Դուք մեկ VPN պրոֆիլ ուղարկեցիք բոլորին, և այն պարունակում է ձեր գաղտնաբառը
Պահեք ընդհանուր Apple VPN պրոֆիլը միայն կարգավորումների համար և յուրաքանչյուրին տվեք իր սեփական հավատարմագիրը։ Առանձնացրեք հանձնումը, ապա փոխարինեք արտահոսած գաղտնաբառերը թողարկողի մոտ։
Պրոֆիլը տեղադրվում է մաքուր, բոլորը միանում են, և հետո հաշվի գաղտնաբառը պտտվում է։ Ֆայլը ստացած յուրաքանչյուր սարք դադարում է նույնականացվել նույն րոպեին, քանի որ բոլորը կրում են նույն գաղտնիքը։ Դա է նշանը՝ մեկ հավատարմագիր, որը պատճենվել է ընդհանուր արտեֆակտի մեջ, սովորական գաղտնաբառի փոփոխությունը դարձնում է ամբողջ նավատորմի խափանում։ Կրկնօգտագործվող կոնֆիգուրացիան և անհատական ինքնությունը որպես երկու առանձին հանձնում պահելը խուսափում է դրանից, և Apple-ի սեփական սարքերի կառավարման փաստաթղթերը պրոֆիլները դիտարկում են որպես կարգավորումներ և լիազորում, ոչ թե գաղտնիքների պահոց։
Ախտանիշը ի հայտ է գալիս առաջին պտույտի ժամանակ
mobileconfig ֆայլը XML է կամ ստորագրված plist։ Պատճեն ունեցող ցանկացած ոք կարող է վերծանել բեռը և կարդալ, թե ինչ կա դրա մեջ, ուստի ձևանմուշում AuthPassword արժեքը հավատարմագիր է բաց տեքստով՝ անսովոր ֆայլի ընդլայնմամբ։ Ստորագրումը փոխում է ամբողջականությունը և ծագումը, ոչ թե ընթեռնելիությունը։ Մինչ այդ, այն մասերը, որոնք դուք իսկապես ուզում եք կիսել, ինչպիսիք են դարպասի հասցեն, սերվերի ակնկալվող ինքնությունը և երթևեկության քաղաքականությունը, նույնն են բոլորի համար։
Դասավորեք դաշտերը նախքան որևէ բան խմբագրելը, որովհետև սահմանը այնտեղ չէ, որտեղ մարդիկ ենթադրում են։
Առանձնացրեք ընդհանուր կարգավորումները անհատական հավատարմագրերից
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
Ինտերակտիվ ուղին գաղտնաբառը դուրս թողնելն է և թույլ տալ աջակցվող նույնականացման կարգավորքին պահանջել այն։ Կարդացեք սա ուշադիր՝ միայն նման տեսք ունեցող դաշտը ջնջելը ինտերակտիվ մուտքի համընդհանուր փոխակերպում չէ։ IKEv2 բեռը տարբերություն է դնում AuthName և AuthPassword միջև, և նույնականացման մեթոդը որոշում է՝ արդյոք հարցումն ընդհանրապես հասանելի է՝ վկայագրի վրա հիմնված մեթոդը բոլորովին գաղտնաբառ չի պահանջի։
Վկայագրերը նույնպես ընդհանուր բանալի չեն պահանջում
Եթե դարպասը ակնկալում է վկայագրով նույնականացում, գրանցեք նախատեսված օգտվողի կամ սարքի ինքնությունը հաստատված մեխանիզմով և մասնավոր բանալին պահեք ձևանմուշից դուրս։ Յուրաքանչյուր պատճենում մեկ ընդհանուր մասնավոր բանալի ձեզ տալիս է նույն պտույտի խնդիրը ավելի վատ ազդեցության շառավղով, քանի որ բանալին հնարավոր չէ չեղարկել անձով, եթե այն անձով չի թողարկվել։
Գրանցեք այդ ինքնության թողարկումը, թարմացումը և չեղարկումը պրոֆիլի վերանայման կողքին։ Երբ երկուսը հետևվում են միասին, թարմացումը պլանավորված առաջադրանք է, ոչ թե միջադեպ։
Առանց հսկողության մեքենաներին երրորդ պատասխան է պետք
Մեքենան, որը պետք է միանա նախքան ինչ-որ մեկը մուտք կգործի, չի կարող պատասխանել արգելքին։ Սա տարբեր պահանջ է, քան մուտք գործած անձի համար կարգավորումը հեշտացնելը, և այն պետք է լուծվի կառավարվող ինքնությամբ կամ դարպասի սեփականատիրոջ հետ համաձայնեցված սարքային վկայագրով, ոչ թե պրոֆիլում մարդկային գաղտնաբառ պահելով։
Գաղտնաբառ պահելը նույնպես չի վերացնում երկրորդ գործոնը։ Եթե դարպասը պահանջում է MFA, պահված գաղտնաբառով պրոֆիլը միացման ժամանակ դեռ ձախողվում է, և ձախողումը նման է կոտրված պրոֆիլի, ոչ թե բացակայող գործոնի։
Ստուգեք այն արտեֆակտը, որն իրականում ստեղծվել է
Ձևանմուշները ստում են բացթողումով։ Կառավարման ծառայությունը կամ արտահանման գործիքը կարող է հավատարմագրեր ներարկել պատրաստի ֆայլում, իսկ ուղեկցող ինքնության բեռերը կամ ախտորոշիչ պատճենները կարող են կրել նյութ, որը ձևանմուշը երբեք չի ցուցադրել։ Բացեք ստեղծված արտեֆակտը նախքան որոշելը, թե ով կարող է ստանալ այն։ Պահպանեք նաև վստահելի թողարկողի և սերվերի ակնկալվող ինքնության կարգավորումները անփոփոխ՝ գաղտնաբառը հեռացնելը պատճառ չէ թուլացնելու դարպասի նկատմամբ վստահությունը։
Եթե իրական գաղտնաբառը կամ մասնավոր ինքնությունը արդեն չափազանց լայն տարածվել է, չեղարկեք այն թողարկողի մոտ և փոխարինեք։ Վաղվա ձևանմուշը խմբագրելը ոչինչ չի անում արդեն տեղադրված պատճենների համար, և այդ պատճենները կշարունակեն նույնականացվել, քանի դեռ նրանց հետևում գտնվող հավատարմագիրը հետ չի վերցվել։
Ընդունեք հանձնումը փորձնական ինքնությամբ
Տեղադրեք հաստատված հոսքով առանձին փորձնական ինքնություն գրանցված սարքում, ավարտեք նախատեսված նույնականացումը և հասեք մասնավոր ռեսուրսին, փոխանակ պարզապես դիտեք թունելի բարձրացումը։ Հաստատեք, որ պրոֆիլը հավատարմագրային նյութ չի պարունակում, ապա հաստատեք, որ հավատարմագիրը գոյություն ունի թարմացվելիք ինքնության գրառման մեջ։ Այդ զույգն է ընդունման թեստը։
Մեկ վերանայում ընդհանուր կարգավորումների համար, մեկ գրառում յուրաքանչյուր անձի համար, և չեղարկման ուղի, որն իրոք մեկ անգամ օգտագործել եք։