Cara mengimpor sertifikat VPN di Android dan memverifikasi kuncinya

Mengimpor sertifikat klien VPN di Android memakan waktu beberapa menit. Memeriksa apakah sertifikat itu mendarat di tempat yang benar memakan waktu lebih lama, dan itulah bagian yang paling sering dilewati orang begitu dialog pemasangan menyatakan berhasil. Pesan berhasil hanya berarti berkasnya berhasil diurai. Pesan itu tidak menjelaskan penyedia mana yang memegang kunci privat atau apakah masih ada salinan di folder Downloads Anda.

Langkah 1: Baca P12 sebelum berkas itu meninggalkan mesin Anda

Mulailah dari berkasnya sendiri. Jika Anda tidak dapat menyebut subjek, penerbit, dan tanggal kedaluwarsa di dalamnya, Anda mengimpor sesuatu yang tidak akan bisa Anda verifikasi nanti.

Bundel PKCS#12 biasanya membawa sertifikat klien, kunci privatnya, dan rantai penerbit. openssl pkcs12 -in client.p12 -info -noout mencetak MAC dan algoritme enkripsi tanpa membuang materi kunci, sehingga Anda dapat melihat apakah bundel dilindungi kata sandi dan dengan sandi apa. Lanjutkan dengan keytool -list -v -keystore client.p12 -storetype PKCS12 untuk mendapatkan alias, sidik jari SHA-256, dan jendela masa berlaku yang akan Anda bandingkan dengan ponsel.

Kirim kata sandi melalui saluran berbeda dari berkasnya, atau serahkan berkas itu dalam alur distribusi terkelola yang tidak meninggalkan salinan. Kata sandi yang ditempel di pesan obrolan yang sama dengan arsipnya mengubah dua kendali menjadi satu.

Langkah 2: Pasang di slot yang benar-benar dibaca aplikasi VPN

Pada Android 11 hingga 14 stok, jalurnya melewati Setelan, Keamanan, Enkripsi dan kredensial, Pasang sertifikat, lalu VPN dan sertifikat pengguna aplikasi. Kata-katanya dan penyarangannya berubah antar rilis dan kulit pabrikan, jadi ikuti label jenis kredensial, bukan posisi menu yang dihafal. Di profil kerja, pasang dari dalam sisi kerja, karena kredensial tidak melintasi batas profil.

Jangan menaruh identitas klien di slot sertifikat CA. Slot itu memberi makan penyimpanan kepercayaan pengguna, dan sejak Android 7 aplikasi mengabaikan CA yang ditambahkan pengguna kecuali konfigurasi keamanan jaringannya mengizinkan, sehingga sertifikat klien yang ditaruh di sana tidak pernah muncul di pemilih kunci VPN.

Sebagian klien VPN tidak pernah menyentuh penyimpanan sistem dan mengimpor P12 ke direktori aplikasinya sendiri. Itu rancangan yang sah, tetapi mengubah setiap langkah berikutnya: kunci kini hidup di dalam sandbox aplikasi dan persis sekuat cara aplikasi itu menangani penyimpanannya sendiri. Periksa dokumentasi klien sebelum menganggap KeyChain ikut bermain.

Langkah 3: Buktikan penyedia mana yang memegang kunci

Impor menegaskan penguraian, bukan dukungan perangkat keras. Pada Android 12 dan setelahnya, KeyInfo.getSecurityLevel() melaporkan apakah kunci berada di Lingkungan Eksekusi Tepercaya, di StrongBox, atau di perangkat lunak, dan ini menggantikan panggilan isInsideSecureHardware() yang lebih lama. Jika klien VPN tidak menampilkan nilai itu, sidik jari dari langkah 1 adalah cadangan Anda. Sertifikat yang dikodekan ulang saat impor tidak akan cocok byte demi byte, tetapi kunci publik dan subjeknya tetap cocok.

Tidak dapat diekspor bukan berarti tidak dapat dipakai. Kunci yang tidak dapat meninggalkan perangkat masih dapat dipakai oleh aplikasi mana pun yang diizinkan pengguna untuk memilih alias itu, dan itulah sebabnya perintah alias adalah kendali nyata, bukan formalitas. Dokumentasi Android Keystore layak dibaca sekali jika Anda mengambil keputusan rancangan itu.

Lalu hitung salinan yang Anda buat. P12 di laptop Anda, yang di lampiran tiket, dan yang di cadangan bulan lalu semuanya masih identitas yang sah sampai penerbit mencabutnya. Perlindungan perangkat keras pada instans di ponsel tidak melakukan apa pun untuk itu.

Langkah 4: Cari tahu siapa pemilik persyaratan kunci layar

Tiga rahasia tertukar di sini: PIN buka kunci perangkat, frasa sandi kunci privat, dan kata sandi akun VPN. Permintaan untuk satu tidak pernah menjadi permintaan mengatur ulang yang lain, dan mengatur ulang yang salah adalah cara orang mengunci diri dari profil yang tadinya berjalan baik.

Ketika administrator perangkat atau kebijakan profil terkelola mensyaratkan kunci, persyaratan itu milik kebijakan tersebut, bukan milik sertifikat. adb shell dumpsys device_policy mendaftar administrator aktif dan mutu kata sandi yang mereka tegakkan, yang merupakan cara tercepat untuk melihat apakah agen MDM menjadi alasan aturan PIN Anda berubah. Menghapus sertifikat tidak akan melonggarkan kebijakan, dan menghapus kebijakan adalah keputusan administratif, bukan penyetelan biasa.

Perkirakan juga kompromi kegunaan. Jika kunci memerlukan otorisasi pengguna, terowongan tidak dapat naik sebelum buka kunci pertama, sehingga sinkronisasi terjadwal dan bangun jarak jauh gagal secara rancangan. Putuskan itu sebelum penerapan, bukan sesudahnya.

Hindari jalan pintas menyunting locksettings.db atau memutar ulang akal-akalan pola terlupakan yang lama. Rutin itu ditulis untuk build tertentu, dapat meninggalkan penyimpanan kredensial dalam keadaan yang tidak lagi diharapkan kerangka kerja, dan tidak pernah mengubah kebijakan yang meminta kunci itu sejak awal.

Langkah 5: Pensiunkan identitas dan verifikasi penolakannya

Pensiun memiliki tiga bagian dan hanya bagian pertama yang lokal. Hapus profil VPN, hapus sertifikat pengguna di Setelan, Keamanan, Enkripsi dan kredensial, Kredensial pengguna, lalu minta penerbit mencabut nomor seri sertifikat. Penghapusan lokal saja meninggalkan kredensial yang masih diterima server jika seseorang menyimpan P12.

Verifikasi hasilnya daripada menganggapnya. Coba koneksi dengan profil yang dipensiunkan dan pastikan server menolaknya. Terowongan yang masih naik berarti Anda mencabut nomor seri yang salah atau klien diam-diam jatuh ke identitas lain yang terpasang.

Jika Anda mengembalikan impor yang gagal, impor ulang dari bundel terenkripsi asli dan periksa ulang sidik jari daripada memakai ulang berkas kunci yang sudah didekripsi yang Anda tinggalkan di disk.