Parakstīta VPN profila instalēšana iPhone? Izlasiet lietderīgās slodzes

Profili iestatījumos parādās ar nosaukumu, parakstītāju un instalēšanas pogu, un visbiežāk lasītā daļa ir parakstītāja rinda. Šī rinda atbild tikai uz vienu jautājumu: kas iesaiņoja šos iestatījumus saskaņā ar paraksta pārbaudes noteikumiem. Tā nenorāda, ka VPN lietderīgā slodze vērsta uz jūsu darba devēja vārteju vai ka iekļautais saknes sertifikāts pieder jūsu TLS uzticības krātuvai. Tālāk sniegtais pārskats atver pakotni tādā secībā, kādā ierīce to piemēros.

Sāciet ar aploksni: kas parakstīja šo profilu

iOS ierīcē profils parādās sadaļā Iestatījumi, Vispārīgi, VPN un ierīces pārvaldība, un parakstītājs ir redzams virs instalēšanas pogas. Izlasiet šo nosaukumu pirms kaut kam pieskaraties un pajautājiet, vai tā ir organizācija, no kuras gaidījāt saņemt iestatījumus. Derīgs nepazīstamas puses paraksts joprojām ir derīgs paraksts, un tas atļauj viņu, nevis jūsu konfigurāciju. Tas pats ekrāns parāda arī to, vai profils vispār ir parakstīts.

Ja fails ir Mac datorā, pārbaudiet to pirms tas nonāk telefonā. Drošības rīks atšifrē CMS aploksni un izdrukā plist, ko ierīce lasīs, tas ir tas pats saturs bez instalēšanas pogas. Apple dokumentācija par konfigurācijas izpildi parakstu apraksta kā izcelsmes validāciju, un tieši tāds ir šeit aplūkotais tvērums.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Apstājieties šeit, ja parakstītājs nav tas, ko gaidījāt, vai ja fails ir neparakstīts un nonācis pa kanālu, kas par to nevar galvot. Nekas tālāk šajā pārskatā nepadarīs neuzticamu aploksni uzticamu.

Atveriet katru lietderīgo slodzi un nosauciet, ko tā instalē

Profils ir konteiners, un interesantākā daļa ir iekšējais PayloadContent masīvs. Katram ierakstam ir PayloadType, kas norāda, ko ierīce instalēs: pārvaldītu VPN konfigurāciju, PKCS#12 identitāti, saknes sertifikātu vai pārvaldības reģistrāciju. Izdrukājiet tipus pirms lasāt jebkurus iestatījumus.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN lietderīgā slodze nosauc savienojumu: servera adresi, autentifikācijas metodi un, iespējams, kārtulu vienai lietotnei vai pēc pieprasījuma. Identitātes lietderīgā slodze nodrošina klienta akreditācijas datus, ko šis savienojums uzrādīs. Saknes sertifikāta lietderīgā slodze pievieno uzticības balstu, un pārvaldības lietderīgā slodze nodod pastāvīgu kontroli serverim. Tie ir četri dažādi saistību veidi, un paraksts aptver pakotni, nevis apliecina katru atsevišķi. Lasiet tos šajā secībā, jo VPN bez identitātes ir bezjēdzīgs, un identitāte maz nozīmē, ja nezināt, kas to izdeva.

Paroles aizsardzība failam ir vēl viena atsevišķa īpašība. Šifrēta pakotne slēpj saturu no tā, kam nav paroles, bet tā neizlemj, vai jums vajadzētu atļaut to, kas ir iekšā. Uztveriet paroli kā piegādes mehānismu, nevis kā pārbaudi.

Izsekojiet sertifikātus līdz savienojumam, kas tos izmanto

Uzskaitiet pakotnē esošos sertifikātus un katram piešķiriet uzdevumu. Klienta sertifikāts identificē šo ierīci vārtejā, to izdevusī CA pieder šī savienojuma uzticības ķēdei, un sakne, kas instalēta starpniekserverim vai iekšējam servisam, nav automātiski visu HTTPS vietņu balsts. iOS ierīcē manuāli instalēta sakne TLS ziņā paliek neuzticama, līdz to iespējojat sadaļā Iestatījumi, Par, Sertifikātu uzticības iestatījumi, savukārt pārvaldības ceļā piegādāta sakne ir uzticama bez šī soļa. Tieši šī atšķirība izskaidro, kāpēc lietderīgās slodzes mērķis ir svarīgs.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Pakalpojumu sniedzējs, kas pārvada jūsu trafiku, šī iemesla dēļ nekļūst par katras apmeklētās vietnes TLS galapunktu. Pārtveršanai nepieciešams trafika ceļš un uzticības balsts, ko lietotne pieņem, un profils ar vienu sertifikātu nepierāda nevienu no tiem. Jautājiet, kurš savienojums izmanto sertifikātu un kuras lietotnes to pieņems, tā vietā lai pieņemtu, ka profila instalēšana visu atšifrē.

Pēc instalēšanas: pārbaudiet un ziniet, ko dara noņemšana

Pēc profila instalēšanas apstipriniet to ierīcē, nevis lejupielādētajā failā. Iestatījumu ekrāns uzskaita instalēto profilu, tā parakstītāju un lietderīgās slodzes, un VPN ekrāns parāda, vai savienojums ir konfigurēts, kā paredzēts. Lejupielādētā faila dzēšana neko neizņem; instalētā konfigurācija ir atsevišķs objekts.

profiles show -type configuration
scutil --nc list

Ja profils ietver pārvaldības reģistrāciju, izlasiet noņemšanas sekas pirms instalēšanas, nevis pēc tam. Šīs reģistrācijas noņemšana paņem līdzi saistītās konfigurācijas un var noņemt pārvaldītās lietotnes atkarībā no tā, kā ierīce tika reģistrēta. Tas nav labošanas solis, ko mēģināt, kad sertifikāts izskatās nepareizi. Pirms kaut ko noņemat, pajautājiet administratoram, kura lietderīgā slodze ir problēmas avots.

Pārskats beidzas ar četrām atsevišķām atbildēm: kas parakstīja pakotni, kādas lietderīgās slodzes tā instalē, kādu identitāti un uzticību izmanto katrs savienojums un ko noņemšana paņems līdzi. Turiet tās atsevišķi, un parakstīts profils kļūs par pārbaudītu lēmumu, nevis zaļu atzīmi.