Memasang Profil VPN Bertanda Tangan di iPhone? Baca Muatannya

Profil muncul di Pengaturan dengan nama, penanda tangan, dan tombol Pasang, dan baris penanda tangan itulah yang paling banyak dibaca orang. Baris itu menjawab satu pertanyaan: siapa yang mengemas pengaturan ini, menurut aturan verifikasi tanda tangan. Baris itu tidak menyatakan bahwa muatan VPN menunjuk ke gateway perusahaan Anda, atau bahwa sertifikat root yang tertanam memang pantas masuk ke penyimpanan kepercayaan TLS Anda. Panduan di bawah ini membuka paket sesuai urutan perangkat akan menerapkannya.

Mulai dari amplop: siapa yang menandatangani profil ini

Di iOS profil muncul di Pengaturan, Umum, VPN dan Manajemen Perangkat, dengan nama penanda tangan tertera di atas tombol Pasang. Bacalah nama itu sebelum Anda menyentuh apa pun, dan tanyakan apakah itu organisasi yang Anda harapkan mengirim pengaturan. Tanda tangan yang sah dari pihak yang tidak Anda kenali tetap tanda tangan yang sah, dan itu mengesahkan konfigurasi mereka, bukan konfigurasi Anda. Layar yang sama juga memberi tahu apakah profil itu ditandatangani sama sekali.

Kalau Anda punya berkasnya di Mac, periksa dulu sebelum sampai ke ponsel. Alat keamanan itu mendekode amplop CMS dan mencetak plist yang akan dibaca perangkat, yaitu isi yang sama tanpa tombol Pasang menghalangi. Dokumentasi Apple tentang penegakan konfigurasi menyebut penandatanganan sebagai validasi asal, yang persis merupakan cakupan yang dibahas di sini.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Berhenti di sini kalau penanda tangan bukan yang Anda harapkan, atau kalau berkasnya tidak ditandatangani dan datang lewat saluran yang tidak bisa menjaminnya. Tidak ada bagian berikutnya dalam panduan ini yang membuat amplop tak tepercaya menjadi tepercaya.

Buka setiap muatan dan sebutkan apa yang dipasangnya

Profil adalah wadah, dan bagian menariknya adalah PayloadContent di dalamnya. Setiap entri membawa PayloadType yang menyatakan apa yang akan dipasang perangkat: konfigurasi VPN terkelola, identitas PKCS#12, sertifikat root, atau pendaftaran manajemen. Cetak jenisnya sebelum Anda membaca pengaturannya.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Muatan VPN menyebut sebuah koneksi: alamat server, metode autentikasi, dan mungkin aturan per aplikasi atau sesuai permintaan. Muatan identitas menyediakan kredensial klien yang akan ditampilkan koneksi itu. Muatan sertifikat root menambah jangkar kepercayaan, dan muatan manajemen menyerahkan kendali berkelanjutan ke server. Itu empat komitmen berbeda, dan tanda tangan mencakup paketnya, bukan menjamin masing-masing secara terpisah. Baca dalam urutan itu, karena VPN tidak berguna tanpa identitas, dan identitas tidak berarti banyak tanpa mengetahui siapa yang menerbitkannya.

Perlindungan kata sandi pada berkas adalah sifat lain lagi. Paket terenkripsi menyembunyikan isinya dari orang tanpa kata sandi; itu tidak memutuskan apakah Anda sepatutnya mengesahkan isinya. Perlakukan kata sandi sebagai mekanisme pengiriman, bukan sebagai peninjauan.

Lacak sertifikat sampai ke koneksi yang memakainya

Daftar sertifikat di dalam paket dan cocokkan masing-masing dengan tugasnya. Sertifikat klien mengenali perangkat ini kepada gateway, CA yang menerbitkannya masuk ke rantai kepercayaan untuk koneksi itu, dan root yang dipasang untuk proksi atau layanan internal tidak otomatis menjadi jangkar bagi setiap situs HTTPS. Di iOS, root yang dipasang dengan tangan tetap tidak tepercaya untuk TLS sampai Anda mengaktifkannya di Pengaturan, Umum, Info, Setelan Kepercayaan Sertifikat, sedangkan root yang dikirim lewat manajemen tepercaya tanpa langkah itu. Perbedaan itulah alasan tujuan muatan menjadi penting.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Penyedia yang membawa lalu lintas Anda bukan, karena itu, titik akhir TLS setiap situs yang Anda kunjungi. Intersepsi memerlukan jalur lalu lintas dan jangkar kepercayaan yang diterima aplikasi, dan profil yang membawa satu sertifikat tidak membuktikan keduanya. Tanyakan koneksi mana yang memakai sertifikat itu dan aplikasi mana yang akan menerimanya, bukan menganggap bahwa memasang profil mendekripsi segalanya.

Setelah pemasangan: verifikasi, dan pahami apa yang dilakukan penghapusan

Setelah profil terpasang, pastikan dari perangkatnya, bukan dari berkas yang Anda unduh. Layar pengaturan mencantumkan profil yang terpasang, penanda tangannya, dan muatannya, dan layar VPN menunjukkan apakah koneksi dikonfigurasi sesuai maksud. Menghapus berkas unduhan tidak menghapus apa pun; konfigurasi yang terpasang adalah objek terpisah.

profiles show -type configuration
scutil --nc list

Kalau profil menyertakan pendaftaran manajemen, bacalah konsekuensi penghapusannya sebelum memasang, bukan sesudahnya. Menghapus pendaftaran itu membawa serta konfigurasi terkait dan dapat menghapus aplikasi terkelola, tergantung bagaimana perangkat didaftarkan. Itu bukan langkah perbaikan yang dicoba saat sertifikat terlihat salah. Tanyakan kepada administrator muatan mana yang memiliki masalahnya sebelum menghapus apa pun.

Panduan ini berakhir dengan empat jawaban terpisah: siapa yang menandatangani paket, muatan apa yang dipasangnya, identitas dan kepercayaan apa yang dipakai setiap koneksi, dan apa yang akan ikut terhapus. Jaga keempatnya tetap terpisah, dan profil bertanda tangan menjadi keputusan yang ditinjau, bukan tanda centang hijau.