VPNプロファイルは端末に証明書をインストールできるのか

VPNプロファイルは証明書を運ぶことができ、混乱の多くはこの一文から始まります。何を運ぶのかと、何を信頼するのかは別の問いであり、それぞれ別の仕組みが答えます。一つのクライアントがサーバーを検証するために使う埋め込みCAは、オペレーティングシステム全体が信頼するルートと同じ対象ではありません。パッケージを日常的なものと判断する前に、この二つを比べてください。

見出しの問いへの答えは「はい」ですが、確認すべき範囲があります。

VPNプロファイルが運べるもの

OpenVPNのプロファイルは、CA証明書、クライアント証明書、クライアント鍵をそれぞれのタグの間に埋め込んで保持でき、クライアントはプロファイル自体からそれらを読み取ります。その素材は、その一つのクライアントの内部での検証と認証に使われます。ファイルに入っているというだけで、システムの信頼ストアに入るわけではありません。

プラットフォームの構成プロファイルは別の容器です。管理対象の設定と並べて証明書のペイロードを運ぶことができます。Wi-Fi、VPN、制限、そして管理された配備ではさらに多くのものを運べます。インストールすると、それらの設定は一つのアプリではなくオペレーティングシステムに渡されます。それがこの形式の要点であり、範囲が重要な理由でもあります。

クライアント内の信頼とプラットフォームの信頼

クライアント内の信頼はクライアントによって区切られます。プロファイル内のCAが誤っていれば、そのトンネルは失敗し、他のアプリは影響を受けません。プラットフォームの信頼は特定の何かで区切られておらず、システムのストアを使うすべてのアプリがその判断を引き継ぎます。

Appleのプラットフォームでは、これらは目に見えて別の手順です。

ダウンロードしたプロファイルをインストールすることと、証明書の信頼を有効にすることは別の操作であり、後者には証明書の信頼設定に独自の制御があります。管理された配備は手動インストールと異なる場合があり、プロファイルをそもそも削除できるかどうかも含まれます。お使いのバージョンについて、現在のプラットフォームの文書に従ってください。VPNの設定の一部に見えるプロンプトが、信頼の判断そのものである場合があります。

その違いが答えを変える理由

プロファイルが証明書をインストールするのかと尋ねられたら、役に立つ答えは範囲を示します。独自のCAを運ぶVPNプロファイルは、そのクライアントが受け入れるものを変えます。証明書のペイロードをインストールし、信頼が有効なプロファイルは、端末が受け入れるものを変えます。トンネルに一切触れないブラウザの銀行サイトに影響しうるのは、後者だけです。

比較はこれで全部であり、どんな承認の前にもはっきり述べる価値があります。

承認の前に尋ねるべきこと

どの機能が証明書を必要とし、それがなければ何が壊れるのかを尋ねてください。誰が発行し、何を認証するためのものかを尋ねてください。どうやって削除するのか、使われている配備方法の下で削除が自分に可能なのかを尋ねてください。ダウンロードを勧めたページではなく、正規の窓口を通して尋ねてください。

パッケージをVPNの修理と呼ぶダウンロードページは、範囲について何も伝えていません。

予期しないルートを拒否することは偏執ではありません。ブラウザが証明書の警告を出すときと同じ判断です。違いは、こちらは残り続け、二度と尋ねないかもしれないことです。

削除は実際どうなるか

ダウンロードしたファイルを消すだけでは、インストール済みのプロファイルもその証明書も削除されません。プロファイルは端末の管理設定の中に、そこで削除されるまで残り、監視下または管理された端末では拒否されることがあります。承認した変更の後はインストール状態を確認し、ファイルが痕跡だったと決めつけずに証明書が消えたことを確かめてください。そのうえで再接続し、トンネルがまだ動くかを見てください。プロファイルを残したままCAを外すのは、それ自体が一つの故障の形です。

発行者、目的、範囲、削除の経路を記録に残してください。

その記録は動くVPNアイコンより役に立ちます。別の端末で同じプロンプトを承認すべきか決めなければならない次の人のところまで残るからです。