Memasang Profil VPN Bertandatangan pada iPhone? Baca Muatan

Profil tiba dalam Tetapan dengan nama, penandatangan dan butang Pasang, dan baris penandatangan ialah bahagian yang paling ramai orang baca. Baris itu menjawab satu soalan: siapa yang membungkus tetapan ini, menurut peraturan pengesahan tandatangan. Ia tidak menyatakan bahawa muatan VPN menghala ke get laluan majikan anda, atau bahawa sijil akar terbenam tergolong dalam stor kepercayaan TLS anda. Panduan di bawah membuka pakej mengikut urutan peranti akan menggunakannya.

Mulakan dengan sampul: siapa menandatangani profil ini

Pada iOS profil muncul di bawah Tetapan, Umum, VPN dan Pengurusan Peranti, dengan penandatangan dipaparkan di atas butang Pasang. Baca nama itu sebelum anda mengetik apa-apa, dan tanya sama ada ia organisasi yang anda jangkakan menghantar tetapan. Tandatangan sah daripada pihak yang anda tidak kenal tetap tandatangan sah, dan ia memberi kuasa kepada konfigurasi mereka, bukan konfigurasi anda. Skrin yang sama juga memberitahu sama ada profil itu ditandatangani sama sekali.

Jika anda mempunyai fail itu pada Mac, periksanya sebelum ia sampai ke telefon. Alat keselamatan menyahkod sampul CMS dan mencetak plist yang akan dibaca peranti, iaitu kandungan yang sama tanpa butang Pasang menghalang. Dokumentasi Apple tentang penguatkuasaan konfigurasi menerangkan penandatanganan sebagai pengesahan asal, yang tepat sekali skop yang diterangkan di sini.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Berhenti di sini jika penandatangan bukan orang yang anda jangkakan, atau jika fail itu tidak ditandatangani dan tiba melalui saluran yang tidak dapat menjaminnya. Tiada apa-apa kemudian dalam panduan ini menjadikan sampul yang tidak dipercayai boleh dipercayai.

Buka setiap muatan dan namakan apa yang dipasangnya

Profil ialah bekas, dan bahagian yang menarik ialah tatasusunan PayloadContent di dalamnya. Setiap entri membawa PayloadType yang menyatakan apa yang akan dipasang oleh peranti: konfigurasi VPN terurus, identiti PKCS#12, sijil akar, atau pendaftaran pengurusan. Cetak jenisnya sebelum anda membaca mana-mana tetapan.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Muatan VPN menamakan sambungan: alamat pelayan, kaedah pengesahan, dan mungkin peraturan setiap aplikasi atau atas permintaan. Muatan identiti membekalkan kelayakan klien yang akan dikemukakan oleh sambungan itu. Muatan sijil akar menambah sauh kepercayaan, dan muatan pengurusan menyerahkan kawalan berterusan kepada pelayan. Itu empat komitmen berbeza, dan tandatangan meliputi pakej itu dan bukannya menjamin setiap satu secara berasingan. Baca semuanya mengikut urutan itu, kerana VPN tidak berguna tanpa identiti dan identiti tidak bermakna banyak tanpa mengetahui siapa yang mengeluarkannya.

Perlindungan kata laluan pada fail ialah sifat berasingan yang lain. Pakej tersulit menyembunyikan kandungan daripada seseorang yang tiada kata laluan; ia tidak menentukan sama ada anda patut memberi kuasa kepada apa yang ada di dalamnya. Anggap kata laluan sebagai mekanisme penghantaran, bukan sebagai semakan.

Jejaki sijil ke sambungan yang menggunakannya

Senaraikan sijil dalam pakej dan padankan setiap satu dengan satu tugas. Sijil klien mengenal pasti peranti ini kepada get laluan, CA yang mengeluarkannya tergolong dalam rantaian kepercayaan untuk sambungan itu, dan sijil akar yang dipasang untuk proksi atau perkhidmatan dalaman tidak secara automatik menjadi sauh bagi setiap laman HTTPS. Pada iOS, sijil akar yang dipasang secara manual kekal tidak dipercayai untuk TLS sehingga anda mendayakannya di bawah Tetapan, Perihal, Tetapan Kepercayaan Sijil, manakala sijil akar yang dihantar melalui pengurusan dipercayai tanpa langkah itu. Perbezaan itulah sebabnya tujuan muatan itu penting.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Pembekal yang membawa trafik anda bukan, atas sebab itu, titik akhir TLS bagi setiap laman web yang anda lawati. Pemintasan memerlukan laluan trafik dan sauh kepercayaan yang diterima aplikasi, dan profil yang membawa satu sijil tidak membuktikan kedua-duanya. Tanya sambungan mana yang menggunakan sijil itu dan aplikasi mana yang akan menerimanya, dan bukannya menganggap bahawa memasang profil menyahsulit segala-galanya.

Selepas pemasangan: sahkan, dan ketahui apa yang dilakukan oleh pembuangan

Sebaik profil dipasang, sahkan daripada peranti dan bukan daripada fail yang anda muat turun. Skrin tetapan menyenaraikan profil yang dipasang, penandatangannya dan muatannya, dan skrin VPN menunjukkan sama ada sambungan dikonfigurasikan seperti yang dimaksudkan. Memadam fail yang dimuat turun tidak membuang apa-apa; konfigurasi yang dipasang ialah objek berasingan.

profiles show -type configuration
scutil --nc list

Jika profil itu merangkumi pendaftaran pengurusan, baca akibat pembuangannya sebelum anda memasangnya, bukan selepasnya. Membuang pendaftaran itu membawa konfigurasi berkaitannya sekali dan mungkin membuang aplikasi terurus, bergantung pada cara peranti itu didaftarkan. Itu bukan langkah pembaikan untuk dicuba apabila sijil kelihatan salah. Tanya pentadbir muatan mana yang memiliki masalah itu sebelum membuang apa-apa.

Panduan ini berakhir dengan empat jawapan berasingan: siapa yang menandatangani pakej, muatan mana yang dipasangnya, identiti dan kepercayaan mana yang digunakan oleh setiap sambungan, dan apa yang akan dibawa pergi oleh pembuangan itu. Kekalkan semuanya berasingan dan profil bertandatangan menjadi keputusan yang disemak dan bukannya tanda semak hijau.