Un profilo VPN può installare un certificato sul tuo dispositivo?

Un profilo VPN può trasportare certificati, ed è da questa frase che nasce gran parte della confusione. Cosa trasporta e di cosa si fida sono due domande diverse, a cui rispondono due meccanismi diversi. Una CA incorporata che un client usa per verificare un server non è lo stesso oggetto di una radice fidata dall'intero sistema operativo. Confronta le due cose prima di concludere che il pacchetto è routine.

La risposta alla domanda del titolo è sì, con un ambito che devi controllare.

Cosa può trasportare un profilo VPN

Un profilo OpenVPN può contenere il certificato della CA, il certificato client e la chiave client in linea, tra i rispettivi tag, così che il client li legga dal profilo stesso. Quel materiale serve alla verifica e all'autenticazione all'interno di quel solo client. Non entra nell'archivio di fiducia del sistema solo perché si trova nel file.

Un profilo di configurazione della piattaforma è un contenitore diverso. Può trasportare un payload di certificato accanto a impostazioni gestite: Wi-Fi, VPN, restrizioni e, nelle distribuzioni gestite, molto altro. Installarlo consegna quelle impostazioni al sistema operativo invece che a una singola applicazione. È il senso del formato, ed è anche il motivo per cui l'ambito conta.

Fiducia limitata al client contro fiducia della piattaforma

La fiducia limitata al client è delimitata dal client. Se la CA nel profilo è sbagliata, quel tunnel fallisce e le altre applicazioni restano intatte. La fiducia della piattaforma non è delimitata da nulla in particolare, perché ogni applicazione che usa l'archivio di sistema eredita la decisione.

Sulle piattaforme Apple questi sono passaggi visibilmente separati.

Installare un profilo scaricato e abilitare la fiducia per un certificato sono azioni distinte, e la seconda ha il proprio controllo nelle impostazioni di fiducia dei certificati. La distribuzione gestita può differire da un'installazione manuale, anche riguardo alla possibilità di rimuovere del tutto il profilo. Segui la documentazione attuale della piattaforma per la versione che hai. Una richiesta che sembra parte della configurazione VPN può essere la decisione di fiducia stessa.

Perché la differenza cambia la tua risposta

Se qualcuno chiede se il profilo installa un certificato, una risposta utile nomina l'ambito. Un profilo VPN che porta la propria CA cambia ciò che quel client accetta. Un profilo che installa un payload di certificato e ha la fiducia abilitata cambia ciò che il dispositivo accetta. Solo il secondo può influire su un sito bancario in un browser che non tocca mai il tunnel.

Questo è tutto il confronto, e vale la pena dirlo chiaramente prima di qualsiasi approvazione.

Cosa chiedere prima di approvare

Chiedi quale funzione richiede il certificato e cosa si rompe senza. Chiedi chi lo ha emesso e cosa dovrebbe autenticare. Chiedi come viene rimosso, e se la rimozione ti è possibile con il metodo di distribuzione in uso. Chiedi attraverso il canale autentico dell'operatore, non attraverso la pagina che ha offerto il download.

Una pagina di download che definisce il pacchetto una riparazione VPN non ti ha detto nulla sull'ambito.

Rifiutare una radice inattesa non è paranoia; è la stessa decisione che prende un browser quando mostra un avviso di certificato. La differenza è che questa persiste, e forse non chiederà di nuovo.

Come appare davvero la rimozione

Eliminare il file scaricato non rimuove un profilo installato né il suo certificato. Il profilo vive nelle impostazioni di gestione del dispositivo finché non viene rimosso lì, e un dispositivo supervisionato o gestito può rifiutarsi. Controlla lo stato di installazione dopo ogni modifica approvata e conferma che il certificato sia sparito invece di supporre che il file fosse l'artefatto. Poi riconnettiti e guarda se il tunnel funziona ancora, perché rimuovere la CA mantenendo il profilo è un modo di guasto a sé.

Conserva una traccia di emittente, scopo, ambito e percorso di rimozione.

Quella traccia è più utile di un'icona VPN funzionante, perché sopravvive alla persona successiva che deve decidere se approvare la stessa richiesta su un altro dispositivo.