Kā importēt VPN sertifikātu operētājsistēmā Android un pārbaudīt atslēgu

VPN klienta sertifikāta importēšana operētājsistēmā Android aizņem pāris minūtes. Pārbaude, vai tas nonācis pareizajā vietā, aizņem ilgāk, un tieši šo daļu lielākā daļa cilvēku izlaiž, tiklīdz instalācijas dialogs ziņo par panākumiem. Panākumu ziņojums nozīmē tikai to, ka fails tika parsēts. Tas neko nepasaka par to, kurš pakalpojumu sniedzējs tur privāto atslēgu, vai arī par to, vai kopija vēl joprojām atrodas jūsu Downloads mapē.

1. solis: izlasiet P12, pirms tas atstāj jūsu datoru

Sāciet ar pašu failu. Ja nevarat nosaukt tajā esošo subjektu, izdevēju un derīguma termiņu, jūs importējat kaut ko tādu, ko vēlāk nevarēsit pārbaudīt.

PKCS#12 pakotne parasti satur klienta sertifikātu, tā privāto atslēgu un izdevēja ķēdi. openssl pkcs12 -in client.p12 -info -noout izdrukā MAC un šifrēšanas algoritmus, neizgāžot atslēgas materiālu, tāpēc redzat, vai pakotne ir aizsargāta ar paroli un ar kādu šifru. Pēc tam palaidiet keytool -list -v -keystore client.p12 -storetype PKCS12, lai iegūtu aizstājvārdu, SHA-256 nospiedumu un derīguma logu, ko salīdzināsit ar tālruni.

Nosūtiet paroli citā kanālā nekā failu vai nododiet failu pārvaldītā izplatīšanas plūsmā, kas nepalāti kopiju. Parole, kas ielīmēta tajā pašā tērzēšanas ziņojumā kā arhīvs, pārvērš divas kontroles vienā.

2. solis: instalējiet to ligzdā, kuru VPN lietotne patiešām nolasa

Standarta Android 11 līdz 14 ceļš iet caur Iestatījumi, Drošība, Šifrēšana un akreditācijas dati, Instalēt sertifikātu, pēc tam VPN un lietotnes lietotāja sertifikāts. Formulējums un iegulšana mainās starp laidieniem un ražotāju apvalkiem, tāpēc sekojiet akreditācijas datu tipa etiķetei, nevis iegaumētai izvēlnes pozīcijai. Darba profilā instalējiet no darba puses iekšpuses, jo akreditācijas dati nešķērso profila robežu.

Nelieciet klienta identitāti CA sertifikāta ligzdā. Šī ligzda baro lietotāja uzticības krātuvi, un kopš Android 7 lietotnes ignorē lietotāja pievienotos CA, ja vien to tīkla drošības konfigurācija to atļauj, tāpēc tur atstātais klienta sertifikāts nekad neparādās VPN atslēgu atlasītājā.

Daži VPN klienti nekad neaizskar sistēmas krātuvi un tā vietā importē P12 savā lietotnes direktorijā. Tas ir likumīgs dizains, taču tas maina katru nākamo soli: atslēga tagad dzīvo lietotnes smilšu kastē un ir tieši tik spēcīga, cik labi šī lietotne pārvalda savu krātuvi. Pirms pieņemat, ka KeyChain ir iesaistīts, pārbaudiet klienta dokumentāciju.

3. solis: pierādiet, kurš pakalpojumu sniedzējs tur atslēgu

Imports apstiprina parsēšanu, nevis aparatūras atbalstu. Operētājsistēmā Android 12 un jaunākās KeyInfo.getSecurityLevel() ziņo, vai atslēga atrodas uzticamā izpildes vidē, StrongBox vai programmatūrā, un tas aizstāj vecāko isInsideSecureHardware() izsaukumu. Ja VPN klients šo vērtību neparāda, 1. soļa nospiedums ir jūsu rezerves variants. Importa laikā pārkodēts sertifikāts nesakritīs baitu pret baitu, bet publiskā atslēga un subjekts joprojām sakritīs.

Neizvedams nav tas pats, kas neizmantojams. Atslēgu, kas nevar atstāt ierīci, joprojām var izmantot jebkura lietotne, kurai lietotājs atļauj atlasīt šo aizstājvārdu, un tāpēc aizstājvārda uzvedne ir īsta kontrole, nevis formalitāte. Android Keystore dokumentācija ir vērta vienu lasījumu, ja pieņemat šo dizaina lēmumu.

Pēc tam ņemiet vērā izveidotās kopijas. P12 jūsu portatīvajā datorā, tā biļetes pielikumā un tā pagājušā mēneša dublējumā visas joprojām ir derīgas identitātes, līdz izdevējs tās atsauc. Tālruņa eksemplāra aparatūras aizsardzība tām neko nedara.

4. solis: noskaidrojiet, kam pieder ekrāna bloķēšanas prasība

Šeit sajaucas trīs noslēpumi: ierīces atbloķēšanas PIN, privātās atslēgas paroles frāze un VPN konta parole. Vienas uzvedne nekad nav lūgums atiestatīt pārējās, un nepareizās atiestatīšana ir veids, kā cilvēki sevi izslēdz no profila, kas darbojās labi.

Kad ierīces administrators vai pārvaldīta profila politika pieprasa bloķēšanu, prasība pieder šai politikai, nevis sertifikātam. adb shell dumpsys device_policy uzskaita aktīvos administratorus un viņu noteikto paroles kvalitāti, kas ir ātrākais veids, kā redzēt, vai MDM aģents ir iemesls, kāpēc mainījās jūsu PIN noteikumi. Sertifikāta noņemšana politiku neatvieglos, un politikas noņemšana ir administratīvs lēmums, nevis iestatījuma pielāgojums.

Gaidiet arī lietojamības kompromisu. Ja atslēga pieprasa lietotāja autorizāciju, tunelis nevar pacelties pirms pirmās atbloķēšanas, tāpēc plānotās sinhronizācijas un attālinātās pamošanās pēc dizaina neizdodas. Izlemiet to pirms ieviešanas, nevis pēc.

Izvairieties no saīsinājuma rediģēt locksettings.db vai atkārtoti atskaņot vecu aizmirsta modeļa apiešanas paņēmienu. Šīs rutīnas tika rakstītas konkrētiem būvējumiem, tās var atstāt akreditācijas datu krātuvi stāvoklī, ko ietvars vairs negaida, un tās nekad nemaina politiku, kas sākotnēji pieprasīja bloķēšanu.

5. solis: izņemiet identitāti un pārbaudiet atteikumu

Izņemšanai ir trīs daļas, un tikai pirmā ir vietēja. Noņemiet VPN profilu, izdzēsiet lietotāja sertifikātu sadaļā Iestatījumi, Drošība, Šifrēšana un akreditācijas dati, Lietotāja akreditācijas dati, un pēc tam lieciet izdevējam atsaukt sertifikāta sērijas numuru. Tikai vietēja dzēšana atstāj akreditācijas datus, ko serveris joprojām pieņem, ja kāds paturēja P12.

Pārbaudiet rezultātu, nevis pieņemiet to. Izmēģiniet savienojumu ar izņemto profilu un apstipriniet, ka serveris to noraida. Tunelis, kas joprojām paceļas, nozīmē, ka esat atsaucis nepareizo sērijas numuru vai klients klusi pārgāja uz citu instalētu identitāti.

Ja atceļat neizdevušos importu, importējiet no jauna no oriģinālās šifrētās pakotnes un vēlreiz pārbaudiet nospiedumu, tā vietā lai atkārtoti izmantotu diskā atstāto atšifrēto atslēgas failu.