Android құрылғысында VPN сертификатын импорттау және кілтті тексеру

Android құрылғысында VPN клиенттік сертификатын импорттау бірнеше минут алады. Оның дұрыс жерге түскенін тексеру ұзағырақ уақыт алады, және орнату диалогы сәттілік деп хабарлағаннан кейін көпшілік дәл осы бөлікті өткізіп жібереді. Сәттілік хабарламасы файл талданғанын ғана білдіреді. Ол жеке кілтті қай провайдер ұстайтынын немесе Downloads қалтаңызда көшірме қалғанын айтпайды.

1-қадам: P12 файлын машинаңыздан шықпас бұрын оқыңыз

Файлдың өзінен бастаңыз. Егер ішіндегі субъектіні, шығарушыны және жарамдылық мерзімін атай алмасаңыз, кейін тексере алмайтын нәрсені импорттап жатырсыз.

PKCS#12 бумасы әдетте клиенттік сертификатты, оның жеке кілтін және шығарушы тізбегін тасымалдайды. openssl pkcs12 -in client.p12 -info -noout кілт материалын шығармай MAC пен шифрлау алгоритмдерін басып шығарады, сондықтан буманың құпиясөзбен қорғалғанын және қандай шифрмен екенін көресіз. Содан кейін keytool -list -v -keystore client.p12 -storetype PKCS12 іске қосып, лақап атты, SHA-256 саусақ ізін және телефонмен салыстыратын жарамдылық терезесін аласыз.

Құпиясөзді файлдан өзге арнамен жіберіңіз немесе файлды көшірме қалдырмайтын басқарылатын тарату ағынында тапсырыңыз. Мұрағатпен бір чат хабарламасына қойылған құпиясөз екі бақылауды біреуге айналдырады.

2-қадам: Оны VPN қолданбасы шынымен оқитын слотқа орнатыңыз

Стандартты Android 11-ден 14-ке дейін жол Параметрлер, Қауіпсіздік, Шифрлау және тіркелгі деректері, Сертификат орнату, содан кейін VPN және қолданбаның пайдаланушы сертификаты арқылы өтеді. Сөз тіркесі мен кірістіру шығарылымдар мен өндіруші қабықтары арасында өзгереді, сондықтан жатталған мәзір орнына тіркелгі деректері түрінің белгісін ұстаныңыз. Жұмыс профилінде жұмыс жағының ішінен орнатыңыз, өйткені тіркелгі деректері профиль шекарасынан өтпейді.

Клиенттік сәйкестікті CA сертификаты слотына қоймаңыз. Бұл слот пайдаланушының сенім қоймасын қоректендіреді, ал Android 7-ден бастап қолданбалар пайдаланушы қосқан CA-ларды желілік қауіпсіздік конфигурациясы рұқсат етпесе елемейді, сондықтан онда қалдырылған клиенттік сертификат VPN кілт таңдаушысында ешқашан көрінбейді.

Кейбір VPN клиенттері жүйелік қоймаға мүлде тимейді және оның орнына P12-ні өз қолданба каталогына импорттайды. Бұл заңды дизайн, бірақ әрбір келесі қадамды өзгертеді: кілт енді қолданбаның sandbox астында тұрады және сол қолданба өз қоймасын қалай басқарса, дәл сондай мықты. KeyChain ойында деп есептемес бұрын клиент құжаттамасын қараңыз.

3-қадам: Кілтті қай провайдер ұстайтынын дәлелдеңіз

Импорттау талдауды растайды, аппараттық қолдауды емес. Android 12 және одан кейінгі нұсқаларда KeyInfo.getSecurityLevel() кілттің Сенімді орындалу ортасында, StrongBox-та немесе бағдарламалық жасақтамада екенін хабарлайды және ескі isInsideSecureHardware() шақыруын алмастырады. Егер VPN клиенті бұл мәнді көрсетпесе, 1-қадамның саусақ ізі сіздің баламаңыз. Импорт кезінде қайта кодталған сертификат байт-байт сай келмейді, бірақ ашық кілт пен субъект әлі де сай келеді.

Экспортталмайтын деген пайдалануға жарамсыз дегенді білдірмейді. Құрылғыдан шыға алмайтын кілтті пайдаланушы сол лақап атты таңдауға рұқсат берген кез келген қолданба әлі де қолдана алады, сондықтан лақап ат сұранысы формальдылық емес, нақты бақылау. Android Keystore құжаттамасы осы дизайн шешімін қабылдасаңыз, бір рет оқуға тұрарлық.

Содан кейін жасаған көшірмелеріңізді ескеріңіз. Ноутбугіңіздегі P12, тикеттің тіркемесіндегі және өткен айдың резервтік көшірмесіндегі — шығарушы оларды кері қайтармайынша, барлығы жарамды сәйкестіктер. Телефондағы дананың аппараттық қорғанысы олар үшін ештеңе істемейді.

4-қадам: Экранды құлыптау талабы кімге тиесілі екенін анықтаңыз

Мұнда үш құпия шатасады: құрылғыны ашу PIN-і, жеке кілттің құпиясөз фразасы және VPN тіркелгісінің құпиясөзі. Біреуіне арналған сұраныс ешқашан қалғандарын қалпына келтіру өтініші емес, ал дұрыс емесін қалпына келтіру — адамдардың жақсы жұмыс істеп тұрған профильден өзін құлыптап қалу жолы.

Құрылғы әкімшісі немесе басқарылатын профиль саясаты құлыптауды талап еткенде, талап сертификатқа емес, сол саясатқа тиесілі. adb shell dumpsys device_policy белсенді әкімшілерді және олар қолданатын құпиясөз сапасын тізіп шығарады, бұл PIN ережелеріңіздің өзгеруіне MDM агенті себеп пе екенін көрудің ең жылдам жолы. Сертификатты алып тастау саясатты босаңсытпайды, ал саясатты алып тастау параметрді түзету емес, әкімшілік шешім.

Пайдалану ыңғайлылығының компромиссін де күтіңіз. Егер кілт пайдаланушының рұқсатын талап етсе, туннель бірінші ашудың алдында көтеріле алмайды, сондықтан жоспарлы синхрондаулар мен қашықтан оятулар дизайн бойынша сәтсіз аяқталады. Мұны орналастырудан бұрын шешіңіз, кейін емес.

locksettings.db өңдеу немесе ұмытылған өрнектің ескі айналып өтуін қайта іске қосу сияқты қысқа жолдан аулақ болыңыз. Ол рәсімдер нақты билдтер үшін жазылған, олар тіркелгі деректері қоймасын фреймворк енді күтпейтін күйде қалдыруы мүмкін және олар құлыптауды әу баста талап еткен саясатты ешқашан өзгертпейді.

5-қадам: Сәйкестікті тоқтатыңыз және бас тартуды тексеріңіз

Тоқтатудың үш бөлігі бар және тек біріншісі жергілікті. VPN профилін жойыңыз, пайдаланушы сертификатын Параметрлер, Қауіпсіздік, Шифрлау және тіркелгі деректері, Пайдаланушы тіркелгі деректері бөлімінде жойыңыз, содан кейін шығарушыға сертификаттың сериялық нөмірін кері қайтаруды тапсырыңыз. Тек жергілікті жою — біреу P12-ні сақтап қалса, сервер әлі де қабылдайтын тіркелгі дерегін қалдырады.

Нәтижені болжаудың орнына тексеріңіз. Тоқтатылған профильмен қосылымды байқап көріңіз және сервер оны қабылдамайтынына көз жеткізіңіз. Әлі де көтерілетін туннель қате сериялық нөмірді кері қайтарғаныңызды немесе клиент үнсіз басқа орнатылған сәйкестікке ауысқанын білдіреді.

Сәтсіз импортты қайтарсаңыз, дискіде қалдырған шифры шешілген кілт файлын қайта пайдаланудың орнына түпнұсқа шифрланған бумадан қайта импорттап, саусақ ізін қайта тексеріңіз.