VPN-tanúsítvány importálása Androidon és a kulcs ellenőrzése

Egy VPN-ügyféltanúsítvány importálása Androidon pár percig tart. Annak ellenőrzése, hogy a megfelelő helyre került-e, tovább tart, és pontosan ezt a részt hagyja ki a legtöbb ember, amikor a telepítő párbeszédablak sikert jelez. A sikerüzenet csak azt jelenti, hogy a fájl feldolgozása sikerült. Semmit nem mond arról, melyik szolgáltató tartja a privát kulcsot, vagy hogy van-e még másolat a Downloads mappádban.

1. lépés: Olvasd el a P12-t, mielőtt elhagyja a gépedet

Kezdd magával a fájllal. Ha nem tudod megnevezni a benne lévő tárgyat, kiadót és lejárati dátumot, olyasmit importálsz, amit később nem tudsz ellenőrizni.

A PKCS#12 csomag általában ügyféltanúsítványt, annak privát kulcsát és a kiadói láncot tartalmazza. openssl pkcs12 -in client.p12 -info -noout kiírja a MAC-et és a titkosítási algoritmusokat anélkül, hogy kulcsanyagot öntene ki, így látod, hogy a csomag jelszóval védett-e és milyen rejtjellel. Utána futtasd a keytool -list -v -keystore client.p12 -storetype PKCS12 parancsot az alias, a SHA-256 ujjlenyomat és a telefonnal összehasonlítandó érvényességi időablak megszerzéséhez.

A jelszót a fájltól eltérő csatornán küldd el, vagy add át a fájlt egy felügyelt terjesztési folyamatban, amely nem hagy maga után másolatot. Az archívummal azonos csevegőüzenetbe illesztett jelszó két ellenőrzést egyetlenre olvaszt.

2. lépés: Telepítsd abba a helybe, amelyet a VPN-alkalmazás valóban olvas

Gyári Android 11 és 14 között az útvonal a Beállítások, Biztonság, Titkosítás és hitelesítő adatok, Tanúsítvány telepítése, majd a VPN és az alkalmazás felhasználói tanúsítványa menüponton át vezet. A megfogalmazás és a beágyazás kiadásonként és gyártói felületenként változik, ezért a hitelesítő adat típusának címkéjét kövesd, ne egy megjegyzett menüpozíciót. Munkahelyi profilban a munkaoldal belsejéből telepíts, mert a hitelesítő adatok nem lépik át a profil határát.

Ne tegyél ügyfél-identitást a CA-tanúsítvány helyére. Az a hely a felhasználói megbízhatósági tárolót táplálja, és az Android 7 óta az alkalmazások figyelmen kívül hagyják a felhasználó által hozzáadott CA-kat, hacsak a hálózati biztonsági konfigurációjuk nem engedi, így az ott hagyott ügyféltanúsítvány soha nem jelenik meg a VPN kulcsválasztójában.

Egyes VPN-ügyfelek soha nem nyúlnak a rendszertárhoz, és inkább a saját alkalmazáskönyvtárukba importálják a P12-t. Ez legitim tervezés, de minden későbbi lépést megváltoztat: a kulcs most az alkalmazás homokozójában él, és pontosan olyan erős, amilyen jól az az alkalmazás kezeli a saját tárolóját. Nézd meg az ügyfél dokumentációját, mielőtt feltételezed, hogy a KeyChain játszik.

3. lépés: Bizonyítsd, melyik szolgáltató tartja a kulcsot

Az importálás az elemzést igazolja, nem a hardveres támogatást. Android 12-től a KeyInfo.getSecurityLevel() jelenti, hogy egy kulcs a Megbízható végrehajtási környezetben, a StrongBoxban vagy szoftverben van-e, és leváltja a régebbi isInsideSecureHardware() hívást. Ha a VPN-ügyfél nem mutatja ezt az értéket, az 1. lépés ujjlenyomata a tartalékod. Az importálás közben újrakódolt tanúsítvány nem egyezik bájtra bájtra, de a nyilvános kulcs és a tárgy igen.

A nem exportálható nem ugyanaz, mint a használhatatlan. Egy kulcsot, amely nem hagyhatja el az eszközt, továbbra is használhat bármely alkalmazás, amelynek a felhasználó engedélyezi az adott alias kiválasztását, ezért az alias-kérés valódi ellenőrzés és nem formalitás. Az Android Keystore dokumentációja megér egy olvasást, ha ezt a tervezési döntést hozod.

Utána számolj a készített másolatokkal. A laptopodon lévő P12, a jegy mellékletében lévő és a múlt havi biztonsági mentésben lévő mind érvényes identitás, amíg a kiadó vissza nem vonja őket. A telefonon lévő példány hardveres védelme ezekért semmit nem tesz.

4. lépés: Találd meg, kié a képernyőzár-követelmény

Három titok keveredik itt: az eszköz feloldási PIN-je, a privát kulcs jelszava és a VPN-fiók jelszava. Az egyikre vonatkozó kérés soha nem kérés a többi visszaállítására, és a rossz visszaállítása az, ahogy az emberek kizárják magukat egy jól működő profilból.

Amikor egy eszközadminisztrátor vagy egy felügyelt profil szabályzata zárat ír elő, a követelmény ahhoz a szabályzathoz tartozik, nem a tanúsítványhoz. A adb shell dumpsys device_policy felsorolja az aktív adminisztrátorokat és az általuk érvényesített jelszóminőséget, ami a leggyorsabb módja annak eldöntésére, hogy egy MDM-ügynök miatt változtak-e a PIN-szabályaid. A tanúsítvány eltávolítása nem lazítja a szabályzatot, a szabályzat eltávolítása pedig adminisztratív döntés, nem beállítási módosítás.

Számíts használhatósági kompromisszumra is. Ha a kulcs felhasználói engedélyezést kér, az alagút az első feloldás előtt nem jöhet fel, így az ütemezett szinkronizálások és a távoli ébresztések tervezés szerint meghiúsulnak. Ezt a bevezetés előtt döntsd el, ne utána.

Kerüld azt a rövidítést, hogy a locksettings.db-t szerkeszted, vagy egy régi, elfelejtett mintázat megoldását újra lejátszod. Ezeket a rutinokat adott buildekhez írták, a hitelesítő tárolót olyan állapotban hagyhatják, amelyet a keretrendszer már nem vár, és soha nem változtatják meg a zárat eredetileg kérő szabályzatot.

5. lépés: Vond ki az identitást és ellenőrizd az elutasítást

A kivonásnak három része van, és csak az első helyi. Távolítsd el a VPN-profilt, töröld a felhasználói tanúsítványt a Beállítások, Biztonság, Titkosítás és hitelesítő adatok, Felhasználói hitelesítő adatok alatt, majd kérjed meg a kiadót a tanúsítvány sorszámának visszavonására. A helyi törlés önmagában olyan hitelesítő adatot hagy, amelyet a szerver még elfogad, ha valaki megtartotta a P12-t.

Ellenőrizd az eredményt ahelyett, hogy feltételeznéd. Próbálj kapcsolatot a kivont profillal, és igazold, hogy a szerver elutasítja. Az az alagút, amely még feljön, azt jelenti, hogy rossz sorszámot vontál vissza, vagy az ügyfél csendben egy másik telepített identitásra esett vissza.

Ha egy sikertelen importálást állítasz vissza, importálj újra az eredeti titkosított csomagból, és ellenőrizd újra az ujjlenyomatot ahelyett, hogy a lemezen hagyott visszafejtett kulcsfájlt használnád újra.