Anda mengirim satu profil VPN ke semua orang dan di dalamnya ada kata sandi Anda

Profil terpasang dengan bersih, semua orang terhubung, lalu kata sandi akun dirotasi. Setiap perangkat yang menerima berkas itu berhenti melakukan autentikasi pada menit yang sama, karena semuanya membawa rahasia yang sama. Itulah tandanya: satu kredensial yang disalin ke artefak bersama mengubah pergantian kata sandi rutin menjadi gangguan di seluruh armada. Menjaga konfigurasi yang dapat dipakai ulang dan identitas perorangan sebagai dua penyerahan terpisah menghindarinya, dan dokumentasi manajemen perangkat milik Apple sendiri memperlakukan profil sebagai pengaturan dan otorisasi, bukan sebagai penyimpanan rahasia.

Gejalanya muncul pada rotasi pertama

Berkas mobileconfig adalah XML atau plist bertanda tangan. Siapa pun yang memegang salinan dapat mendekode muatannya dan membaca isinya, jadi nilai AuthPassword dalam templat adalah kredensial teks polos dengan ekstensi berkas yang tidak biasa. Penandatanganan mengubah integritas dan asal, bukan keterbacaan. Sementara itu, bagian yang benar-benar ingin Anda bagikan, seperti alamat gateway, identitas server yang diharapkan, dan kebijakan lalu lintas, identik untuk semua orang.

Urutkan bidang sebelum menyunting apa pun, karena batasnya bukan di tempat yang orang duga.

Pisahkan pengaturan bersama dari kredensial perorangan

Jalur interaktif adalah membiarkan kata sandi di luar dan membiarkan susunan autentikasi yang didukung memintanya. Baca dengan cermat: menghapus bidang yang hanya tampak serupa bukanlah konversi universal ke login interaktif. Muatan IKEv2 membedakan AuthName dari AuthPassword, dan metode autentikasi menentukan apakah permintaan bahkan dapat dijangkau; metode berbasis sertifikat tidak akan meminta kata sandi sama sekali.

Sertifikat juga tidak memerlukan kunci bersama

Jika gateway mengharapkan autentikasi sertifikat, daftarkan identitas pengguna atau perangkat yang dimaksud melalui mekanisme yang disetujui dan jaga kunci privat tetap di luar templat. Satu kunci privat bersama di setiap salinan memberi Anda masalah rotasi yang sama dengan radius dampak lebih buruk, karena kunci tidak dapat dicabut per orang kecuali diterbitkan per orang.

Catat penerbitan, pembaruan, dan pencabutan identitas itu bersama revisi profil. Ketika keduanya dilacak bersama, pembaruan adalah tugas terjadwal, bukan insiden.

Mesin tanpa pengawasan memerlukan jawaban ketiga

Mesin yang harus terhubung sebelum siapa pun masuk tidak dapat menjawab permintaan. Ini persyaratan berbeda dari memudahkan penyiapan bagi orang yang sudah masuk, dan itu harus diselesaikan dengan identitas terkelola atau sertifikat per perangkat yang disepakati dengan pemilik gateway, bukan dengan menyimpan kata sandi manusia di dalam profil.

Menyimpan kata sandi juga tidak menghilangkan faktor kedua. Jika gateway memerlukan MFA, profil dengan kata sandi tersimpan tetap gagal saat boot, dan kegagalan itu tampak seperti profil rusak, bukan faktor yang hilang.

Periksa artefak yang benar-benar dihasilkan

Templat berbohong lewat penghilangan. Layanan manajemen atau alat ekspor dapat menyuntikkan kredensial ke berkas jadi, dan muatan identitas atau salinan diagnostik yang menyertainya dapat membawa materi yang tidak pernah ditampilkan templat. Buka artefak yang dihasilkan sebelum memutuskan siapa yang boleh menerimanya. Jaga juga pengaturan penerbit tepercaya dan identitas server yang diharapkan tetap utuh; menghapus kata sandi bukan alasan melemahkan kepercayaan pada gateway.

Jika kata sandi nyata atau identitas privat sudah menyebar terlalu luas, cabut di penerbit dan ganti. Menyunting templat besok tidak berpengaruh pada salinan yang sudah terpasang, dan salinan itu akan terus melakukan autentikasi sampai kredensial di belakangnya ditarik.

Terima penyerahan dengan identitas uji

Pasang melalui alur yang disetujui pada perangkat yang terdaftar sebagai identitas uji terpisah, selesaikan autentikasi yang dimaksud, dan capailah sumber daya privat alih-alih hanya menonton terowongan naik. Pastikan profil tidak berisi materi kredensial, lalu pastikan kredensial ada dalam catatan identitas yang akan diperbarui. Pasangan itulah uji penerimaan.

Satu revisi untuk pengaturan bersama, satu catatan per orang, dan jalur pencabutan yang benar-benar pernah Anda gunakan sekali.