Android дээр VPN гэрчилгээ оруулах, түлхүүрийг шалгах арга

Android дээр VPN клиентийн гэрчилгээ оруулахад хэдэн минут шаардлагатай. Энэ нь зөв газарт орсон эсэхийг шалгах нь илүү удаан бөгөөд суулгах харилцах цонх амжилттай гэж хэлсний дараа ихэнх хүмүүс яг энэ хэсгийг алгасдаг. Амжилтын мэдээ нь зөвхөн файл задлан шинжилэгдсэнийг илэрхийлнэ. Энэ нь хувийн түлхүүрийг аль үйлчилгээ үзүүлэгч хадгалж байгаа эсвэл Downloads хавтаст хуулбар үлдсэн эсэхийг хэлэхгүй.

1-р алхам: P12 файлыг машинаасаа гарахаас өмнө уншина уу

Файлаас эхлээрэй. Хэрэв доторх субъект, гаргагч, дуусах огноог нэрлэж чадахгүй бол дараа нь шалгаж чадахгүй зүйлийг оруулж байна.

PKCS#12 багц нь ихэвчлэн клиентийн гэрчилгээ, түүний хувийн түлхүүр, гаргагчийн хэлхээг агуулдаг. openssl pkcs12 -in client.p12 -info -noout нь түлхүүрийн материалыг гаргахгүйгээр MAC болон шифрлэлтийн алгоритмыг хэвлэдэг тул багц нууц үгээр хамгаалагдсан эсэх, ямар шифртэйг харж болно. Дараа нь keytool -list -v -keystore client.p12 -storetype PKCS12-г ажиллуулж, бусад нэр, SHA-256 хурууны хээ, утастай харьцуулах хүчинтэй хугацааны цонхыг авна.

Нууц үгийг файлаас өөр сувгаар илгээх эсвэл хуулбар үлдээдэггүй удирдлагатай түгээлтийн урсгалаар файлыг шилжүүлээрэй. Архивтай ижил чат мессежид наасан нууц үг хоёр хяналтыг нэг болгоно.

2-р алхам: VPN аппын үнэхээр уншдаг үүрэнд суулгана уу

Стандарт Android 11-ээс 14 хүртэлх зам нь Тохиргоо, Аюулгүй байдал, Шифрлэлт ба итгэмжлэл, Гэрчилгээ суулгах, дараа нь VPN ба аппын хэрэглэгчийн гэрчилгээгээр дамждаг. Үг хэллэг ба оруулга нь хувилбар, үйлдвэрлэгчийн бүрхүүл хооронд өөрчлөгддөг тул цээжилсэн цэсний байрлалаас илүү итгэмжлэлийн төрлийн шошгыг дагаарай. Ажлын профайлд ажлын талын дотроос суулгана, учир нь итгэмжлэл профайлын хил давдаггүй.

Клиентийн таних тэмдгийг CA гэрчилгээний үүрэнд бүү хий. Тэр үүр нь хэрэглэгчийн итгэлийн агуулахыг тэжээдэг бөгөөд Android 7-оос хойш аппууд хэрэглэгчийн нэмсэн CA-г сүлжээний аюулгүй байдлын тохиргоо зөвшөөрөхгүй л бол үл тоомсорлодог тул тэнд үлдээсэн клиентийн гэрчилгээ VPN түлхүүр сонгогчид хэзээ ч харагдахгүй.

Зарим VPN клиент системийн агуулахад огт хүрдэггүй бөгөөд оронд нь P12-г өөрийн аппын хавтаст оруулдаг. Энэ нь хууль ёсны загвар боловч дараагийн бүх алхмыг өөрчилдөг: түлхүүр одоо аппын sandbox дор амьдардаг бөгөөд тэр апп өөрийн агуулахыг хэр зэрэг зөв удирдахаас хамаарна. KeyChain тоглож байна гэж үзэхээс өмнө клиентийн баримт бичгийг шалгаарай.

3-р алхам: Аль үйлчилгээ үзүүлэгч түлхүүрийг хадгалж байгааг батлаарай

Оруулалт нь задлан шинжилгээг баталдаг, техник хангамжийн дэмжлэгийг биш. Android 12 ба түүнээс хойш KeyInfo.getSecurityLevel() нь түлхүүр Итгэмжлэгдсэн гүйцэтгэлийн орчинд, StrongBox-д эсвэл програм хангамжид байгаа эсэхийг мэдээлдэг бөгөөд хуучин isInsideSecureHardware() дуудлагыг орлоно. Хэрэв VPN клиент тэр утгыг харуулахгүй бол 1-р алхмын хурууны хээ таны нөөц. Оруулах үед дахин кодлогдсон гэрчилгээ байт тутамд таарахгүй, гэхдээ нийтийн түлхүүр ба субъект таарах болно.

Экспортлох боломжгүй нь ашиглах боломжгүй гэсэн үг биш. Төхөөрөмжөөс гарч чадахгүй түлхүүрийг хэрэглэгч тухайн бусад нэрийг сонгох зөвшөөрөл өгсөн аль ч апп ашиглаж болно, иймээс бусад нэрийн асуулт бол жинхэнэ хяналт, ёслол биш. Android Keystore-ийн баримт бичиг ийм загварын шийдвэр гаргаж байгаа бол нэг удаа унших нь зүйтэй.

Дараа нь хийсэн хуулбаруудаа тооцоол. Зөөврийн компьютер дээрх P12, тасалбарын хавсралтад байгаа нь, өнгөрсөн сарын нөөц хуулбарт байгаа нь — гаргагч цуцлах хүртэл бүгд хүчинтэй таних тэмдэг юм. Утас дээрх хувилбарын техник хангамжийн хамгаалалт тэдгээрт юу ч хийхгүй.

4-р алхам: Дэлгэц түгжих шаардлага хэнд хамаарахыг олж мэдээрэй

Энд гурван нууц холилддог: төхөөрөмжийн түгжээ тайлах PIN, хувийн түлхүүрийн нууц үг, VPN бүртгэлийн нууц үг. Нэгийг асуух нь хэзээ ч бусдыг дахин тохируулах хүсэлт биш бөгөөд бурууг дахин тохируулах нь хүмүүс сайн ажиллаж байсан профайлаас өөрсдийгөө түгжих арга юм.

Төхөөрөмжийн администратор эсвэл удирдлагатай профайлын бодлого түгжээ шаардвал шаардлага нь гэрчилгээнд биш, тэр бодлогод хамаарна. adb shell dumpsys device_policy нь идэвхтэй администраторууд болон тэдний хэрэгжүүлж буй нууц үгийн чанарыг жагсаадаг бөгөөд энэ нь таны PIN дүрэм өөрчлөгдсөн шалтгаан MDM агент мөн эсэхийг харах хамгийн хурдан арга юм. Гэрчилгээг устгах нь бодлогыг сулруулахгүй, бодлогыг устгах нь тохиргооны засвар биш, захиргааны шийдвэр юм.

Хэрэглэхэд хялбар байдлын буулт хийхийг хүлээгээрэй. Хэрэв түлхүүр хэрэглэгчийн зөвшөөрөл шаардвал эхний түгжээ тайлахаас өмнө туннель босохгүй тул төлөвлөсөн синхрончлол, алсын сэрээлт загварын дагуу бүтэлгүйтнэ. Үүнийг байрлуулахаас өмнө шийдээрэй, дараа нь биш.

locksettings.db-г засварлах эсвэл мартсан хээний хуучин тойрч гарах аргыг дахин тоглуулах богино замаас зайлсхий. Тэдгээр журам тодорхой бүтээцүүдэд зориулагдсан бөгөөд итгэмжлэлийн агуулахыг фрэймворк цаашид хүлээхгүй төлөвт үлдээж болох бөгөөд тэд түгжээг анх шаардсан бодлогыг хэзээ ч өөрчлөхгүй.

5-р алхам: Таних тэмдгийг зогсоож, татгалзлыг шалгаарай

Зогсоолтын гурван хэсэг байдаг бөгөөд зөвхөн эхнийх нь локал. VPN профайлыг устгаж, хэрэглэгчийн гэрчилгээг Тохиргоо, Аюулгүй байдал, Шифрлэлт ба итгэмжлэл, Хэрэглэгчийн итгэмжлэл доор устгаж, дараа нь гаргагчаар гэрчилгээний серийн дугаарыг цуцлуулаарай. Зөвхөн локал устгал нь хэн нэгэн P12-г хадгалсан бол сервер хүлээн авч байгаа итгэмжлэлийг үлдээдэг.

Таамаглахын оронд үр дүнг шалгаарай. Зогсоосон профайлаар холболт хийж үзээд сервер татгалзаж байгааг батал. Хэрэв туннель боссой хэвээр байвал та буруу серийн дугаарыг цуцалсан эсвэл клиент чимээгүйгээр өөр суулгасан таних тэмдэг рүү шилжсэн гэсэн үг.

Бүтэлгүй оруулалтыг буцааж байгаа бол диск дээр үлдээсэн тайлагдсан түлхүүрийн файлыг дахин ашиглахын оронд анхны шифрлэгдсэн багцаас дахин оруулж, хурууны хээг дахин шалгаарай.