Nusiuntėte vieną VPN profilį visiems, ir jame yra jūsų slaptažodis

Profilis įdiegiamas švariai, visi prisijungia, o tada paskyros slaptažodis pakeičiamas. Kiekvienas įrenginys, gavęs failą, tą pačią minutę nustoja autentifikuotis, nes visi nešiojasi tą pačią paslaptį. Tai ir yra požymis: vieni prisijungimo duomenys, nukopijuoti į bendrą artefaktą, įprastą slaptažodžio keitimą paverčia viso parko gedimu. Pakartotinai naudojamos konfigūracijos ir individualios tapatybės laikymas dviem atskirais perdavimais to išvengia, o „Apple“ pačios įrenginių valdymo dokumentacija profilį traktuoja kaip nustatymus ir autorizaciją, o ne kaip paslapčių saugyklą.

Simptomas pasireiškia pirmojo pakeitimo metu

mobileconfig failas yra XML arba pasirašytas plist. Kiekvienas, turintis kopiją, gali iššifruoti turinį ir perskaityti, kas jame yra, todėl AuthPassword reikšmė šablone yra atviro teksto prisijungimo duomenys su neįprastu failo plėtiniu. Pasirašymas keičia vientisumą ir kilmę, o ne įskaitomumą. Tuo tarpu dalys, kuriomis tikrai norite dalytis, pavyzdžiui, tinklų sietuvo adresas, laukiama serverio tapatybė ir srauto politika, visiems yra identiškos.

Rūšiuokite laukus prieš ką nors redaguodami, nes riba yra ne ten, kur žmonės mano.

Atskirkite bendrus nustatymus nuo individualių prisijungimo duomenų

Interaktyvus kelias yra palikti slaptažodį lauke ir leisti palaikomai autentifikavimo schemai jo paprašyti. Skaitykite atidžiai: ištrinti lauką, kuris tik atrodo panašus, nėra universalus perėjimas prie interaktyvaus prisijungimo. IKEv2 turinys išskiria AuthName iš AuthPassword, o autentifikavimo metodas nusprendžia, ar užklausa apskritai pasiekiama; sertifikatu pagrįstas metodas slaptažodžio visai neprašys.

Sertifikatams taip pat nereikia bendro rakto

Jei tinklų sietuvas tikisi autentifikavimo sertifikatu, užregistruokite numatytą naudotojo ar įrenginio tapatybę patvirtintu mechanizmu ir laikykite privatų raktą už šablono ribų. Vienas bendras privatus raktas kiekvienoje kopijoje duoda tą pačią keitimo problemą su blogesniu poveikio spinduliu, nes rakto negalima atšaukti asmeniui, jei jis nebuvo išduotas asmeniui.

Fiksuokite tos tapatybės išdavimą, atnaujinimą ir atšaukimą kartu su profilio peržiūra. Kai abu sekami kartu, atnaujinimas yra suplanuota užduotis, o ne incidentas.

Neprižiūrimoms mašinoms reikia trečio atsakymo

Mašina, kuri turi prisijungti prieš kam nors prisijungiant, negali atsakyti į užklausą. Tai kitas reikalavimas nei palengvinti sąranką prisijungusiam žmogui, ir jį reikėtų spręsti valdoma tapatybe arba su tinklų sietuvo savininku suderintu kiekvieno įrenginio sertifikatu, o ne saugant žmogaus slaptažodį profilyje.

Slaptažodžio saugojimas taip pat nepašalina antrojo veiksnio. Jei tinklų sietuvas reikalauja MFA, profilis su išsaugotu slaptažodžiu vis tiek nepavyksta paleidžiant, ir gedimas atrodo kaip sugadintas profilis, o ne trūkstamas veiksnys.

Patikrinkite artefaktą, kuris buvo faktiškai sukurtas

Šablonai meluoja nutylėdami. Valdymo paslauga ar eksporto įrankis gali įterpti prisijungimo duomenis į baigtą failą, o lydintys tapatybės turiniai ar diagnostinės kopijos gali nešti medžiagą, kurios šablonas niekada nerodė. Atidarykite sukurtą artefaktą prieš nuspręsdami, kas gali jį gauti. Taip pat išsaugokite patikimo išdavėjo ir laukiamos serverio tapatybės nustatymus; slaptažodžio pašalinimas nėra priežastis silpninti tinklų sietuvo pasitikėjimą.

Jei tikras slaptažodis ar privati tapatybė jau pasklido per plačiai, atšaukite jį pas išdavėją ir pakeiskite. Rytojaus šablono redagavimas nieko nepadarys jau įdiegtoms kopijoms, ir tos kopijos toliau autentifikuosis, kol už jų esantys prisijungimo duomenys nebus atšaukti.

Priimkite perdavimą su bandomąja tapatybe

Įdiekite patvirtintu procesu įrenginyje, užregistruotame kaip atskira bandomoji tapatybė, užbaikite numatytą autentifikavimą ir pasiekite privatų išteklių, o ne tik stebėkite kylantį tunelį. Patvirtinkite, kad profilyje nėra prisijungimo duomenų medžiagos, tada patvirtinkite, kad prisijungimo duomenys yra tapatybės įraše, kuris bus atnaujintas. Ši pora yra priėmimo testas.

Viena peržiūra bendriems nustatymams, vienas įrašas vienam asmeniui ir atšaukimo kelias, kurį tikrai kartą naudojote.