Egyetlen VPN-profilt küldtél mindenkinek, és benne van a jelszavad
Tartsd a megosztott Apple VPN-profilt csak beállításokra, és adj mindenkinek saját hitelesítő adatot. Bontsd ketté az átadást, majd cseréld le a kiszivárgott jelszavakat a kibocsátónál.
A profil tisztán települ, mindenki csatlakozik, aztán a fiók jelszava megváltozik. Minden eszköz, amely megkapta a fájlt, ugyanabban a percben abbahagyja a hitelesítést, mert mind ugyanazt a titkot hordozza. Ez az árulkodó jel: egyetlen hitelesítő adat, amelyet megosztott összetevőbe másoltak, rutin jelszóváltást teljes flotta szintű kieséssé tesz. Az újrahasználható konfiguráció és az egyéni identitás két külön átadásként tartása elkerüli ezt, és az Apple saját eszközkezelési dokumentációja beállításként és engedélyezésként kezeli a profilokat, nem titoktárként.
A tünet az első forgatásnál jelentkezik
A mobileconfig fájl XML vagy aláírt plist. Bárki, aki másolatot tart, dekódolhatja a hasznos terhet, és elolvashatja, mi van benne, így a sablonban lévő AuthPassword érték egyszerű szövegű hitelesítő adat szokatlan fájlkiterjesztéssel. Az aláírás a sértetlenséget és a származást változtatja, nem az olvashatóságot. Eközben a részek, amelyeket valóban meg akarsz osztani, például az átjáró címe, a várt kiszolgálóidentitás és a forgalmi szabályzat, mindenki számára azonosak.
Rendezd a mezőket, mielőtt bármit szerkesztenél, mert a határ nem ott van, ahol az emberek hiszik.
Válaszd külön a megosztott beállításokat az egyéni hitelesítő adatoktól
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
Az interaktív út az, hogy kihagyjuk a jelszót, és a támogatott hitelesítési eljárás kérje azt. Olvasd figyelmesen: egy csak hasonlónak tűnő mező törlése nem általános átállás interaktív bejelentkezésre. Az IKEv2 hasznos teher különbséget tesz AuthName és AuthPassword között, és a hitelesítési módszer dönti el, hogy a kérés egyáltalán elérhető-e; a tanúsítványalapú módszer egyáltalán nem kér jelszót.
A tanúsítványoknak sem kell megosztott kulcs
Ha az átjáró tanúsítványos hitelesítést vár, regisztráld a szándékolt felhasználói vagy eszközidentitást a jóváhagyott mechanizmuson keresztül, és tartsd a privát kulcsot a sablonon kívül. Egyetlen megosztott privát kulcs minden másolatban ugyanazt a forgatási problémát adja rosszabb hatókörrel, mert a kulcsot nem lehet személyenként visszavonni, ha nem személyenként adták ki.
Rögzítsd az adott identitás kiadását, megújítását és visszavonását a profil revíziója mellett. Ha a kettőt együtt követed, a megújítás ütemezett feladat lesz, nem incidens.
A felügyelet nélküli gépeknek harmadik válasz kell
Egy gép, amelynek még azelőtt csatlakoznia kell, hogy bárki bejelentkezne, nem tud válaszolni egy kérésre. Ez más követelmény, mint a bejelentkezett személy számára könnyebbé tenni a beállítást, és kezelt identitással vagy az átjáró tulajdonosával egyeztetett eszközönkénti tanúsítvánnyal kell megoldani, nem emberi jelszó profilban tárolásával.
A jelszó tárolása a második tényezőt sem szünteti meg. Ha az átjáró MFA-t kér, az elmentett jelszót tartalmazó profil indításkor is elbukik, és a hiba törött profilnak látszik, nem hiányzó tényezőnek.
Ellenőrizd a ténylegesen előállított összetevőt
A sablonok kihagyással hazudnak. Egy kezelőszolgáltatás vagy exporteszköz hitelesítő adatokat injektálhat a kész fájlba, a kísérő identitáscsomagok vagy diagnosztikai másolatok pedig olyan anyagot hordozhatnak, amelyet a sablon soha nem mutatott. Nyisd meg az előállított összetevőt, mielőtt eldöntöd, ki kaphatja meg. Őrizd meg a megbízható kibocsátó és a várt kiszolgálóidentitás beállításait is; a jelszó eltávolítása nem ok az átjáróba vetett bizalom gyengítésére.
Ha egy valódi jelszó vagy privát identitás már túl széles körben terjedt, vonasd vissza a kibocsátónál, és cseréld le. A holnapi sablon szerkesztése semmit nem tesz a már telepített másolatokkal, és azok addig folytatják a hitelesítést, amíg a mögöttük lévő hitelesítő adatot vissza nem vonják.
Fogadd el az átadást tesztidentitással
Telepítsd a jóváhagyott folyamaton keresztül egy külön tesztidentitásként regisztrált eszközre, fejezd be a szándékolt hitelesítést, és érd el a privát erőforrást ahelyett, hogy csak az alagút felemelkedését néznéd. Erősítsd meg, hogy a profil nem tartalmaz hitelesítő adatot, majd erősítsd meg, hogy a hitelesítő adat szerepel a megújítandó identitásrekordban. Ez a pár az átvételi teszt.
Egy revízió a megosztott beállításoknak, egy rekord személyenként, és egy visszavonási útvonal, amelyet valóban egyszer használtál.