Instalacija potpisanog VPN profila na iPhone? Pročitajte sadržaje

Profili dolaze u Postavke s imenom, potpisnikom i gumbom Instaliraj, a redak s potpisnikom je dio koji većina ljudi pročita. Taj redak odgovara na jedno pitanje: tko je zapakirao ove postavke, prema pravilima provjere potpisa. Ne kaže da VPN sadržaj pokazuje na pristupnik vaše tvrtke, ni da ugrađeni korijenski certifikat pripada vašem TLS spremištu povjerenja. Vodič u nastavku otvara paket redoslijedom kojim će ga uređaj primijeniti.

Počnite s omotnicom: tko je potpisao ovaj profil

Na iOS-u se profil pojavljuje pod Postavke, Općenito, VPN i Upravljanje uređajem, s potpisnikom iznad gumba Instaliraj. Pročitajte to ime prije nego što bilo što dodirnete i pitajte je li to organizacija od koje ste očekivali postavke. Valjan potpis strane koju ne prepoznajete i dalje je valjan potpis, i on ovlašćuje njihovu konfiguraciju, a ne vašu. Isti zaslon kaže i je li profil uopće potpisan.

Ako datoteku imate na Macu, pregledajte je prije nego stigne na telefon. Sigurnosni alat dekodira CMS omotnicu i ispisuje plist koji će uređaj čitati, a to je isti sadržaj bez gumba Instaliraj na putu. Appleova dokumentacija o provedbi konfiguracije opisuje potpisivanje kao provjeru podrijetla, što je upravo opseg opisan ovdje.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Zaustavite se ovdje ako potpisnik nije onaj kojeg ste očekivali ili ako je datoteka nepotpisana i stigla kanalom koji ne može jamčiti za nju. Ništa kasnije u ovom vodiču ne čini nepouzdanu omotnicu pouzdanom.

Otvorite svaki sadržaj i imenujte što instalira

Profil je spremnik, a zanimljiv dio je polje PayloadContent unutar njega. Svaki zapis nosi PayloadType koje kaže što će uređaj instalirati: upravljanu VPN konfiguraciju, PKCS#12 identitet, korijenski certifikat ili upis u upravljanje. Ispišite vrste prije nego što pročitate bilo koju postavku.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN sadržaj imenuje vezu: adresu poslužitelja, metodu autentifikacije i moguće pravilo po aplikaciji ili na zahtjev. Sadržaj identiteta daje vjerodajnicu klijenta koju će ta veza predstaviti. Sadržaj korijenskog certifikata dodaje sidro povjerenja, a sadržaj upravljanja predaje trajnu kontrolu poslužitelju. To su četiri različite obveze, a potpis pokriva paket umjesto da jamči za svaku zasebno. Čitajte ih tim redom, jer je VPN beskoristan bez identiteta, a identitet malo znači bez znanja tko ga je izdao.

Zaštita datoteke lozinkom opet je zasebno svojstvo. Šifrirani paket skriva sadržaj od nekoga bez lozinke; on ne odlučuje trebate li odobriti ono što je unutra. Tretirajte lozinku kao mehanizam dostave, a ne kao pregled.

Pratite certifikate do veze koja ih koristi

Popišite certifikate u paketu i svakome pridružite posao. Klijentski certifikat predstavlja ovaj uređaj pristupniku, CA koji ga je izdao pripada lancu povjerenja za tu vezu, a korijen instaliran za proxy ili internu uslugu nije automatski sidro za svaku HTTPS stranicu. Na iOS-u korijen instaliran ručno ostaje nepouzdan za TLS dok ga ne omogućite pod Postavke, Općenito, O telefonu, Postavke povjerenja certifikata, dok je korijen dostavljen upravljanjem pouzdan bez tog koraka. Upravo je ta razlika razlog zašto je svrha sadržaja važna.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Pružatelj koji prenosi vaš promet nije zbog toga TLS odredište svake web stranice koju posjetite. Presretanje treba put prometa i sidro povjerenja koje aplikacija prihvaća, a profil s jednim certifikatom ne dokazuje ni jedno. Pitajte koja veza koristi certifikat i koje će ga aplikacije prihvatiti, umjesto da pretpostavite da instalacija profila dešifrira sve.

Nakon instalacije: provjerite i znajte što uklanjanje čini

Kad je profil instaliran, potvrdite ga s uređaja, a ne iz datoteke koju ste preuzeli. Zaslon postavki navodi instalirani profil, njegova potpisnika i sadržaje, a VPN zaslon pokazuje je li veza konfigurirana kako je predviđeno. Brisanje preuzete datoteke ne uklanja ništa; instalirana konfiguracija je zaseban objekt.

profiles show -type configuration
scutil --nc list

Ako profil uključuje upis u upravljanje, pročitajte posljedice uklanjanja prije instalacije, a ne poslije. Uklanjanje tog upisa odnosi sa sobom povezane konfiguracije i može ukloniti upravljane aplikacije, ovisno o tome kako je uređaj upisan. To nije korak popravka koji treba isprobati kad certifikat izgleda pogrešno. Pitajte administratora koji sadržaj posjeduje problem prije nego bilo što uklonite.

Vodič završava s četiri odvojena odgovora: tko je potpisao paket, koje sadržaje instalira, koji identitet i povjerenje svaka veza koristi, i što bi uklanjanje odnijelo sa sobom. Držite ih odvojenima i potpisani profil postaje pregledana odluka umjesto zelene kvačice.