Pasirašyto VPN profilio diegimas iPhone? Perskaitykite naudingąsias apkrovas

Profiliai nustatymuose rodomi su pavadinimu, pasirašiusiuoju ir diegimo mygtuku, o dažniausiai skaitoma eilutė yra ta, kurioje nurodytas pasirašiusysis. Ši eilutė atsako tik į vieną klausimą: kas supakavo šiuos nustatymus pagal parašo tikrinimo taisykles. Ji nesako, kad VPN naudingoji apkrova nukreipta į jūsų darbdavio šliuzą arba kad įterptas šakninis sertifikatas priklauso jūsų TLS pasitikėjimo saugyklai. Toliau pateikta apžvalga atidaro paketą ta tvarka, kuria įrenginys jį taikys.

Pradėkite nuo voko: kas pasirašė šį profilį

iOS įrenginyje profilis rodomas skiltyje Nustatymai, Bendrieji, VPN ir įrenginio valdymas, o pasirašiusysis nurodytas virš diegimo mygtuko. Perskaitykite šį pavadinimą prieš ką nors paliesdami ir paklauskite, ar tai ta organizacija, iš kurios tikėjotės gauti nustatymus. Galiojantis nepažįstamos šalies parašas vis tiek yra galiojantis parašas, ir jis įgalioja jų, o ne jūsų konfigūraciją. Tas pats ekranas taip pat parodo, ar profilis apskritai pasirašytas.

Jei failas yra Mac kompiuteryje, patikrinkite jį prieš jam pasiekiant telefoną. Saugos priemonė iššifruoja CMS voką ir išspausdina plist, kurį skaitys įrenginys, tai yra tas pats turinys be diegimo mygtuko. Apple dokumentacija apie konfigūracijos vykdymą parašą apibūdina kaip kilmės patvirtinimą, ir būtent tokia yra čia aptariama apimtis.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Sustokite čia, jei pasirašiusysis ne tas, kurio tikėjotės, arba jei failas nepasirašytas ir atėjo kanalu, kuris už jį negali laiduoti. Niekas vėliau šioje apžvalgoje nepadarys nepatikimo voko patikimu.

Atidarykite kiekvieną naudingąją apkrovą ir įvardykite, ką ji įdiegia

Profilis yra konteineris, o įdomiausia dalis yra viduje esantis PayloadContent masyvas. Kiekvienas įrašas turi PayloadType, kuris nurodo, ką įrenginys įdiegs: valdomą VPN konfigūraciją, PKCS#12 tapatybę, šakninį sertifikatą ar valdymo registraciją. Išspausdinkite tipus prieš skaitydami bet kuriuos nustatymus.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN naudingoji apkrova įvardija ryšį: serverio adresą, autentifikavimo metodą ir galbūt taisyklę vienai programai arba pagal poreikį. Tapatybės naudingoji apkrova pateikia kliento kredencialus, kuriuos šis ryšys pateiks. Šakninio sertifikato naudingoji apkrova prideda pasitikėjimo atramą, o valdymo naudingoji apkrova nuolatinę kontrolę perduoda serveriui. Tai keturi skirtingi įsipareigojimai, o parašas apima paketą, o ne patvirtina kiekvieną atskirai. Skaitykite juos šia tvarka, nes VPN be tapatybės yra bevertis, o tapatybė mažai reiškia, jei nežinote, kas ją išdavė.

Slaptažodžio apsauga failui yra dar viena atskira savybė. Užšifruotas paketas slepia turinį nuo to, kas neturi slaptažodžio, bet nenusprendžia, ar turėtumėte leisti tai, kas viduje. Slaptažodį laikykite pristatymo mechanizmu, o ne peržiūra.

Sekite sertifikatus iki juos naudojančio ryšio

Išvardykite pakete esančius sertifikatus ir kiekvieną priskirkite užduočiai. Kliento sertifikatas nurodo šį įrenginį šliuzui, jį išdavęs CA priklauso to ryšio pasitikėjimo grandinei, o šakninis sertifikatas, įdiegtas tarpiniam serveriui ar vidinei tarnybai, savaime nėra visų HTTPS svetainių atrama. iOS įrenginyje rankiniu būdu įdiegta šaknis TLS atžvilgiu lieka nepatikima, kol ją įjungsite skiltyje Nustatymai, Apie, Sertifikatų pasitikėjimo nustatymai, o valdymo priemonėmis pateikta šaknis patikima be šio veiksmo. Būtent šis skirtumas paaiškina, kodėl naudingosios apkrovos paskirtis yra svarbi.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Tiekėjas, kuris praleidžia jūsų srautą, dėl šios priežasties netampa kiekvienos lankomos svetainės TLS galiniu tašku. Perėmimui reikia srauto kelio ir pasitikėjimo atramos, kurią programa priims, o profilis su vienu sertifikatu neįrodo nė vieno. Klauskite, kuris ryšys naudoja sertifikatą ir kurios programos jį priims, o ne manykite, kad profilio įdiegimas viską iššifruoja.

Po diegimo: patikrinkite ir žinokite, ką daro pašalinimas

Įdiegę profilį patvirtinkite jį įrenginyje, o ne atsisiųstame faile. Nustatymų ekranas išvardija įdiegtą profilį, jo pasirašiusįjį ir naudingąsias apkrovas, o VPN ekranas parodo, ar ryšys sukonfigūruotas taip, kaip numatyta. Atsisiųsto failo ištrynimas nieko nepašalina; įdiegta konfigūracija yra atskiras objektas.

profiles show -type configuration
scutil --nc list

Jei profilyje yra valdymo registracija, pašalinimo pasekmes perskaitykite prieš diegdami, o ne po to. Pašalinus tą registraciją, su ja išnyksta susijusios konfigūracijos ir gali būti pašalintos valdomos programos, priklausomai nuo to, kaip įrenginys buvo užregistruotas. Tai ne taisymo veiksmas, kurį reikėtų bandyti, kai sertifikatas atrodo netinkamai. Prieš ką nors šalindami paklauskite administratoriaus, kuri naudingoji apkrova turi problemą.

Apžvalga baigiasi keturiais atskirais atsakymais: kas pasirašė paketą, kokias naudingąsias apkrovas jis įdiegia, kokią tapatybę ir pasitikėjimą naudoja kiekvienas ryšys ir ką pašalinimas pasiimtų. Laikykite juos atskirai, ir pasirašytas profilis taps peržiūrėtu sprendimu, o ne žalia varnele.