Android에 저장된 VPN: 어떤 비밀을 복구할 수 있을까요?
비밀번호를 묻지 않고 다시 연결하는 휴대폰은 복사할 수 있는 비밀번호를 저장하지 않습니다. 네 가지 자격 증명과 각각에 필요한 복구를 비교해 보세요.
휴대폰은 매일 아침 아무것도 묻지 않고 VPN에 다시 연결됩니다. 그것은 자격 증명이 어딘가 안에 있다는 뜻입니다. 보통은 아니며, 적어도 읽어서 새 기기에 입력할 수 있는 형태로는 아닙니다.
휴대폰이 가진 것은 연결할 권한입니다. 당신이 원하는 것은 들고 갈 수 있는 비밀이며, 이 둘은 화면에서 우연히 같은 동작을 만드는 서로 다른 속성입니다.
무엇이든 재설정하기 전에, 각각 소유자도 복구 방법도 다른 네 가지 비밀 유형 중 어느 것이 실제로 빠졌는지 확인하세요.
작동하는 연결은 저장된 비밀번호가 아니다
조용히 다시 연결하는 앱은 비밀번호, 세션 토큰, 인증서 참조, 또는 내보낼 수 없는 기기 결합 키 외에는 아무것도 가지고 있지 않을 수 있습니다. 네 가지 모두 같은 사용자 경험을 만들고 어느 것도 서로 바꿀 수 없습니다.
설정 필드의 점 줄은 표시 방식에 대한 결정이지 증거가 아닙니다. 일부 앱은 정말로 복구 가능한 비밀번호를 저장하고 표시나 내보내기를 제공하며, 다른 앱은 통합 로그인 흐름에서 토큰을 받고 비밀번호를 전혀 보지 않습니다.
그러므로 첫 번째 질문은 파일이 어디에 있느냐가 아닙니다. 앱에 어떤 종류의 권한이 주어졌느냐이며, 그 답은 기기가 아니라 제공자에게서 나옵니다.
네 가지 비밀, 네 가지 복구
누구에게 연락하기 전에, 어느 경우인지에 따라 요청이 완전히 달라지므로 자신의 상황을 한 행에 맞춰 보세요.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
두 번째 행이 사람들을 가장 많이 잡습니다. PKCS#12 가져오기 비밀번호는 키 자료를 보호하며 계정 로그인과는 무관하므로 계정 비밀번호를 재설정해도 아무것도 복구되지 않습니다. 패키지 비밀번호가 정말로 분실되었다면 다시 발급하는 것이 해결책입니다.
네 번째 행은 많은 혼란스러운 지원 스레드를 설명합니다. 프로필은 휴대 가능한 사본을 담는 대신 플랫폼 키 저장소의 자격 증명을 참조할 수 있으며, 그 경우 원칙적으로도 프로필에서 추출할 것이 없습니다.
앱 데이터 복사가 보통 실패하는 이유
옛 방법은 앱의 데이터 디렉터리를 끌어내어 그 안에서 구성을 읽는 것입니다. 현재 Android에서는 이 방법에 두 가지 독립적인 문제가 있습니다.
첫째는 백업 정책입니다. Android 12는 API 31 이상을 대상으로 하는 앱에 대해 기존 adb backup 경로로 내보내는 앱 데이터를 제한했고, 앱은 데이터를 백업에서 완전히 제외할 수 있습니다. 구형 기기를 위해 작성된 절차는 현재 기기에 대한 보편적인 복구 방법이 아닙니다.
둘째는 키 저장소입니다. 거기서 생성된 키는 내보낼 수 없고 하드웨어에 묶여 있을 수 있으며, Android Keystore 문서가 이를 설명합니다. 암호화된 블롭을 복사해도 그것을 해독하는 키는 복사되지 않으므로, 복원된 디렉터리에는 새 기기가 결코 사용할 수 없는 자격 증명이 들어 있을 수 있습니다.
두 문제 중 어느 것도 우회할 버그가 아닙니다. 둘 다 플랫폼이 설계된 대로 동작하는 것이며, 이것을 장애물로 다루면 보통 루팅된 휴대폰과 비밀번호 없음으로 끝납니다.
의도적으로 대체 휴대폰으로 옮기세요
먼저 지원되는 방법을 하세요. 제공자가 필요한 자격 증명을 명시적으로 포함하는 내보내기를 제공한다면 그것을 사용하고, 이전 기기를 지우기 전에 새 기기에서 결과를 확인하세요. 제공하지 않는다면, 인증서 기반 서비스의 정상 경로이며 보통 우회 방법보다 시간이 덜 걸리는 새 프로필이나 등록을 요청하세요.
순서가 중요합니다. 대체 기기를 등록하고 연결하고 터널을 통해 테스트 요청을 보낸 뒤에야 원래 기기를 퇴역시키세요. 새 기기가 증명될 때까지 작동하는 기기를 유지하는 것이 가장 저렴한 보험이며, 드는 비용은 인내뿐입니다.
재설정의 부작용도 계획하세요. 계정 비밀번호가 재설정되거나 기기 신원이 취소되면 다른 세션이 무효화될 수 있습니다. 노트북 클라이언트와 아무도 기억하지 못한 태블릿도 포함되므로, 하나씩 발견하는 대신 같은 시간 창에서 처리하세요.
하지 말아야 할 것
평문 파일을 찾으려고 유일하게 작동하는 기기를 루팅하지 마세요. 접근 복구 문제를 기기 무결성 문제로 바꾸게 되고, 앱 자체의 무결성 검사를 깨뜨릴 수 있으며, 찾는 값이 읽을 수 있는 형태로 존재한다는 보장도 여전히 없습니다.
문제가 실제임을 증명하려고 개인 키, 내보낸 프로필, 비밀번호를 지원 티켓에 붙여 넣지 마세요. 제공자에게 필요한 것은 프로필 이름, 앱 버전, 계정 식별자, 오류이며 어느 것도 비밀이 아닙니다.
그리고 기다리는 동안 연결을 얻으려고 인증서 검증을 끄지 마세요. 그것은 일시적인 불편과 맞바꿔 어떤 서버와 대화하는지 알려 주는 유일한 검사를 영구히 약화시킵니다. 네 가지 사실을 기록하고, 구체적인 질문을 하고, 발급된 경로를 사용하세요.