VPN salvata su Android: quale segreto puoi recuperare?
Un telefono che si riconnette senza chiedere una password non ne memorizza una che puoi copiare. Confronta le quattro credenziali e il recupero che ciascuna richiede.
Il telefono si riconnette alla VPN ogni mattina senza chiedere nulla. Ciò implica che la credenziale si trova da qualche parte al suo interno. Di solito non è così, almeno non in una forma che puoi leggere e digitare su un nuovo dispositivo.
Quello che il telefono ha è l’autorità di connettersi. Quello che vuoi è un segreto che puoi portare con te, e sono proprietà diverse che per caso producono lo stesso comportamento sullo schermo.
Prima di reimpostare qualsiasi cosa, individua quale dei quattro tipi di segreto manca davvero, perché ognuno ha un proprietario diverso e un recupero diverso.
Una connessione funzionante non è una password memorizzata
Un’app che si riconnette in silenzio può custodire una password, un token di sessione, un riferimento a un certificato o niente più di una chiave legata al dispositivo che non può esportare. Tutti e quattro producono la stessa esperienza utente e nessuno è intercambiabile.
Una fila di puntini in un campo delle impostazioni è una decisione di resa grafica, non una prova. Alcune app memorizzano davvero una password recuperabile e offrono di rivelarla o esportarla; altre prendono un token da un flusso di accesso unico e non vedono mai la password.
Quindi la prima domanda non è dove si trovi il file. È quale tipo di autorità sia stata concessa all’app, e quella risposta arriva dal fornitore, non dal dispositivo.
Quattro segreti, quattro recuperi
Fai corrispondere la tua situazione a una riga prima di contattare chiunque, perché la richiesta cambia completamente a seconda del caso.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
La seconda riga è quella che coglie più spesso le persone. Una password di importazione PKCS#12 protegge il materiale della chiave e non ha alcun rapporto con l’accesso all’account, quindi reimpostare la password dell’account non recupera nulla. Se la password del pacchetto è davvero persa, la soluzione è una nuova emissione.
La quarta riga spiega molti thread di assistenza confusi. Il profilo può fare riferimento a una credenziale nello store delle chiavi della piattaforma invece di contenere una copia portatile, e in quel caso non c’è nulla nel profilo da estrarre nemmeno in linea di principio.
Perché copiare i dati dell’app di solito fallisce
La vecchia ricetta consiste nel tirare fuori la directory dei dati dell’app e leggerne la configurazione. Sull’Android attuale la ricetta ha due problemi indipendenti.
Il primo è la politica di backup. Android 12 ha limitato i dati delle app esportati tramite il vecchio percorso adb backup per le app che hanno come target l’API 31 o successiva, e le app possono escludere del tutto i dati dal backup. Una procedura scritta per un dispositivo più vecchio non è un metodo di recupero universale per uno attuale.
Il secondo è lo store delle chiavi. Le chiavi generate lì possono essere non esportabili e legate all’hardware, come descrive la documentazione di Android Keystore. Copiare un blob cifrato non copia la chiave che lo decifra, quindi una directory ripristinata può contenere una credenziale che il nuovo dispositivo non potrà mai usare.
Nessuno dei due problemi è un bug da aggirare. Entrambi sono la piattaforma che fa ciò per cui è stata progettata, e trattarli come ostacoli di solito finisce con un telefono con root e senza password.
Passa a un telefono sostitutivo in modo deliberato
Fai prima ciò che è supportato. Se il fornitore offre un’esportazione che include esplicitamente le credenziali che ti servono, usala e verifica il risultato sul nuovo dispositivo prima di cancellare quello vecchio. Se non la offre, chiedi un nuovo profilo o una nuova registrazione, che è la via normale per i servizi basati su certificati e di solito richiede meno tempo della soluzione alternativa.
L’ordine conta. Registra il sostituto, collegalo, fai passare una richiesta di prova attraverso il tunnel e solo allora ritira l’originale. Tenere il telefono che funziona finché il nuovo non è dimostrato è l’assicurazione più economica disponibile, e costa solo pazienza.
Prevedi anche gli effetti collaterali di una reimpostazione. Se la password dell’account viene reimpostata o l’identità del dispositivo viene revocata, altre sessioni possono essere invalidate, compresi un client per portatile e un tablet di cui nessuno si ricordava. Gestiscile nella stessa finestra invece di scoprirle una alla volta.
Cosa non fare
Non fare il root dell’unico dispositivo funzionante per cercare un file in chiaro. Trasformi un problema di recupero dell’accesso in un problema di integrità del dispositivo, puoi rompere i controlli di integrità dell’app stessa, e non hai ancora alcuna garanzia che il valore che cerchi esista in forma leggibile.
Non incollare chiavi private, profili esportati o password in un ticket di assistenza per dimostrare che il problema è reale. Il fornitore ha bisogno del nome del profilo, della versione dell’app, dell’identificatore dell’account e dell’errore, nessuno dei quali è segreto.
E non disattivare la verifica dei certificati per ottenere una connessione mentre aspetti. Questo scambia un fastidio temporaneo con un indebolimento permanente dell’unico controllo che ti dice con quale server stai parlando. Annota i quattro fatti, poni la domanda specifica e usa la via prevista.