Brauch en iPad säin eegene VPN-Clientzertifikat?

En neien iPad kënnt an d'Equipe, an de séierste Wee ass, dat existéierend Clientzertifikat z'exportéieren an et op dem Tablet z'installéieren. Dat funktionéiert, bis een hautgeet, en Apparat verléiert oder eng Audite freet, déi seet, wéi en Apparat wéini verbonnen huet. D'Entscheedung geet net ëm d'Zertifikatsdatei, mä ëm d'Identitéit: ob all Apparat fir sech autoriséiert a zeréckgezu ka ginn. Käschten an Verwaltungsaarbecht entscheeden d'Äntwert, an alleb zwee si méi kleng wéi se ausgesinn.

Gemeinsamen Aussteller, getrennte Identitéiten

All Apparat kann der selwechter Zertifizéierungsautoritéit vertrauen an sech mam selwechte Gateway verbannen, während en eng aner Clientidentitéit huet. Den Aussteller ass en Anker vum Vertrauen, während d'Identitéit en Schlësselpaar ass, deem säi Sujet de Server enger Politik zouuerdent. Genau déi zwee ze verwiesselen ass, wat en gemeinsamt Zertifikat harmlos schéngt. Et bleift nëmmen harmlos, bis ee wësse muss, wéi en Apparat eng Sitzung opgemaach huet.

Den Aussteller ze deelen spuert Konfiguratiounsaarbecht a changéiert näischt un der Responsabilitéit pro Apparat. D'Identitéit ze deelen dréckt all Apparat an eng eenzeg zeréckzéibar Eenheet: een zeréckzéien zitt all zeréck, an en Ersatz autoriséieren autoriséiert all Kopie vum Schlëssel, déi jee gemaach gouf. Dee Tausch ass et wäert, explizit ze maachen, amplaz eng Datei ze kopéieren, well et en Freideg nomëtteg méi séier geet.

Wann en zweet Zertifikat ze deier ass

D'Registrierung pro Apparat kascht ee Schrëtt: e verwaltete Profil, eng SCEP-Ufro oder en guidéierten Import mat engem Eenmolpasswuert. Et kascht och eng Plaz, fir Seriennummeren an Ofleefdatummen ze suivéieren, deen Deel, deen déi meescht Implementatiounen vergiessen, bis den éischten Zertifikat ofleeft. Béid Käschten sinn engersäits, a béid schrumpen, soubal de Registrierungsflux se automatiséiert.

D'Käschte si real fir en Haushalt mat zwee Tablets an engem Benotzer, wou eng gemeinsam Identitéit eng vernünfteg Entscheedung ass, déi an engem Saz dokumentéiert gëtt. Se ass net vernünfteg fir en Déngscht, wou den Accès pro Persoun oder pro Apparat muss zréckgezunn ginn, well d'Zeréckzéiungsgeschicht de ganzen Grond ass, Zertifikaten amplaz vun engem Passwuert ze benotzen. Bewäert d'Implementatioun no wéi dacks Apparater d'Hänn wiesselen, net no wéivill Apparater et haut gëtt.

Registréiert den Apparat, kopéiert net de Schlëssel

Modern Plattforme halen privat Schlësselen an engem geschützte Späicher, an e puer markéieren se als net exportéierbar duerch Design. Genau déi Eegenschaft mécht d'Kopéieren vum Ufank u onméiglech, an et ass och de Grond, firwat e Bündel, deen aus engem Laptop exportéiert gouf, net einfach op engem Tablet op eng ënnerstëtzt Manéier erëm kann importéiert ginn. En Versuch produzéiert awer e Profil, deen sech propper installéiert an dann ni authentifizéiert.

Benotzt d'Registrierungsmethod, déi d'Implementatioun schonn ënnerstëtzt: e verwaltete Identitéitsprofil, en SCEP-Service oder e Kont-baséierte Flux, deen en neie Schlëssel um Apparat ausgëtt. De private Schlëssel vun der Zertifizéierungsautoritéit verdeelen, fir eng fehlend Identitéit ze léisen, ass en anere Feeler mat engem vill méi grousse Radius. D'Autoritéit gëtt Umeldungsinformatiounen aus an soll ni bis op den Endpunkt reesen.

Iwwerpréift d'Zeréckzéiung, ier Dir äntwert

Ier Dir déi gemeinsam Optioun wielt, beschreift, wéi d'Zeréckzéiung um schlëmmsten Dag ausgesäit. Wann d'Äntwert eng eenzeg Aktioun ass, déi méi Apparater betrefft, huet den Design schonn géint Iech entscheet.

openssl pkcs12 -in client.p12 -info -noout
openssl x509 -in client.pem -noout -subject -issuer -serial -dates
openssl verify -CAfile ca.pem client.pem

Iwwerpréift de Material, deen Dir tatsächlech hutt: ob e private Schlëssel präsent ass, wat de Sujet seet an ob d'Seriennummer eenzel ka zeréckgezu ginn. Eng Zertifikatsdatei ouni hire Schlëssel kann näischt authentifizéieren, an dofir falen e puer kopéiert Identitéiten um éischte Verbindung aus.

Eng App vum Tablet läschen ass keng Zeréckzéiung, an de Server akzeptéiert d'Identitéit weider, bis een se desaktivéiert. Schreift deem Saz an de Runbook, ier den éischten Apparat registréiert gëtt.