פעם אחת.