VPN 프로필 하나를 모두에게 보냈고 그 안에 당신의 비밀번호가 있습니다

프로필은 깔끔하게 설치되고 모두가 연결되며, 그다음 계정 비밀번호가 교체된다. 파일을 받은 모든 기기는 같은 분에 인증을 멈추는데, 모두 같은 비밀을 품고 있기 때문이다. 이것이 징조다: 자격 증명 하나가 공유 산출물에 복사되면 일상적인 비밀번호 변경이 전체 함대의 장애로 바뀐다. 재사용 가능한 구성과 개인 신원을 두 개의 별도 인계로 유지하면 이를 피할 수 있고, Apple 자체의 기기 관리 문서 또한 프로필을 설정과 권한 부여로 다루며, 비밀 저장소로 보지 않는다.

증상은 첫 번째 교체에서 나타난다

mobileconfig 파일은 XML 또는 서명된 plist다. 사본을 가진 사람은 누구나 페이로드를 디코딩해 내용을 읽을 수 있으므로, 템플릿의 AuthPassword 값은 특이한 파일 확장자를 가진 평문 자격 증명이다. 서명은 무결성과 출처를 바꿀 뿐 읽을 수 있는지는 바꾸지 않는다. 한편 진짜로 공유하고 싶은 부분, 예컨대 게이트웨이 주소, 예상 서버 신원, 트래픽 정책은 모두에게 동일하다.

무엇이든 편집하기 전에 필드를 분류하라, 경계는 사람들이 생각하는 곳에 있지 않기 때문이다.

공유 설정과 개인 자격 증명을 분리하라

대화형 경로는 비밀번호를 밖에 두고 지원되는 인증 방식이 그것을 묻도록 하는 것이지만, 여기는 주의해서 읽어야 한다. 비슷하게만 보이는 필드를 지우는 것이 대화형 로그인으로의 보편적 전환은 아니다. IKEv2 페이로드는 AuthName 와 AuthPassword 를 구분하며, 프롬프트에 도달할 수 있는지는 인증 방식이 결정하고, 인증서 기반 방식은 비밀번호를 전혀 묻지 않는다.

인증서에도 공유 키가 필요하지 않다

게이트웨이가 인증서 인증을 기대한다면 승인된 메커니즘으로 대상 사용자나 기기의 신원을 등록하고 개인 키를 템플릿 밖에 두어야 한다. 모든 사본에 하나의 공유 개인 키를 넣으면 더 나쁜 영향 범위로 같은 교체 문제를 겪는다, 키는 사람별로 발급되지 않았다면 사람별로 폐기할 수 없기 때문이다.

해당 신원의 발급, 갱신, 폐기를 프로필 개정과 함께 기록하라. 둘을 함께 추적하면 갱신은 사고가 아니라 예정된 작업이 된다.

감독 없는 기기에는 세 번째 답이 필요하다

누군가 로그인하기 전에 연결해야 하는 기기는 프롬프트에 답할 수 없다. 이것은 로그인한 사람에게 설정을 쉽게 해 주는 것과 다른 요구 사항이며, 게이트웨이 소유자와 합의한 관리형 신원이나 기기별 인증서로 풀어야 하고, 프로필에 사람의 비밀번호를 저장해서 풀 일이 아니다.

비밀번호를 저장해도 두 번째 요소가 사라지지 않는다. 게이트웨이가 MFA를 요구하면 저장된 비밀번호가 있는 프로필은 부팅 시에도 실패하고, 그 실패는 요소가 빠진 것이 아니라 프로필이 깨진 것처럼 보인다.

실제로 생성된 산출물을 확인하라

템플릿은 누락으로 거짓말한다. 관리 서비스나 내보내기 도구가 완성 파일에 자격 증명을 주입할 수 있고, 함께 오는 신원 페이로드나 진단 사본은 템플릿이 보여주지 않은 자료를 담을 수 있다. 누가 받아도 되는지 결정하기 전에 생성된 산출물을 열어 보라. 신뢰할 수 있는 발급자와 예상 서버 신원 설정도 그대로 유지하되, 비밀번호를 빼는 것이 게이트웨이 신뢰를 약화할 이유는 아니다.

실제 비밀번호나 개인 신원이 이미 너무 넓게 퍼졌다면 발급자에서 폐기하고 교체하라. 내일의 템플릿을 편집해도 이미 설치된 사본에는 아무 효과가 없고, 그 사본들은 뒤에 있는 자격 증명이 회수될 때까지 인증을 계속한다.

테스트 신원으로 인계를 받아들여라

별도 테스트 신원으로 등록된 기기에서 승인된 흐름으로 설치하고, 의도한 인증을 완료하며, 터널이 올라오는 것만 지켜보지 말고 개인 리소스에 도달하라. 프로필에 자격 증명 자료가 없음을 확인하고, 그다음 그 자격 증명이 갱신될 신원 기록에 있음을 확인하라. 그 짝이 곧 인수 테스트다.

공유 설정을 위한 개정 하나, 사람마다 기록 하나, 그리고 실제로 한 번 사용해 본 폐기 경로.