Android IKEv2: iċ-ċertifikat tal-utent u s-CA jagħmlu xogħlijiet differenti

Skeda IKEv2 f’Android li titlob ċertifikat tal-utent u ċertifikat CA flimkien tidher li qed titlob l-istess ħaġa darbtejn. Mhux hekk. IKEv2 jawtentika ż-żewġ naħat fiż-żewġ direzzjonijiet fi skambju wieħed, u t-telefon għandu rwol differenti f’kull direzzjoni: irid jipprova min hu u jiddeċiedi liema gateway jemmen. Iċ-ċertifikat tal-utent iwieġeb l-ewwel domanda, is-CA afdata t-tieni, u ħadd ma jieħu post l-ieħor.

Żewġ direzzjonijiet ta’awtentikazzjoni fi skambju wieħed

IKEv2 jibni kanal ta’kontroll f’żewġ fażijiet. L-ewwel tinegozja algoritmi u ċwievet; it-tieni, IKE_AUTH, itteħ ħolqa AUTH minn kull naħa flimkien mal-identità tagħha. Il-ħolqa hija firma jew MAC fuq l-iskambju u tiġi vverifikata kontra xi ħaġa li r-riċevitur diġà jafda.

Il-gateway jipprova lilu nnifsu biċ-ċertifikat tiegħu, u t-telefon jivvalida l-katina sa għerq li jaċċetta u jivverifika li l-identità fiċ-ċertifikat taqbel mal-gateway li ried jilħaq; it-telefon jipprova lilu nnifsu bil-kredenzjali tiegħu, u l-gateway jivverifikahom mas-CA li ħarġet iċ-ċertifikat tal-klijent.

Dan huwa l-mekkaniżmu kollu wara ż-żewġ oqsma. Iċ-ċertifikat tal-utent huwa dikjarazzjoni tat-telefon dwaru nnifsu; il-qasam CA huwa dikjarazzjoni dwar min se jemmen. Profil b’wieħed mingħajr l-ieħor ma jistax itemm l-awtentikazzjoni reċiproka, u t-tentattivi mill-ġdid ma jbiddlux dan. Anki l-fallimenti jidhru differenti: mingħajr ċavetta tal-utent it-telefon ma jistax jiffirma, u mingħajr ankra ta’fiduċja ma jistax jaċċetta ċ-ċertifikat tal-gateway.

X’jirrikjedi l-builder tal-profil ta’Android

Il-builder tal-profil IKEv2 f’Android joffri kull metodu ta’awtentikazzjoni separatament, mhux bħala mod wieħed ta’ċertifikat. Il-metodu tal-firma diġitali jieħu ċertifikat tal-utent, ċavetta privata u CA għerq tas-server; l-oħrajn jieħdu isem tal-utent u password, jew ċavetta maqsuma minn qabel.

Aqra dik il-firma b’attenzjoni, għax hija tiddeskrivi l-mekkaniżmu ta’fuq. M’hemmx qasam għaċ-ċavetta privata fil-metodu ta’isem u password, u m’hemmx qasam għall-ankra ta’fiduċja tal-gateway fil-PSK, għax dawk il-metodi jipprovaw affarijiet differenti. Password imwaħħla f’qasam ta’ċertifikat tagħti profil li jfalli f’IKE_AUTH b’messaġġ li ma jsemmi lil ħadd minnhom.

It-tip ta’ċavetta privata dokumentat għall-metodu tal-firma diġitali huwa RSA. Menu b’tikketta IPsec jew ċertifikat ma jimplikax appoġġ għall-ECDSA, u profil mibni fuq dik is-suppożizzjoni jfalli fl-API tal-pjattaforma qabel ma jidħol in-netwerk.

Għaliex ċertifikat pubbliku waħdu mhux biżżejjed

Il-ħolqa AUTH hija firma fuq l-iskambju magħmula biċ-ċavetta privata tal-klijent. Iċ-ċertifikat pubbliku jippermetti lill-gateway jivverifika firma, imma ma jagħmel xejn għat-telefon, li jeħtieġ iċ-ċavetta biex joħloqha. L-importazzjoni ta’biss .crt u tħalli ċ-ċavetta warajk hija l-aktar forma komuni ta’dan il-falliment.

L-infrastruttura taċ-ċwievet ta’Android tirrifletti dan: l-għażla ta’identità tal-klijent tgħaddi minn KeyChain, li teħtieġ aċċess għaċ-ċavetta privata korrispondenti, mhux biss entrata ta’ċertifikat. Pakkett ta’reġistrazzjoni jew fluss ta’ġestjoni tal-apparat li jinstalla l-par flimkien huwa l-mod normali biex tikseb identità użabbli; l-ikkupjar ta’fajl bl-idejn normalment mhux.

Għalhekk iż-żewġ elementi fil-profil mhumiex mazz ta’ċertifikati u kopja tiegħu. Wieħed huwa par ta’ċwievet li l-pjattaforma trid tkun tista’tiffirma bih, l-ieħor hija ankra ta’fiduċja li magħha tqabbel. Ivverifikahom bħala żewġ fatti separati: dan il-profil jista’jiffirma, u jaf lil min għandu jafda?

L-ankri ta’fiduċja huma tal-applikazzjoni, mhux tat-telefon

Għerq installat fil-maħżen tal-utent ma jagħmilx kull applikazzjoni Android tafdah: minn Android 7 applikazzjoni trid tagħżel dan permezz tal-konfigurazzjoni tas-sigurtà tan-netwerk tagħha, u qabel dak ir-rilaxx is-CA installati mill-utent kienu aċċettati ħafna aktar wiesa’. Il-konfigurazzjoni tal-fiduċja tista’tvarja, u klijent VPN li jamministra l-materjal tal-fiduċja tiegħu stess jista’qatt ma jħares lejn il-maħżen tal-utent. Għalhekk l-istess fajl CA jista’jaħdem fi klijent wieħed u jidher injorat f’ieħor.

Minn hemm joħorġu żewġ mudelli ta’sjieda. Profil amministrat mis-sistema juża l-installazzjoni taċ-ċertifikati tal-apparat jew ir-reġistrazzjoni tal-amministratur, u mbagħad jirreferi għas-CA maħsuba. VPN amministrat mill-applikazzjoni jżomm il-materjal tal-fiduċja tiegħu u l-importazzjoni dokumentata tiegħu, li tista’tkun kompletament separata mill-iskeda tas-settings ta’Android. Hemmhekk ukoll tissewwa katina miksur.

Iddeċiedi f’liema mudell int qabel ma timporta xi ħaġa, u mbagħad ikkonferma l-għażla tal-fiduċja tal-profil attiv. Jekk l-istruzzjonijiet tal-operatur u l-menu tal-klijent ma jaqblux, għal dik l-installazzjoni jirbaħ l-imġiba dokumentata tal-klijent, imma s-CA xorta trid tiġi mill-operatur permezz ta’kanal li tista’tivverifika. L-isem ta’fajl mhuwiex prova ta’min ħarġu.

L-ewwel il-mod, imbagħad il-fajls

Il-mod taċ-ċertifikat jeħtieġ par ta’ċwievet tal-klijent, is-CA emittenti fuq in-naħa tal-gateway, ankra ta’fiduċja għaċ-ċertifikat tal-gateway u aspettattiva ta’liema identità għandu jġorr dak iċ-ċertifikat. Isem u password jissostitwixxu l-par ta’ċwievet bil-kredenzjali imma jżommu r-rekwiżit tal-fiduċja fil-gateway. PSK jissostitwixxi t-tnejn b’sigriet maqsum u jbiddel il-mudell tal-fiduċja minflok ma jissimplifikah.

Liema tkun għażilt, ħalli l-validazzjoni normali mixgħula. Għażla bla verifika tneħħi l-kontroll li għalih jeżisti l-qasam CA; ma ssewwix ankra ta’fiduċja nieqsa. L-istess jgħodd għall-aċċettazzjoni ta’xi ċertifikat tas-server għax il-konnessjoni taħdem mingħajru.

Imbagħad ivverifika fil-post it-tajjeb: importa l-materjal, qabbad darba, u fid-dettalji tal-konnessjoni ikkonferma li l-identità tal-gateway hija dik li stennejt u li l-profil jirrapporta l-metodu li ħsibt. Konnessjoni ta’suċċess bil-metodu żbaljat hija konfigurazzjoni li għadek ma tifhimx, u se tfalli meta l-operatur issaħħaħ politika.