Cara mengimport sijil VPN pada Android dan mengesahkan kunci

Mengimport sijil klien VPN pada Android mengambil masa beberapa minit. Menyemak bahawa ia mendarat di tempat yang betul mengambil masa lebih lama, dan itulah bahagian yang paling ramai orang langkau sebaik dialog pemasangan menyatakan berjaya. Mesej berjaya hanya bermakna fail itu telah dihuraikan. Ia tidak menjelaskan penyedia mana yang memegang kunci peribadi atau sama ada masih ada salinan di dalam folder Downloads anda.

Langkah 1: Baca P12 sebelum ia meninggalkan mesin anda

Mulakan dengan fail itu sendiri. Jika anda tidak dapat menamakan subjek, pengeluar dan tarikh luput di dalamnya, anda mengimport sesuatu yang tidak akan dapat anda sahkan kemudian.

Bundel PKCS#12 biasanya membawa sijil klien, kunci peribadinya dan rantaian pengeluar. openssl pkcs12 -in client.p12 -info -noout mencetak MAC dan algoritma penyulitan tanpa membuang bahan kunci, jadi anda dapat melihat sama ada bundel dilindungi kata laluan dan dengan sifer apa. Ikuti dengan keytool -list -v -keystore client.p12 -storetype PKCS12 untuk mendapatkan alias, cap jari SHA-256 dan tetingkap kesahan yang akan anda bandingkan dengan telefon.

Hantar kata laluan melalui saluran berbeza daripada fail, atau serahkan fail itu dalam aliran pengedaran terurus yang tidak meninggalkan salinan. Kata laluan yang ditampal dalam mesej sembang yang sama dengan arkib menjadikan dua kawalan menjadi satu.

Langkah 2: Pasang di slot yang benar-benar dibaca oleh aplikasi VPN

Pada Android 11 hingga 14 stok laluannya melalui Tetapan, Keselamatan, Penyulitan dan kelayakan, Pasang sijil, kemudian VPN dan sijil pengguna aplikasi. Kata-kata dan penyarangan berubah antara keluaran dan kulit pengeluar, jadi ikuti label jenis kelayakan dan bukan kedudukan menu yang dihafal. Dalam profil kerja, pasang dari dalam bahagian kerja, kerana kelayakan tidak melintasi sempadan profil.

Jangan letak identiti klien dalam slot sijil CA. Slot itu menyuap stor kepercayaan pengguna, dan sejak Android 7 aplikasi mengabaikan CA yang ditambah pengguna melainkan konfigurasi keselamatan rangkaian mereka membenarkannya, jadi sijil klien yang diletakkan di situ tidak pernah muncul dalam pemilih kunci VPN.

Sesetengah klien VPN tidak pernah menyentuh stor sistem dan sebaliknya mengimport P12 ke direktori aplikasi mereka sendiri. Itu reka bentuk yang sah, tetapi ia mengubah setiap langkah berikutnya: kunci kini hidup di bawah sandbox aplikasi dan hanya sekuat cara aplikasi itu mengendalikan storannya sendiri. Semak dokumentasi klien sebelum menganggap KeyChain terlibat.

Langkah 3: Buktikan penyedia mana yang memegang kunci

Import mengesahkan penghuraian, bukan sokongan perkakasan. Pada Android 12 dan lebih baru, KeyInfo.getSecurityLevel() melaporkan sama ada kunci berada dalam Persekitaran Pelaksanaan Dipercayai, dalam StrongBox atau dalam perisian, dan ia menggantikan panggilan isInsideSecureHardware() yang lebih lama. Jika klien VPN tidak memaparkan nilai itu, cap jari daripada langkah 1 ialah pilihan sandaran anda. Sijil yang dikodkan semula semasa import tidak akan sepadan bait demi bait, tetapi kunci awam dan subjeknya tetap sepadan.

Tidak boleh dieksport bukan bermakna tidak boleh digunakan. Kunci yang tidak boleh meninggalkan peranti masih boleh digunakan oleh mana-mana aplikasi yang pengguna benarkan memilih alias itu, dan itulah sebabnya gesaan alias ialah kawalan sebenar dan bukan formaliti. Dokumentasi Android Keystore wajar dibaca sekali jika anda membuat keputusan reka bentuk itu.

Kemudian ambil kira salinan yang anda buat. P12 pada komputer riba anda, yang dalam lampiran tiket dan yang dalam sandaran bulan lepas semuanya masih identiti sah sehingga pengeluar membatalkannya. Perlindungan perkakasan ke atas instans pada telefon tidak melakukan apa-apa untuk yang itu.

Langkah 4: Ketahui siapa yang memiliki keperluan kunci skrin

Tiga rahsia bercampur di sini: PIN buka kunci peranti, frasa laluan kunci peribadi dan kata laluan akaun VPN. Gesaan untuk satu tidak pernah menjadi permintaan untuk menetapkan semula yang lain, dan menetapkan semula yang salah ialah cara orang mengunci diri mereka keluar daripada profil yang berjalan dengan baik.

Apabila pentadbir peranti atau dasar profil terurus memerlukan kunci, keperluan itu milik dasar tersebut, bukan sijil. adb shell dumpsys device_policy menyenaraikan pentadbir aktif dan mutu kata laluan yang mereka kuatkuasakan, iaitu cara terpantas untuk melihat sama ada ejen MDM punca peraturan PIN anda berubah. Membuang sijil tidak akan melonggarkan dasar, dan membuang dasar ialah keputusan pentadbiran dan bukan pelarasan tetapan.

Jangkakan juga pertukaran kebolehgunaan. Jika kunci memerlukan kebenaran pengguna, terowong tidak boleh naik sebelum buka kunci pertama, jadi penyegerakan berjadual dan bangun jauh gagal mengikut reka bentuk. Putuskan perkara itu sebelum penggunaan, bukan selepasnya.

Elakkan jalan pintas menyunting locksettings.db atau memainkan semula penyelesaian lama untuk corak yang terlupa. Rutin itu ditulis untuk binaan tertentu, ia boleh meninggalkan stor kelayakan dalam keadaan yang tidak lagi dijangka oleh kerangka, dan ia tidak pernah mengubah dasar yang meminta kunci pada mulanya.

Langkah 5: Bersarakan identiti dan sahkan penolakan

Persaraan mempunyai tiga bahagian dan hanya yang pertama bersifat setempat. Buang profil VPN, padam sijil pengguna di bawah Tetapan, Keselamatan, Penyulitan dan kelayakan, Kelayakan pengguna, kemudian minta pengeluar membatalkan nombor siri sijil. Pemadaman setempat sahaja meninggalkan kelayakan yang masih diterima pelayan jika seseorang menyimpan P12.

Sahkan hasilnya dan jangan andaikan. Cuba sambungan dengan profil yang bersara itu dan pastikan pelayan menolaknya. Terowong yang masih naik bermakna anda membatalkan nombor siri yang salah atau klien senyap beralih kepada identiti lain yang dipasang.

Jika anda mengembalikan import yang gagal, import semula daripada bundel penyulitan asal dan semak semula cap jari dan bukan menggunakan semula fail kunci yang dinyahsulit yang anda tinggalkan pada cakera.