E signéierte VPN-Profil op iPhone installéieren? Liest d'Payloaden

Profiler erschéngen an den Astellungen mat engem Numm, engem Signataire an engem Installéiere-Knäppchen, an d'Signataire-Zeil ass deen Deel, deen déi meescht Leit liesen. Dës Zeil beäntwert eng eenzeg Fro: wien huet dës Astellungen no de Reegele vun der Signaturprüfung agepackt. Si seet net, datt de VPN-Payload op den Gateway vun Ärem Patron weist, oder datt en agebauten Root-Zertifikat an Ären TLS-Vertrauensspäicher gehéiert. Den Duerchgang hei drënner mécht d'Pak op der Rei op, wéi den Apparat et uwände wäert.

Fänkt mat der Enveloppe un: wien huet dëse Profil signéiert

Op iOS erschéngt de Profil ënner Astellungen, Allgemeng, VPN an Apparateverwaltung, mam Signataire iwwer dem Installéiere-Knäppchen. Liest dësen Numm ier Dir eppes dréckt, a frot Iech, ob et déi Organisatioun ass, vun där Dir Astellunge erwaart hutt. Eng gëlteg Signatur vun enger Partei, déi Dir net kennt, ass nach ëmmer eng gëlteg Signatur, an si autoriséiert hir Konfiguratioun an net Är. Dee selwechten Ecran seet Iech och, ob de Profil iwwerhaapt signéiert ass.

Wann Dir d'Fichier op engem Mac hutt, kontrolléiert se ier se op den Telefon kënnt. D'Sécherheetsgeschir decodéiert d'CMS-Enveloppe an dréckt de plist aus, deen den Apparat liest, also dee selwechte Contenu ouni Installéiere-Knäppchen am Wee. D'Apple-Dokumentatioun zur Konfiguratiounsdurchsetzung beschreift d'Signatur als Validatioun vum Ursprong, an dat ass genee de Beräich, deen hei beschriwwen ass.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Halt hei un, wann de Signataire net deen ass, deen Dir erwaart hutt, oder wann d'Fichier onsignéiert duerch e Kanal komm ass, deen net fir si bierge kann. Näischt wat duerno an dësem Duerchgang kënnt, mécht eng onvertrauenswürdeg Enveloppe vertrauenswürdeg.

Maacht all Payload op a nennt wat en installéiert

E Profil ass e Container, an deen interessante Deel ass den PayloadContent-Array dobannen. All Andrag huet en PayloadType, dee seet wat den Apparat installéiert: eng verwalt VPN-Konfiguratioun, eng PKCS#12-Identitéit, en Root-Zertifikat oder eng Verwaltungs-Inschreiwung. Dréckt d'Typen aus ier Dir eng vun den Astellungen liest.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

E VPN-Payload nennt eng Verbindung: Serveradress, Authentifikatiounsmeethod an eventuell eng Reegel pro App oder op Ufro. En Identitéits-Payload liwwert de Client-Beweis, deen dës Verbindung presentéiert. En Root-Zertifikat-Payload bäisetzt en Vertrauensanker, an e Verwaltungs-Payload gëtt dauerhaft Kontroll un e Server of. Dat sinn véier verschidde Verflichtungen, an d'Signatur deckt d'Pak of an net jiddwereen eenzel. Liest se an dëser Rei, well de VPN ouni d'Identitéit nuets ass an d'Identitéit wéineg bedeit, wann Dir net wësst wien se ausgestallt huet.

De Passwuertschutz op der Fichier ass nach eng aner Eegeschaft. Eng verschlüsselt Pak verstoppt de Contenu virun engem ouni Passwuert, awer si entscheet net, ob Dir sollt autoriséieren wat dobannen ass. Betraacht d'Passwuert als Liwwerméchanismus an net als Iwwerpréiwung.

Verfollegt d'Zertifikater bis zu der Verbindung déi se benotzt

Lëscht d'Zertifikater an der Pak op a passt jiddwerengem eng Aufgab zou. De Client-Zertifikat identifizéiert dësen Apparat vis-à-vis vum Gateway, d'CA déi en ausgestallt huet gehéiert an d'Vertrauenskette vun dëser Verbindung, an e Root deen fir e Proxy oder en internen Déngscht installéiert gouf ass net automatesch en Anker fir all HTTPS-Säit. Op iOS bleift en Root, deen een zur Hand installéiert huet, fir TLS onvertraut, bis Dir en ënner Astellungen, Iwwer, Zertifikatsvertrauens-Astellungen aktivéiert, wärend en Root dee vun der Verwaltung geliwwert gëtt ouni dëse Schratt vertraut gëtt. Dee Ënnerscheed erkläert genee, firwat den Zweck vum Payload wichteg ass.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

E Provider deen Ären Trafik duerchleet ass net aus dësem Grond den TLS-Endpunkt vun all Websäit déi Dir besicht. Fir d'Interceptioun braucht et den Trafikwee an en Vertrauensanker deen d'Applikatioun acceptéiert, an e Profil mat engem eenzegen Zertifikat beweise keent vun deenen zwee. Frot wéi eng Verbindung d'Zertifikat benotzt a wéi eng Applikatiounen et akzeptéieren, amplaz unzehuelen datt d'Installatioun vum Profil alles entschlësselt.

No der Installatioun: iwwerpréift a wësst wat d'Ewechhuele mécht

Soubal de Profil installéiert ass, bestätegt en um Apparat an net aus der Fichier déi Dir erofgelueden hutt. Den Astellungs-Ecran lëscht de installéierte Profil, säi Signataire a seng Payloaden, an den VPN-Ecran weist ob d'Verbindung wéi gewënscht konfiguréiert ass. D'erofgeluede Fichier läschen hëlt näischt ewech; déi installéiert Konfiguratioun ass en eegene Objet.

profiles show -type configuration
scutil --nc list

Wann de Profil eng Verwaltungs-Inschreiwung enthält, liest d'Konsequenze vum Ewechhuele virum Installéieren an net duerno. D'Inschreiwung ewechhuelen hëlt hir associéiert Konfiguratiounen mat an kann verwalt Applikationen ewechhuelen, jee nodeem wéi den Apparat ageschriwwe gouf. Dat ass kee Reparaturschratt deen een probéiert wann en Zertifikat falsch ausgesäit. Frot den Administrateur wéi ee Payload de Problem huet, ier Dir eppes ewechhuelt.

Den Duerchgang endt mat véier getrennten Äntwerten: wien d'Pak signéiert huet, wéi eng Payloaden en installéiert, wéi eng Identitéit a Vertrauen all Verbindung benotzt, a wat d'Ewechhuele mat sech hëlt. Haalt se getrennt, an e signéierte Profil gëtt eng iwwerpréift Entscheedung amplaz engem gréngen Häckchen.