Aláírt VPN-profil telepítése iPhone-on? Olvassa el a hasznos terheket

A profilok névvel, aláíróval és Telepítés gombbal jelennek meg a Beállításokban, és az aláíró sorát olvassa el a legtöbb ember. Ez a sor egyetlen kérdésre válaszol: ki csomagolta ezeket a beállításokat, az aláírás-ellenőrzési szabályok szerint. Nem mondja meg, hogy a VPN hasznos teher a munkáltatója átjárójára mutat-e, vagy hogy egy beágyazott főtanúsítvány a TLS megbízhatósági tárolójába való-e. Az alábbi végigvezetés abban a sorrendben nyitja ki a csomagot, ahogy az eszköz alkalmazni fogja.

Kezdje a borítékkal: ki írta alá ezt a profilt

iOS-en a profil a Beállítások, Általános, VPN és Eszközkezelés alatt jelenik meg, az aláíró pedig a Telepítés gomb felett látható. Olvassa el azt a nevet, mielőtt bármihez hozzányúl, és kérdezze meg, az az a szervezet-e, amelytől beállításokat várt. Egy érvényes aláírás olyan féltől, akit nem ismer, még érvényes aláírás, és az ő konfigurációjukat engedélyezi, nem a magáét. Ugyanez a képernyő azt is megmutatja, egyáltalán alá van-e írva a profil.

Ha a fájl egy Macen van, nézze meg, mielőtt a telefonra kerül. A biztonsági eszköz dekódolja a CMS borítékot, és kiírja a plistet, amelyet az eszköz olvasni fog, ami ugyanaz a tartalom Telepítés gomb nélkül. Az Apple konfigurációkényszerítés dokumentációja az aláírást eredet-érvényesítésként írja le, ami pontosan az itt leírt hatókör.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Álljon meg itt, ha az aláíró nem az, akire számított, vagy ha a fájl aláírás nélküli és olyan csatornán érkezett, amely nem tud érte kezeskedni. Az ezt követő lépések egyike sem tesz egy nem megbízható borítékot megbízhatóvá.

Nyissa ki az egyes hasznos terheket, és nevezze meg, mit telepítenek

A profil egy tároló, és az érdekes rész a benne lévő PayloadContent tömb. Minden bejegyzés hordoz egy PayloadType amely megmondja, mit fog telepíteni az eszköz: felügyelt VPN-konfigurációt, PKCS#12 identitást, főtanúsítványt vagy felügyeleti regisztrációt. Nyomtassa ki a típusokat, mielőtt bármelyik beállítást elolvassa.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

A VPN hasznos teher egy kapcsolatot nevez meg: kiszolgálócímet, hitelesítési módszert, és esetleg alkalmazásonkénti vagy igény szerinti szabályt. Az identitás hasznos teher azt az ügyfél-hitelesítő adatot adja, amelyet az a kapcsolat bemutat. A főtanúsítvány hasznos teher egy megbízhatósági horgonyt ad hozzá, a felügyeleti hasznos teher pedig folyamatos irányítást ad át egy kiszolgálónak. Ez négy különböző elköteleződés, és az aláírás a csomagot fedi le, nem kezeskedik mindegyikért külön-külön. Ebben a sorrendben olvassa őket, mert a VPN haszontalan az identitás nélkül, az identitás pedig keveset jelent, ha nem tudja, ki adta ki.

A fájl jelszóvédelme megint egy külön tulajdonság. A titkosított csomag elrejti a tartalmat az elől, aki nem ismeri a jelszót; azt nem dönti el, engedélyezze-e, ami benne van. Tekintse a jelszót kézbesítési mechanizmusnak, nem átvizsgálásnak.

Kövesse a tanúsítványokat addig a kapcsolatig, amely használja őket

Listázza ki a csomagban lévő tanúsítványokat, és párosítsa mindegyiket egy feladathoz. Az ügyféltanúsítvány azonosítja ezt az eszközt az átjáró felé, az őt kiadó CA abba a kapcsolatba tartozó megbízhatósági láncba tartozik, és a proxyhoz vagy belső szolgáltatáshoz telepített főtanúsítvány nem lesz automatikusan minden HTTPS oldal horgonya. iOS-en a kézzel telepített főtanúsítvány a TLS számára megbízhatatlan marad, amíg a Beállítások, Általános, Info, Tanúsítvány-megbízhatósági beállítások alatt engedélyezni nem állítja, míg a felügyelet által szállított főtanúsítvány e lépés nélkül megbízható. Pontosan ez a különbség teszi fontossá a hasznos teher célját.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Az a szolgáltató, amely az Ön forgalmát szállítja, ebből az okból nem TLS végpontja minden webhelynek, amelyet meglátogat. Az elfogáshoz forgalmi útra és az alkalmazás által elfogadott megbízhatósági horgonyra van szükség, és az egyetlen tanúsítványt szállító profil egyiket sem bizonyítja. Kérdezze meg, melyik kapcsolat használja a tanúsítványt, és mely alkalmazások fogadják el, ahelyett hogy feltételezné, a profil telepítése mindent visszafejt.

Telepítés után: ellenőrizzen, és tudja, mit tesz az eltávolítás

Amikor a profil telepítve van, az eszközön erősítse meg, ne a letöltött fájlból. A beállítások képernyő kilistázza a telepített profilt, annak aláíróját és hasznos terheit, a VPN képernyő pedig megmutatja, a kapcsolat a szándéknak megfelelően van-e beállítva. A letöltött fájl törlése nem távolít el semmit; a telepített konfiguráció külön objektum.

profiles show -type configuration
scutil --nc list

Ha a profil felügyeleti regisztrációt is tartalmaz, olvassa el az eltávolítás következményeit a telepítés előtt, ne utána. A regisztráció eltávolítása magával viszi a kapcsolódó konfigurációkat, és eltávolíthat felügyelt alkalmazásokat is, attól függően, hogyan regisztrálták az eszközt. Ez nem javítási lépés, amelyet egy hibásnak tűnő tanúsítvány esetén ki kell próbálni. Kérdezze meg a rendszergazdát, melyik hasznos teher birtokolja a problémát, mielőtt bármit eltávolít.

A végigvezetés négy külön válasszal zárul: ki írta alá a csomagot, milyen hasznos terheket telepít, milyen identitást és megbízhatóságot használ az egyes kapcsolatok, és mit vinne magával az eltávolítás. Tartsa ezeket külön, és az aláírt profil átgondolt döntéssé válik egy zöld pipa helyett.