Та нэг VPN профайлыг бүгдэд илгээсэн бөгөөд түүнд таны нууц үг байна
Хуваалцсан Apple VPN профайлыг зөвхөн тохиргоонд үлдээж, хүн бүрд өөрийн итгэмжлэлийг өг. Хүлээлгэн өгөхийг хоёр хэсэгт хувааж, дараа нь алдагдсан нууц үгийг олгогч дээр соль.
Профайл цэвэр суурилагдаж, бүгд холбогдоод дараа нь бүртгэлийн нууц үг солигдоно. Файлыг хүлээн авсан бүх төхөөрөмж яг тэр минутад баталгаажуулалтаа зогсооно, учир нь бүгд нэг л нууцыг зөөж байдаг. Энэ бол шинж тэмдэг: хуваалцсан артефакт руу хуулсан нэг итгэмжлэл ердийн нууц үг солихыг бүх флотын саатал болгоно. Дахин ашиглах боломжтой тохиргоо болон хувь хүний таних мэдээллийг хоёр тусдаа хүлээлгэн өгөх байдлаар барих нь үүнээс зайлсхийх бөгөөд Apple-ийн өөрийн төхөөрөмжийн удирдлагын баримт бичиг профайлыг тохиргоо ба эрх олголт гэж үздэг, нууцын агуулах гэж үздэггүй.
Шинж тэмдэг анхны эргэлт дээр илэрдэг
mobileconfig файл нь XML эсвэл гарын үсэг зурсан plist юм. Хуулбартай хэн ч ачааллыг тайлж, дотор нь юу байгааг уншиж чадна, тиймээс загвар дахь AuthPassword утга нь ер бусын файлын өргөтгөлтэй нээлттэй текстийн итгэмжлэл юм. Гарын үсэг бүрэн бүтэн байдал, гарал үүслийг өөрчилдөг, уншигдах байдлыг өөрчилдөггүй. Энэ хооронд таны үнэхээр хуваалцмаар байгаа хэсгүүд, тухайлбал гарцын хаяг, хүлээгдэж буй сервер таних мэдээлэл, урсгалын бодлого бүгдэд ижил байна.
Ямар нэг зүйлийг засахын өмнө талбаруудыг эрэмбэл, учир нь хил хүмүүсийн боддог газарт байдаггүй.
Хуваалцсан тохиргоог хувь итгэмжлэлээс тусгаарла
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
Интерактив зам нь нууц үгийг гадна үлдээж, дэмжигдсэн баталгаажуулалтын зохицуулалтыг түүнийг асуухыг зөвшөөрөх юм. Үүнийг анхааралтай унш: зөвхөн төстэй харагдах талбарыг устгах нь интерактив нэвтрэлт рүү бүх нийтийн хувиргалт биш. IKEv2 ачаалал AuthName болон AuthPassword хооронд ялгадаг бөгөөд баталгаажуулалтын арга нь хүсэлтэд ерөнхийдөө хүрэх боломжтой эсэхийг шийднэ; гэрчилгээнд суурилсан арга нууц үг огт асуухгүй.
Гэрчилгээнд ч хуваалцсан түлхүүр хэрэггүй
Хэрэв гарц гэрчилгээгээр баталгаажуулахыг хүлээж байгаа бол зорилтот хэрэглэгч эсвэл төхөөрөмжийн таних мэдээллийг зөвшөөрөгдсөн механизмаар бүртгэж, хувийн түлхүүрийг загвараас гадна байлга. Хуулбар бүрт нэг хуваалцсан хувийн түлхүүр нь танд ижил эргэлтийн асуудлыг илүү муу нөлөөний радиустай авчирна, учир нь түлхүүрийг хүн бүрд олгоогүй бол хүн тус бүрээр хүчингүй болгох боломжгүй.
Тухайн таних мэдээллийн олголт, шинэчлэлт, хүчингүй болгохыг профайлын шинэчлэлтэй хамт бүртгэ. Хоёулаа хамт хянагдвал шинэчлэлт нь хэрэг явдал биш, төлөвлөсөн ажил болно.
Хяналтгүй машинд гурав дахь хариулт хэрэгтэй
Хэн нэгэн нэвтрэхээс өмнө холбогдох ёстой машин хүсэлтэд хариулж чадахгүй. Энэ нь нэвтэрсэн хүнд тохиргоог хялбарчлахаас өөр шаардлага бөгөөд гарцын эзэнтэй тохиролцсон удирдлагатай таних мэдээлэл эсвэл төхөөрөмж тус бүрийн гэрчилгээгээр шийдэх ёстой, профайлд хүний нууц үг хадгалах замаар биш.
Нууц үг хадгалах нь хоёр дахь хүчин зүйлийг ч арилгадаггүй. Хэрэв гарц MFA шаарддаг бол хадгалсан нууц үгтэй профайл ачаалах үед ч бүтэлгүйтдэг бөгөөд бүтэлгүйтэл нь дутуу хүчин зүйл биш, эвдэрсэн профайл мэт харагдана.
Бодитоор үүсгэсэн артефактыг шалга
Загварууд орхигдуулснаар худал хэлдэг. Удирдлагын үйлчилгээ эсвэл экспортын хэрэгсэл бэлэн файл руу итгэмжлэл шахаж болох бөгөөд дагалдах таних мэдээллийн ачаалал эсвэл оношлогооны хуулбар нь загвар хэзээ ч үзүүлээгүй материал зөөж болно. Хэн авахыг шийдэхийн өмнө үүсгэсэн артефактыг нээ. Итгэмжлэгдсэн олгогч болон хүлээгдэж буй сервер таних мэдээллийн тохиргоог хөндөхгүй хадгал; нууц үг хасах нь гарцын итгэлцлийг сулруулах шалтгаан биш.
Хэрэв жинхэнэ нууц үг эсвэл хувийн таних мэдээлэл аль хэдийн хэт өргөн тархсан бол олгогч дээр хүчингүй болгож, соль. Маргаашийн загварыг засах нь аль хэдийн суулгасан хуулбаруудад юу ч хийхгүй бөгөөд тэдгээр хуулбар нь ард нь байгаа итгэмжлэлийг буцааж авах хүртэл баталгаажуулалтаа үргэлжлүүлнэ.
Туршилтын таних мэдээллээр хүлээлгэн өгөхийг хүлээн ав
Зөвшөөрөгдсөн урсгалаар тусдаа туршилтын таних мэдээлэл гэж бүртгэгдсэн төхөөрөмжид суулгаж, зорилтот баталгаажуулалтыг гүйцээж, туннелийн өсөлтийг зүгээр харахын оронд хувийн нөөцөд хүр. Профайл нь итгэмжлэлийн материал агуулаагүйг баталгаажуул, дараа нь шинэчлэгдэх таних мэдээллийн бичлэгт итгэмжлэл байгааг баталгаажуул. Тэр хос нь хүлээн авалтын шалгалт юм.
Хуваалцсан тохиргоонд нэг шинэчлэлт, хүн бүрд нэг бичлэг, мөн та үнэхээр нэг удаа ашигласан хүчингүй болгох зам.