Инсталирање на потпишан VPN профил на iPhone? Прочитајте ги содржините

Профилите пристигнуваат во Поставки со име, потписник и копче за инсталирање, а линијата со потписникот е делот што повеќето луѓе го читаат. Таа линија одговара на едно прашање: кој ги спакувал овие поставки, според правилата за проверка на потписот. Таа не кажува дека VPN-содржината покажува кон порталот на вашиот работодавач или дека вградениот корен сертификат припаѓа во вашето TLS складиште на доверба. Прегледот подолу го отвора пакетот по редоследот по кој уредот ќе го примени.

Почнете од обвивката: кој го потпишал овој профил

На iOS профилот се појавува во Поставки, Општо, VPN и Управување со уредот, а потписникот е прикажан над копчето за инсталирање. Прочитајте го тоа име пред да допрете нешто и прашајте се дали тоа е организацијата од која очекувавте да добиете поставки. Важечки потпис од страна што не ја препознавате е сѐ уште важечки потпис и тој ја овластува нивната конфигурација, а не вашата. Истиот екран ви кажува и дали профилот воопшто е потпишан.

Ако ја имате датотеката на Mac, прегледајте ја пред да стигне до телефонот. Безбедносната алатка ја декодира CMS обвивката и го печати plist-от што уредот ќе го чита, а тоа е истата содржина без копче за инсталирање на патот. Документацијата на Apple за спроведување на конфигурацијата го опишува потпишувањето како проверка на потеклото, што е токму опфатот опишан овде.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Запрете овде ако потписникот не е тој што го очекувавте или ако датотеката е непотпишана и пристигнала преку канал што не може да гарантира за неа. Ништо подоцна во овој преглед не прави недоверлива обвивка да стане доверлива.

Отворете ја секоја содржина и именувајте што инсталира

Профилот е контејнер, а интересниот дел е низата PayloadContent внатре во него. Секој запис носи PayloadType што кажува што ќе инсталира уредот: управувана VPN конфигурација, идентитет PKCS#12, корен сертификат или запишување за управување. Испечатете ги типовите пред да прочитате било која од поставките.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN-содржината именува врска: адреса на серверот, метод на автентикација и можно правило по апликација или по барање. Содржината за идентитет го обезбедува клиентскиот акредитив што врската ќе го претстави. Содржината со корен сертификат додава сидро на доверба, а содржината за управување ѝ го предава постојаниот надзор на сервер. Тоа се четири различни обврски, а потписот го покрива пакетот наместо да гарантира за секоја одделно. Читајте ги по тој редослед, бидејќи VPN-от е бескорисен без идентитетот, а идентитетот значи малку ако не знаете кој го издал.

Заштитата со лозинка на датотеката е повторно одделно својство. Шифриран пакет ја крие содржината од некој без лозинката; тој не одлучува дали треба да го овластите она што е внатре. Третирајте ја лозинката како механизам за достава, а не како преглед.

Проследете ги сертификатите до врската што ги користи

Наведете ги сертификатите во пакетот и поврзете го секој со негова задача. Клиентскиот сертификат го идентификува овој уред пред порталот, CA што го издал припаѓа во синџирот на доверба за таа врска, а корен инсталиран за прокси или внатрешна услуга не е автоматски сидро за секој HTTPS сајт. На iOS, рачно инсталиран корен останува недоверлив за TLS додека не го овозможите во Поставки, За уредот, Поставки за доверба на сертификати, додека корен доставен преку управување се смета за доверлив без тој чекор. Токму таа разлика е причината зошто целта на содржината е важна.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Доставувачот што го пренесува вашиот сообраќај не е поради тоа TLS крајна точка на секој сајт што го посетувате. Пресретнувањето бара патека на сообраќајот и сидро на доверба што апликацијата го прифаќа, а профил со еден сертификат не докажува ниту едно од двете. Прашајте која врска го користи сертификатот и кои апликации ќе го прифатат, наместо да претпоставувате дека инсталирањето на профилот дешифрира сѐ.

По инсталирањето: проверете и знајте што прави отстранувањето

Откако профилот ќе се инсталира, потврдете го од уредот, а не од датотеката што сте ја презеле. Екранот со поставки го наведува инсталираниот профил, неговиот потписник и неговите содржини, а екранот за VPN покажува дали врската е конфигурирана како што треба. Бришењето на преземената датотека не отстранува ништо; инсталираната конфигурација е одделен објект.

profiles show -type configuration
scutil --nc list

Ако профилот содржи запишување за управување, прочитајте ги последиците од отстранувањето пред да го инсталирате, а не потоа. Отстранувањето на тоа запишување ги носи со себе поврзаните конфигурации и може да ги отстрани управуваните апликации, зависно од тоа како уредот е запишан. Тоа не е чекор за поправка што треба да се проба кога сертификатот изгледа погрешно. Прашајте го администраторот која содржина го поседува проблемот пред да отстраните нешто.

Прегледот завршува со четири одделни одговори: кој го потпишал пакетот, кои содржини ги инсталира, кој идентитет и доверба ги користи секоја врска и што би однело отстранувањето. Држете ги одделно и потпишаниот профил станува разгледана одлука наместо зелена ознака.