Hvernig á að flytja inn VPN-skírteini á Android og staðfesta lykilinn

Að flytja inn VPN-biðlaraskírteini á Android tekur nokkrar mínútur. Að ganga úr skugga um að það hafi lent á réttum stað tekur lengri tíma, og það er sá hluti sem flestir sleppa þegar uppsetningargluggin segir að tókst. Skilaboð um árangur þýða bara að skráin hafi verið þáttuð. Þau segja ekkert um hvaða þjónustuaðili heldur einkalyklinum eða hvort eintak sitji enn í Downloads möppunni þinni.

Skref 1: Lestu P12 áður en hún yfirgefur vélina þína

Byrjaðu á skránni sjálfri. Ef þú getur ekki nefnt viðfangið, útgefandann og gildistímann inni í henni ertu að flytja inn eitthvað sem þú getur ekki sannreynt síðar.

PKCS#12-pakki ber venjulega biðlaraskírteini, einkalykil þess og útgefandakeðjuna. openssl pkcs12 -in client.p12 -info -noout prentar MAC og dulkóðunarreiknirit án að hella út lykilefni, svo þú sérð hvort pakkinn er varinn með lykilorði og með hvaða dulmáli. Fylgdu því með keytool -list -v -keystore client.p12 -storetype PKCS12 til að fá samheitið, SHA-256 fingrafarið og gildistímagluggann sem þú berð saman við símann.

Sendu lykilorðið um annan farveg en skrána, eða afhentu skrána innan stýrðs dreifingarflæðis sem skilur ekki eftir eintak. Lykilorð sem er límt í sama spjallskilaboð og skjalasafnið gerir tvær varnir að einni.

Skref 2: Settu það í raufina sem VPN-forritið les í raun

Á stöðluðu Android 11 til 14 liggur leiðin í gegnum Stillingar, Öryggi, Dulkóðun og skírteini, Setja upp skírteini, svo VPN og notendaskírteini forrits. Orðalagið og hreiðrunin færast milli útgáfa og skelja framleiðenda, svo fylgdu merkingu skírteinategundarinnar frekar en innulærðri valmyndarstöðu. Í vinnusniði skaltu setja upp innan frá vinnuhliðinni, því skírteini fara ekki yfir sniðmörkin.

Setja ekki biðlarafvild í CA-skírteinisraufina. Sú rauf fæðir traustgeymslu notandans, og frá Android 7 hafa forrit hunsað CA sem notandinn bætir við nema netöryggisstilling þeirra leyfi það, svo biðlaraskírteini sem geymt er þar birtist aldrei í VPN-lyklavalsaranum.

Sumir VPN-biðlarar snerta aldrei kerfisgeymsluna og flytja P12 í eigin forritamöppu í staðinn. Það er lögmæt hönnun, en hún breytir hverju síðara skrefi: lykillinn lifir nú inni í sandkassa forritsins og er nákvæmlega eins sterkur og forritið meðhöndlar eigin geymslu. Kannaðu skjöl biðlarans áður en þú gerir ráð fyrir að KeyChain sé í leik.

Skref 3: Sannaðu hvaða þjónustuaðili heldur lyklinum

Innflutningur staðfestir þáttun, ekki vélbúnaðarstuðning. Á Android 12 og síðar tilkynnir KeyInfo.getSecurityLevel() hvort lykill situr í Traustu keyrslumhverfi, í StrongBox eða í hugbúnaði, og það kemur í stað eldri isInsideSecureHardware() kallsins. Ef VPN-biðlarinn sýnir ekki það gildi er fingrafarið úr skrefi 1 varabúnaður þinn. Skírteini sem er endurkóðað við innflutning passar ekki bæti fyrir bæti, en almenni lykillinn og viðfangið gera það samt.

Ekki útflutningshæft er ekki það sama og ónothæft. Lykil sem getur ekki yfirgefið tækið getur samt verið notaður af hverju forriti sem notandinn heimilar að velja það samheiti, og þess vegna er samheitisbeiðnin raunveruleg vörn en ekki formsatriði. Android Keystore skjölin eru þess virði að lesa einu sinni ef þú tekur þá hönnunarákvörðun.

Gerðu þá ráð fyrir eintökunum sem þú bjóst til. P12 á fartölvunni, það í viðhengi miðans og það í öryggisafriti síðasta mánaðar eru öll enn gild auðkenni þar til útgefandinn afturkallar þau. Vélbúnaðarvörn eintaksins í símanum gerir ekkert fyrir þau.

Skref 4: Finndu hver á kröfuna um skjálæsingu

Þrjú leyndarmál ruglast hér: PIN til að opna tækið, lykilorð einkalykilsins og lykilorð VPN-reikningsins. Beiðni um eitt er aldrei beiðni um að endurstilla hin, og að endurstilla það rangt er leiðin sem fólk læsir sig út úr sniði sem virkaði vel.

Þegar tækjastjóri eða stefna stýrðs sniðs krefst læsingar tilheyrir krafan þeirri stefnu, ekki skírteininu. adb shell dumpsys device_policy telur upp virka stjórnendur og þau lykilorðsgæði sem þeir framfylgja, sem er fljótlegasta leiðin til að sjá hvort MDM-umboðsmaður er ástæðan fyrir því að PIN-reglur þínar breyttust. Að fjarlægja skírteinið slakar ekki á stefnunni, og að fjarlægja stefnuna er stjórnunarleg ákvörðun frekar en stillingarbreyting.

Búðu líka við notagildisafslætti. Ef lykillinn krefst notendaleyfis geta göngin ekki risið fyrir fyrstu opnun, svo áætluð samstilling og fjarlæg vekja mistakast að hönnun. Ákveddu það fyrir uppsetningu, ekki eftir.

Forðastu flýtileiðina að breyta locksettings.db eða spila gamla vinnulagsleysu fyrir gleymt mynstur. Þessar venjur voru skrifaðar fyrir ákveðnar byggingar, þær geta skilið skírteinageymsluna eftir í ástandi sem ramminn býst ekki lengur við, og þær breyta aldrei stefnunni sem bað um læsinguna í upphafi.

Skref 5: Taktu auðkennið úr notkun og staðfestu höfnunina

Úrnotkun hefur þrjá hluta og aðeins fyrsti er staðbundinn. Fjarlægðu VPN-sniðið, eyddu notendaskírteininu undir Stillingar, Öryggi, Dulkóðun og skírteini, Notendaskírteini, og láttu útgefandann svo afturkalla raðnúmer skírteinisins. Staðbundin eyðing ein og sér skilur eftir skírteini sem þjónninn samþykkir enn ef einhver geymdi P12.

Staðfestu niðurstöðuna í stað þess að gera ráð fyrir henni. Prófaðu tengingu með úrnotuðu sniði og staðfestu að þjónninn hafni henni. Göng sem rísa enn þýða að þú afturkallaðir rangt raðnúmer eða að biðlarinn féll hljóðlega á annað uppsett auðkenni.

Ef þú veltir misheppnuðum innflutningi til baka skaltu flytja inn aftur úr upprunalega dulkóðaða pakkanum og athuga fingrafarið aftur í stað þess að endurnýta afdulkóðaða lykilskrá sem þú skildir eftir á diskinum.