Како да увезете VPN сертификат на Android и да го проверите клучот

Увозот на VPN клиентски сертификат на Android трае неколку минути. Проверката дека тој слетал на вистинското место трае подолго, а токму тој дел повеќето луѓе го прескокнуваат штом дијалогот за инсталација ќе каже успех. Пораката за успех значи само дека датотеката е анализирана. Таа не кажува ништо за тоа кој давател го држи приватниот клуч или дали копија сѐ уште стои во вашата папка Downloads.

Чекор 1: Прочитајте го P12 пред да ја напушти вашата машина

Започнете со самата датотека. Ако не можете да ги именувате субјектот, издавачот и датумот на истекување во неа, увезувате нешто што подоцна нема да можете да го проверите.

PKCS#12 пакетот обично носи клиентски сертификат, неговиот приватен клуч и синџирот на издавачот. openssl pkcs12 -in client.p12 -info -noout го печати MAC и алгоритмите за шифрирање без да извлекува клучен материјал, така што гледате дали пакетот е заштитен со лозинка и со која шифра. Потоа извршете keytool -list -v -keystore client.p12 -storetype PKCS12 за да го добиете псевдонимот, отпечатокот SHA-256 и прозорецот на важност што ќе го споредите со телефонот.

Испратете ја лозинката преку различен канал од датотеката или предадете ја датотеката во управуван тек на дистрибуција што не остава копија. Лозинка вметната во истата порака во четот како архивата претвора две контроли во една.

Чекор 2: Инсталирајте го во слот што апликацијата VPN навистина го чита

На стандарден Android 11 до 14 патеката оди преку Поставки, Безбедност, Шифрирање и акредитиви, Инсталирај сертификат, потоа VPN и кориснички сертификат на апликацијата. Формулацијата и вгнездувањето се менуваат меѓу изданијата и обвивките на производителите, затоа следете ја етикетата за типот на акредитив, а не запомнета позиција во менито. Во работен профил инсталирајте од внатрешноста на работната страна, бидејќи акредитивите не ја преминуваат границата на профилот.

Не ставајте клиентски идентитет во слот за CA сертификат. Тој слот го храни складиштето за доверба на корисникот, а од Android 7 апликациите ги игнорираат CA додадени од корисникот освен ако тоа не го дозволува нивната конфигурација за мрежна безбедност, така што клиентски сертификат оставен таму никогаш не се појавува во избирачот на клучеви на VPN.

Некои клиенти на VPN никогаш не го допираат системското складиште и наместо тоа го увезуваат P12 во својот директориум на апликацијата. Тоа е легитимен дизајн, но го менува секој следен чекор: клучот сега живее под песочникот на апликацијата и е точно толку силен колку што таа апликација ракува со сопственото складиште. Проверете ја документацијата на клиентот пред да претпоставите дека KeyChain е во игра.

Чекор 3: Докажете кој давател го држи клучот

Увозот потврдува анализа, а не хардверска поддршка. На Android 12 и понови, KeyInfo.getSecurityLevel() известува дали клучот се наоѓа во доверливата извршна средина, во StrongBox или во софтвер, и го заменува постариот повик isInsideSecureHardware(). Ако клиентот на VPN не ја прикажува таа вредност, отпечатокот од чекор 1 е вашата резерва. Сертификат повторно кодиран при увозот нема да се совпадне бајт по бајт, но јавниот клуч и субјектот сѐ уште ќе се совпаднат.

Неизвозливо не е исто што и неупотребливо. Клуч што не може да го напушти уредот сѐ уште може да го користи секоја апликација на која корисникот ѝ дозволува да го избере тој псевдоним, и затоа барањето за псевдоним е вистинска контрола, а не формалност. Документацијата на Android Keystore вреди едно читање ако ја носите таа дизајнерска одлука.

Потоа сметајте на копиите што сте ги направиле. P12 на вашиот преносен сметач, таа во прилогот на тикетот и таа во резервната копија од минатиот месец сите се сѐ уште валидни идентитети додека издавачот не ги отповика. Хардверската заштита на примерокот на телефонот не прави ништо за тие.

Чекор 4: Откријте кому му припаѓа барањето за заклучување на екранот

Тука се мешаат три тајни: PIN-от за отклучување на уредот, лозинката на приватниот клуч и лозинката на сметката за VPN. Барањето за едната никогаш не е барање за ресетирање на другите, а ресетирањето на погрешната е начинот на кој луѓето се заклучуваат надвор од профил што работел добро.

Кога администратор на уред или политика на управуван профил бара заклучување, барањето ѝ припаѓа на таа политика, а не на сертификатот. adb shell dumpsys device_policy ги наведува активните администратори и квалитетот на лозинката што го спроведуваат, што е најбрзиот начин да се види дали агент на MDM е причината што вашите правила за PIN се смениле. Отстранувањето на сертификатот нема да ја олабави политиката, а отстранувањето на политиката е административна одлука, а не прилагодување на поставка.

Очекувајте и компромис со употребливоста. Ако клучот бара корисничка авторизација, тунелот не може да се крене пред првото отклучување, па закажаните синхронизации и далечинските будења пропаѓаат по дизајн. Одлучете го тоа пред распоредувањето, а не потоа.

Избегнувајте го краткиот пат да уредувате locksettings.db или да пуштате старо заобиколување за заборавена шема. Тие рутини се пишувани за одредени билдови, можат да го остават складиштето на акредитиви во состојба што рамката веќе не ја очекува, и никогаш не ја менуваат политиката што го побарала заклучувањето на прво место.

Чекор 5: Повлечете го идентитетот и проверете го одбивањето

Повлекувањето има три дела и само првиот е локален. Отстранете го профилот VPN, избришете го корисничкиот сертификат под Поставки, Безбедност, Шифрирање и акредитиви, Кориснички акредитиви, потоа нека издавачот го отповика серискиот број на сертификатот. Локалното бришење само по себе остава акредитив што серверот сѐ уште го прифаќа ако некој го сочувал P12.

Проверете го резултатот наместо да го претпоставувате. Обидете се со врска со повлечениот профил и потврдете дека серверот ја одбива. Тунел што сѐ уште се крева значи дека сте отповикале погрешен сериски број или клиентот тивко преминал на друг инсталиран идентитет.

Ако враќате неуспешен увоз, увезете повторно од оригиналниот шифриран пакет и проверете го отпечатокот повторно наместо да ја користите повторно дешифрираната датотека со клуч што сте ја оставиле на дискот.