Jūs nosūtījāt vienu VPN profilu visiem, un tajā ir jūsu parole

Profils tiek instalēts tīri, visi pieslēdzas, un tad konta parole tiek mainīta. Katra ierīce, kas saņēma failu, tajā pašā minūtē pārtrauc autentificēšanos, jo visas nes vienu un to pašu noslēpumu. Tā ir pazīme: viens akreditācijas datu ieraksts, kas nokopēts koplietotā artefaktā, parastu paroles maiņu pārvērš visas flotes pārtraukumā. Atkārtoti lietojamās konfigurācijas un individuālās identitātes turēšana kā divas atsevišķas nodošanas no tā izvairās, un Apple pašas ierīču pārvaldības dokumentācija uzskata profilus par iestatījumiem un autorizāciju, nevis par noslēpumu krātuvi.

Simptoms parādās pirmajā maiņā

mobileconfig fails ir XML vai parakstīts plist. Ikviens, kam ir kopija, var atšifrēt saturu un izlasīt, kas tajā ir, tāpēc AuthPassword vērtība veidnē ir atklāta teksta akreditācijas dati ar neparastu faila paplašinājumu. Parakstīšana maina integritāti un izcelsmi, nevis lasāmību. Tikmēr daļas, ko jūs patiešām vēlaties koplietot, piemēram, vārtejas adrese, gaidītā servera identitāte un trafika politika, visiem ir identiskas.

Sakārtojiet laukus pirms kaut kā rediģēšanas, jo robeža nav tur, kur cilvēki domā.

Atdaliet koplietotos iestatījumus no individuāliem akreditācijas datiem

Interaktīvais ceļš ir atstāt paroli ārpusē un ļaut atbalstītajai autentifikācijas kārtībai to pieprasīt. Lasiet to uzmanīgi: lauka, kas tikai izskatās līdzīgs, dzēšana nav universāla pāreja uz interaktīvu pieteikšanos. IKEv2 kravnesa atšķir AuthName no AuthPassword, un autentifikācijas metode izlemj, vai pieprasījums vispār ir sasniedzams; metode, kas balstīta uz sertifikātu, paroli neprasīs vispār.

Arī sertifikātiem nav vajadzīga koplietota atslēga

Ja vārteja sagaida autentifikāciju ar sertifikātu, reģistrējiet paredzēto lietotāja vai ierīces identitāti ar apstiprināto mehānismu un turiet privāto atslēgu ārpus veidnes. Viena koplietota privātā atslēga katrā kopijā dod jums to pašu maiņas problēmu ar sliktāku ietekmes rādiusu, jo atslēgu nevar atsaukt pa personām, ja tā nav izsniegta pa personām.

Reģistrējiet šīs identitātes izsniegšanu, atjaunošanu un atsaukšanu līdzās profila revīzijai. Kad abi tiek izsekoti kopā, atjaunošana ir plānots uzdevums, nevis incidents.

Bez uzraudzības esošām mašīnām vajadzīga trešā atbilde

Mašīna, kurai jāpieslēdzas pirms kāds pieteicas, nevar atbildēt uz pieprasījumu. Tā ir cita prasība nekā iestatīšanas atvieglošana pieteikušamies cilvēkam, un tā jārisina ar pārvaldītu identitāti vai ar vārtejas īpašnieku saskaņotu sertifikātu katrai ierīcei, nevis glabājot cilvēka paroli profilā.

Paroles glabāšana arī nenoņem otru faktoru. Ja vārteja pieprasa MFA, profils ar saglabātu paroli joprojām neizdodas startēšanas laikā, un kļūme izskatās kā salauzts profils, nevis trūkstošs faktors.

Pārbaudiet artefaktu, kas faktiski tika ģenerēts

Veidnes melo ar izlaišanu. Pārvaldības pakalpojums vai eksporta rīks var ievietot akreditācijas datus gatavajā failā, un pavadošās identitātes kravnesas vai diagnostikas kopijas var nest materiālu, ko veidne nekad nav parādījusi. Atveriet ģenerēto artefaktu pirms izlemjat, kas to drīkst saņemt. Saglabājiet arī uzticamā izdevēja un gaidītās servera identitātes iestatījumus; paroles noņemšana nav iemesls vājināt vārtejas uzticēšanos.

Ja īsta parole vai privāta identitāte jau ir ceļojusi pārāk plaši, atsauciet to pie izdevēja un aizstājiet. Rītdienas veidnes rediģēšana neko nedara jau instalētajām kopijām, un tās kopijas turpinās autentificēties, līdz akreditācijas dati aiz tām tiks atsaukti.

Pieņemiet nodošanu ar testa identitāti

Instalējiet ar apstiprināto plūsmu ierīcē, kas reģistrēta kā atsevišķa testa identitāte, pabeidziet paredzēto autentifikāciju un sasniedziet privāto resursu, nevis tikai vērojiet, kā ceļas tunelis. Apstipriniet, ka profilā nav akreditācijas datu materiāla, pēc tam apstipriniet, ka akreditācijas dati ir identitātes ierakstā, kas tiks atjaunots. Šis pāris ir pieņemšanas tests.

Viena revīzija koplietotiem iestatījumiem, viens ieraksts vienai personai un atsaukšanas ceļš, ko jūs tiešām reiz esat izmantojis.