iPhone дээр гарын үсэгтэй VPN профайл суулгах уу? Ачаануудыг уншина уу

Профайлууд Тохиргоо хэсэгт нэр, гарын үсэг зурагч, Суулгах товчтойгоор ирдэг бөгөөд хүмүүсийн ихэнх нь гарын үсэг зурагчийн мөрийг л уншдаг. Тэр мөр нэг асуултад хариулна: гарын үсэг шалгах дүрмийн дагуу эдгээр тохиргоог хэн багцалсан бэ. Энэ нь VPN ачаа таны ажил олгогчийн гарц руу зааж байгаа эсэх, эсвэл суулгасан root сертификат таны TLS итгэлцлийн санд хамаарах эсэхийг хэлэхгүй. Доорх заавар нь төхөөрөмжийн хэрэглэх дарааллаар багцыг нээнэ.

Дугтуйнаас эхэл: энэ профайлд хэн гарын үсэг зурсан

iOS дээр профайл Тохиргоо, Ерөнхий, VPN ба Төхөөрөмжийн удирдлага хэсэгт гарч, гарын үсэг зурагч Суулгах товчны дээр харагдана. Ямар ч зүйлд хүрэхээсээ өмнө тэр нэрийг уншаад, тохиргоо хүлээж авахаар хүлээж байсан байгууллага мөн эсэхийг асуу. Танихгүй этгээдийн хүчинтэй гарын үсэг ч хүчинтэй гарын үсэг хэвээр байх бөгөөд энэ нь таных биш, тэдний тохиргоог зөвшөөрдөг. Профайл ер нь гарын үсэгтэй эсэхийг мөн тэр дэлгэц хэлнэ.

Хэрэв файл танд Mac дээр байгаа бол утсанд хүрэхээс нь өмнө шалга. Аюулгүй байдлын хэрэгсэл CMS дугтуйг тайлж, төхөөрөмжийн унших plist-ийг хэвлэнэ; энэ нь Суулгах товчгүй ижил агуулга юм. Гарын үсэг зурахыг гарал үүслийн баталгаажуулалт гэж тайлбарласан Apple-ийн тохиргоог мөрдүүлэх баримт бичиг нь яг энд дурдсан хүрээг тайлбарладаг.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Гарын үсэг зурагч таны хүлээсэн хүн биш бол, эсвэл файл гарын үсэггүй бөгөөд түүнийг батлах боломжгүй сувгаар ирсэн бол энд зогс. Энэ зааврын дараа хийх юу ч итгэмээргүй дугтуйг итгэмжтэй болгохгүй.

Ачаа бүрийг нээж, юу суулгаж байгааг нь нэрлэ

Профайл бол сав бөгөөд сонирхолтой хэсэг нь түүний доторх PayloadContent массив юм. Бичлэг бүр төхөөрөмж юу суулгахыг хэлдэг PayloadType-ийг агуулна: удирдлагатай VPN тохиргоо, PKCS#12 таних тэмдэг, root сертификат эсвэл удирдлагын бүртгэл. Тохиргоонуудын аль нэгийг уншихаас өмнө төрлүүдийг хэвлэ.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN ачаа нь холболтыг нэрлэнэ: серверийн хаяг, баталгаажуулалтын арга, магадгүй апп тус бүрийн эсвэл шаардлагаар ажиллах дүрэм. Таних тэмдгийн ачаа нь тэр холболтын үзүүлэх клиентийн итгэмжлэлийг өгнө. Root сертификатын ачаа нь итгэлцлийн зангуу нэмж, удирдлагын ачаа нь үргэлжилсэн хяналтыг серверт шилжүүлнэ. Эдгээр нь дөрвөн өөр амлалт бөгөөд гарын үсэг нь тус бүрийг тусад нь батлахын оронд багцыг бүрхдэг. Тэдгээрийг тэр дарааллаар унш, учир нь таних тэмдэггүй VPN хэрэггүй, харин таних тэмдэг нь хэн олгосныг мэдэхгүй бол бага ч ач холбогдолтой.

Файлын нууц үгийн хамгаалалт нь дахин тусдаа шинж чанар юм. Шифрлэсэн багц нь нууц үггүй хүнээс агуулгыг нуудаг; доторх зүйлийг та зөвшөөрөх ёстой эсэхийг тэр шийдэхгүй. Нууц үгийг хүргэлтийн механизм гэж үз, хяналт гэж биш.

Сертификатуудыг тэдгээрийг ашигладаг холболт хүртэл дага

Багц дахь сертификатуудыг жагсааж, тус бүрийг нэг ажилтай холбо. Клиентийн сертификат нь энэ төхөөрөмжийг гарц руу таниулна, түүнийг олгосон CA нь тэр холболтын итгэлцлийн гинжинд хамаарна, прокси эсвэл дотоод үйлчилгээнд зориулж суулгасан root нь HTTPS сайт бүрийн зангуу болохгүй. iOS дээр гараар суулгасан root нь Тохиргоо, Төхөөрөмжийн тухай, Сертификатын итгэлцлийн тохиргоо хэсэгт идэвхжүүлэх хүртэл TLS-д итгэмээргүй хэвээр байх бөгөөд удирдлагаар хүргэсэн root нь тэр алхмыгүйгээр итгэмжтэй байдаг. Яг тэр ялгаа нь ачааны зорилго яагаад чухал болохыг харуулдаг.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Таны урсгалыг зөөдөг үйлчилгээ үзүүлэгч нь тэр учраас таны зочилдог вэбсайт бүрийн TLS төгсгөлийн цэг биш. Тасалдал хийхэд урсгалын зам ба аппликейшний хүлээн зөвшөөрдөг итгэлцлийн зангуу хэрэгтэй бөгөөд нэг сертификат агуулсан профайл хоёуланг нь ч нотлохгүй. Профайл суулгахад бүх зүйл тайлагдана гэж таамаглахын оронд аль холболт сертификатыг ашиглаж, аль апп үүнийг хүлээж авахыг асуу.

Суулгасны дараа: шалгаж, устгах нь юу хийдгийг мэд

Профайл суусны дараа татаж авсан файлаас биш, төхөөрөмжөөс нь батал. Тохиргооны дэлгэц суулгасан профайл, түүний гарын үсэг зурагч, ачаануудыг жагсааж, VPN дэлгэц холболт зориулсан ёсоор тохируулагдсан эсэхийг харуулна. Татаж авсан файлыг устгах нь юу ч устгахгүй; суулгасан тохиргоо нь тусдаа объект юм.

profiles show -type configuration
scutil --nc list

Хэрэв профайл удирдлагын бүртгэл агуулж байвал устгахын үр дагаврыг суулгахаас өмнө унш, дараа нь биш. Тэр бүртгэлийг устгах нь холбогдох тохиргоонуудыг хамт аваад явж, төхөөрөмж хэрхэн бүртгэгдсэнээс хамаарч удирдлагатай аппуудыг устгаж болно. Сертификат буруу харагдахад туршиж үзэх засварын алхам энэ биш. Ямар нэг зүйлийг устгахаас өмнө аль ачаа асуудлыг эзэмшиж байгааг администратороос асуу.

Заавар дөрвөн тусдаа хариултаар төгсдөг: багцад хэн гарын үсэг зурсан, ямар ачаануудыг суулгадаг, холболт бүр ямар таних тэмдэг, итгэлцэл ашигладаг, устгах нь юу авч явна. Тэдгээрийг тусдаа байлгавал гарын үсэгтэй профайл ногоон чагтны тэмдгийн оронд хянасан шийдвэр болно.