Kif timporta ċertifikat VPN fuq Android u tivverifika ċ-ċavetta

L-importazzjoni ta' ċertifikat tal-klijent VPN fuq Android tieħu ftit minuti. Il-verifika li wasal fil-post it-tajjeb tieħu aktar ħin, u dak huwa l-parti li ħafna nies jaqbżu hekk kif id-djalogu tal-installazzjoni jgħid suċċess. Messaġġ ta' suċċess ifisser biss li l-fajl ġie analizzat. Ma jgħid xejn dwar liema fornitur iżomm iċ-ċavetta privata jew dwar jekk għadx hemm kopja fil-folder Downloads tiegħek.

Pass 1: Aqra l-P12 qabel ma jitlaq mill-magna tiegħek

Ibda mill-fajl innifsu. Jekk ma tistax issemmi s-suġġett, l-emittent u d-data tal-iskadenza ġo fih, qed timporta xi ħaġa li ma tkunx tista' tivverifika aktar tard.

Pakkett PKCS#12 normalment iġorr ċertifikat tal-klijent, iċ-ċavetta privata tiegħu u l-katina tal-emittent. openssl pkcs12 -in client.p12 -info -noout jistampa l-MAC u l-algoritmi tal-kriptaġġ mingħajr ma jxerred materjal taċ-ċavetta, sabiex tara jekk il-pakkett huwiex protett b'password u b'liema cipher. Kompli bi keytool -list -v -keystore client.p12 -storetype PKCS12 biex tikseb l-alias, il-marka tas-swaba' SHA-256 u t-tieqa tal-validità li se tqabbel mat-telefon.

Ibgħat il-password minn kanal differenti mill-fajl, jew għaddi l-fajl f'fluss ta' distribuzzjoni ġestit li ma jħalli l-ebda kopja. Password imwaħħla fl-istess messaġġ taċ-chat bħall-arkivju ddawwar żewġ kontrolli f'waħda.

Pass 2: Installa f'slot li l-app VPN tassew taqra

Fuq Android 11 sa 14 standard it-triq tgħaddi minn Settings, Sigurtà, Kriptaġġ u kredenzjali, Installa ċertifikat, imbagħad VPN u ċertifikat tal-utent tal-app. Il-kliem u l-bejta jinbidlu bejn rilaxxi u skins tal-manifatturi, għalhekk segwi t-tikketta tat-tip ta' kredenzjali minflok pożizzjoni tal-menu memorizzata. Fi profil tax-xogħol, installa minn ġewwa n-naħa tax-xogħol, għax il-kredenzjali ma jaqsmu l-fruntiera tal-profil.

Tqegħidx identità tal-klijent fis-slot taċ-ċertifikat CA. Dak is-slot jitma l-maħżen tal-fiduċja tal-utent, u minn Android 7 l-apps jinjoraw is-CAs miżjuda mill-utent sakemm il-konfigurazzjoni tas-sigurtà tan-netwerk tagħhom ma tippermettix, għalhekk ċertifikat tal-klijent imqiegħed hemm qatt ma jidher fil-picker taċ-ċwievet tal-VPN.

Xi klijenti VPN qatt ma jmissu l-maħżen tas-sistema u minflok jimportaw il-P12 fid-direttorju tal-app tagħhom stess. Dan huwa disinn leġittimu, iżda jibdel kull pass sussegwenti: iċ-ċavetta issa tgħix taħt is-sandbox tal-app u hija eżattament b'saħħitha skont kif dik l-app tittratta l-ħażna tagħha stess. Iċċekkja d-dokumentazzjoni tal-klijent qabel ma tassumi li KeyChain qed jidħol.

Pass 3: Ipprova liema fornitur iżomm iċ-ċavetta

L-importazzjoni tikkonferma l-analisi, mhux l-appoġġ tal-ħardwer. Fuq Android 12 u aktar tard, KeyInfo.getSecurityLevel() jirrapporta jekk ċavetta tinsabx fl-Ambjent tal-Eżekuzzjoni Affidabbli, fi StrongBox jew fis-software, u jissostitwixxi s-sejħa eqdem isInsideSecureHardware(). Jekk il-klijent VPN ma jurix dak il-valur, il-marka tas-swaba' mill-pass 1 hija l-alternattiva tiegħek. Ċertifikat ikkodifikat mill-ġdid waqt l-importazzjoni ma jaqbilx bajt b'bajt, iżda ċ-ċavetta pubblika u s-suġġett xorta jaqblu.

Mhux esportabbli mhuwiex l-istess bħal mhux użabbli. Ċavetta li ma tistax titlaq mill-apparat xorta tista' tintuża minn kwalunkwe app li l-utent jawtorizza biex tagħżel dak l-alias, u għalhekk il-prompt tal-alias huwa kontroll reali u mhux formalità. Id-dokumentazzjoni tal-Android Keystore tiswa qari wieħed jekk qed tieħu dik id-deċiżjoni tad-disinn.

Imbagħad ikkunsidra l-kopji li għamilt. Il-P12 fuq il-laptop tiegħek, dik fl-anness tat-ticket u dik fil-backup tax-xahar li għadda kollha għadhom identitajiet validi sakemm l-emittent jirrevokahom. Il-protezzjoni tal-ħardwer tal-istanza fuq it-telefon ma tagħmel xejn għal dawk.

Pass 4: Skopri lil min tappartjeni l-ħtieġa tal-ikkowdjar tal-iskrin

Hawn jitħalltu tliet sigrieti: il-PIN tal-iżblokk tal-apparat, il-passphrase taċ-ċavetta privata u l-password tal-kont VPN. Talba għal waħda qatt mhi talba biex terġa' tissettja l-oħrajn, u li tissettja mill-ġdid dik ħażina hija kif in-nies jaqbdu lilhom infushom barra minn profil li kien qed jaħdem tajjeb.

Meta amministratur tal-apparat jew politika ta' profil ġestit titlob lock, il-ħtieġa tappartjeni lil dik il-politika, mhux liċ-ċertifikat. adb shell dumpsys device_policy jelenka l-amministraturi attivi u l-kwalità tal-password li jinfurzaw, li hija l-eħfef triq biex tara jekk aġent MDM huwiex ir-raġuni li nbidlu r-regoli tal-PIN tiegħek. It-tneħħija taċ-ċertifikat mhux se ttaffi l-politika, u t-tneħħija tal-politika hija deċiżjoni amministrattiva u mhux aġġustament tas-settings.

Stenna wkoll kompromess fl-użabilità. Jekk iċ-ċavetta teħtieġ awtorizzazzjoni tal-utent, it-tunnel ma jistax jitla' qabel l-ewwel żblokk, għalhekk is-sinkronizzazzjonijiet skedati u l-qajm mill-bogħod ifallu bid-disinn. Iddeċiedi dan qabel l-iskjerament, mhux wara.

Evita t-triq qasira li teditja locksettings.db jew li terġa' tindaqq soluzzjoni qadima għal mudell minsija. Dawk ir-rutini nkitbu għal builds speċifiċi, jistgħu jħallu l-maħżen tal-kredenzjali fi stat li l-framework ma għadux jistenna, u qatt ma jbiddlu l-politika li talbet il-lock fl-ewwel lok.

Pass 5: Irreżenja l-identità u vverifika r-rifjut

Ir-riżenja għandha tliet partijiet u l-ewwel waħda biss hija lokali. Neħħi l-profil VPN, ħassar iċ-ċertifikat tal-utent taħt Settings, Sigurtà, Kriptaġġ u kredenzjali, Kredenzjali tal-utent, imbagħad agħmel lill-emittent jirrevoka n-numru tas-serje taċ-ċertifikat. It-tħassir lokali waħdu jħalli kredenzjali li s-server għadu jaċċetta jekk xi ħadd żamm il-P12.

Ivverifika r-riżultat minflok tassumih. Ipprova konnessjoni bil-profil irriżenjat u kkonferma li s-server jirrifjutaha. Tunnel li għadu jitla' jfisser li rrevokajt in-numru tas-serje ħażin jew li l-klijent waqa' bil-kwiet fuq identità oħra installata.

Jekk qed tirriversja importazzjoni falluta, erġa' importa mill-pakkett kriptat oriġinali u erġa' ċċekkja l-marka tas-swaba' minflok terġa' tuża fajl taċ-ċavetta dekrivat li ħallejt fuq id-diska.