Kaip importuoti VPN sertifikatą į Android ir patikrinti raktą

VPN kliento sertifikato importavimas Android sistemoje užtrunka porą minučių. Patikrinti, ar jis atsidūrė tinkamoje vietoje, užtrunka ilgiau, ir būtent šią dalį dauguma žmonių praleidžia, kai įdiegimo dialogas praneša apie sėkmę. Sėkmės pranešimas reiškia tik tai, kad failas buvo išanalizuotas. Jis nieko nesako apie tai, kuris tiekėjas saugo privatų raktą arba ar kopija dar guli jūsų Downloads aplanke.

1 veiksmas: perskaitykite P12, kol jis dar neiškeliavo iš jūsų kompiuterio

Pradėkite nuo paties failo. Jei negalite įvardyti jame esančio subjekto, išdavėjo ir galiojimo pabaigos datos, importuojate tai, ko vėliau negalėsite patikrinti.

PKCS#12 paketas paprastai turi kliento sertifikatą, jo privatų raktą ir išdavėjo grandinę. openssl pkcs12 -in client.p12 -info -noout išspausdina MAC ir šifravimo algoritmus neišversdamas rakto medžiagos, todėl matote, ar paketas apsaugotas slaptažodžiu ir kokiu šifru. Toliau paleiskite keytool -list -v -keystore client.p12 -storetype PKCS12, kad gautumėte slapyvardį, SHA-256 piršto atspaudą ir galiojimo langą, kurį palyginsite su telefonu.

Siųskite slaptažodį kitu kanalu nei failą arba perduokite failą valdomame platinimo sraute, kuris nepalieka kopijos. Slaptažodis, įklijuotas į tą pačią pokalbio žinutę kaip ir archyvas, paverčia dvi kontrolės priemones viena.

2 veiksmas: įdiekite jį į lizdą, kurį VPN programėlė iš tikrųjų nuskaito

Standartinėje Android 11–14 versijoje kelias eina per Nustatymai, Sauga, Šifravimas ir prisijungimo duomenys, Įdiegti sertifikatą, tada VPN ir programėlės naudotojo sertifikatas. Formuluotė ir įdėjimas keičiasi tarp versijų ir gamintojų apvalkalų, todėl sekite prisijungimo duomenų tipo etiketę, o ne įsimintą meniu vietą. Darbo profilyje diekite iš darbo pusės vidaus, nes prisijungimo duomenys neperžengia profilio ribos.

Nedėkite kliento tapatybės į CA sertifikato lizdą. Tas lizdas maitina naudotojo pasitikėjimo saugyklą, o nuo Android 7 programėlės nepaiso naudotojo pridėtų CA, nebent jų tinklo saugos konfigūracija tai leidžia, todėl ten paliktas kliento sertifikatas niekada nepasirodo VPN raktų parinkiklyje.

Kai kurie VPN klientai visai neliečia sistemos saugyklos ir vietoj to importuoja P12 į savo programėlės katalogą. Tai teisėta konstrukcija, bet ji keičia kiekvieną vėlesnį veiksmą: raktas dabar gyvena programėlės smėliadėžėje ir yra lygiai toks stiprus, kaip ta programėlė tvarko savo saugyklą. Prieš manydami, kad KeyChain dalyvauja, peržiūrėkite kliento dokumentaciją.

3 veiksmas: įrodykite, kuris tiekėjas saugo raktą

Importavimas patvirtina analizę, o ne aparatinę apsaugą. Nuo Android 12 KeyInfo.getSecurityLevel() praneša, ar raktas yra patikimoje vykdymo aplinkoje, StrongBox ar programinėje įrangoje, ir pakeičia senesnį isInsideSecureHardware() iškvietimą. Jei VPN klientas nerodo šios reikšmės, 1 veiksmo piršto atspaudas yra jūsų atsarginis variantas. Importuojant iš naujo užkoduotas sertifikatas nesutaps baitu po baito, bet viešasis raktas ir subjektas vis tiek sutaps.

Neišeksportuojamas nėra tas pats kaip nenaudojamas. Raktą, kuris negali palikti įrenginio, vis dar gali naudoti bet kuri programėlė, kuriai naudotojas leidžia pasirinkti tą slapyvardį, todėl slapyvardžio užklausa yra tikra kontrolė, o ne formalumas. Android Keystore dokumentacija verta vieno skaitymo, jei priimate tokį projektavimo sprendimą.

Tada įvertinkite padarytas kopijas. P12 jūsų nešiojamajame kompiuteryje, ta, kuri yra bilieto priede, ir ta, kuri praėjusio mėnesio atsarginėje kopijoje, visos yra galiojančios tapatybės, kol išdavėjas jų nepanaikina. Telefono egzemplioriaus aparatinė apsauga joms nieko nedaro.

4 veiksmas: išsiaiškinkite, kam priklauso ekrano užrakto reikalavimas

Čia susimaišo trys paslaptys: įrenginio atrakinimo PIN kodas, privataus rakto slaptafrazė ir VPN paskyros slaptažodis. Vieno užklausa niekada nėra prašymas atkurti kitus, o netinkamo atkūrimas yra būdas, kuriuo žmonės užsirakina save nuo profilio, kuris veikė gerai.

Kai įrenginio administratorius arba valdomo profilio politika reikalauja užrakto, reikalavimas priklauso tai politikai, o ne sertifikatui. adb shell dumpsys device_policy išvardija aktyvius administratorius ir jų taikomą slaptažodžio kokybę, o tai greičiausias būdas pamatyti, ar MDM agentas yra priežastis, kodėl pasikeitė jūsų PIN taisyklės. Pašalinus sertifikatą politika nesušvelnės, o politikos pašalinimas yra administracinis sprendimas, o ne nustatymo pataisa.

Tikėkitės ir naudojimo patogumo kompromiso. Jei raktas reikalauja naudotojo autorizacijos, tunelis negali iškilti prieš pirmąjį atrakinimą, todėl suplanuoti sinchronizavimai ir nuotoliniai pažadinimai pagal konstrukciją žlunga. Nuspręskite tai prieš diegimą, o ne po jo.

Venkite spartaus kelio redaguoti locksettings.db arba kartoti seną pamiršto modelio apėjimą. Tos procedūros buvo parašytos konkrečioms versijoms, jos gali palikti prisijungimo duomenų saugyklą būsenoje, kurios sistema nebeatpažįsta, ir jos niekada nepakeičia politikos, kuri užrakto paprašė iš pradžių.

5 veiksmas: atšaukite tapatybę ir patikrinkite atmetimą

Atšaukimas turi tris dalis, ir tik pirmoji yra vietinė. Pašalinkite VPN profilį, ištrinkite naudotojo sertifikatą skiltyje Nustatymai, Sauga, Šifravimas ir prisijungimo duomenys, Naudotojo prisijungimo duomenys, o tada paprašykite išdavėjo panaikinti sertifikato serijos numerį. Vien vietinis trynimas palieka prisijungimo duomenis, kuriuos serveris vis dar priima, jei kas nors pasiliko P12.

Patikrinkite rezultatą, o ne manykite. Pabandykite prisijungti su atšauktu profiliu ir patvirtinkite, kad serveris jį atmeta. Tunelis, kuris vis dar iškyla, reiškia, kad panaikinote netinkamą serijos numerį arba klientas tyliai perėjo prie kitos įdiegtos tapatybės.

Jei atšaukiate nepavykusį importavimą, importuokite iš naujo iš originalaus užšifruoto paketo ir dar kartą patikrinkite piršto atspaudą, o ne naudokite iš naujo diske paliktą iššifruotą rakto failą.