Qed tinstalla Profil VPN Iffirmat fuq iPhone? Aqra t-Tagħbijiet

Profilijiet jaslu fis-Settings b'isem, firmatarju u buttuna Installa, u l-linja tal-firmatarju hija l-parti li l-biċċa l-kbira tan-nies taqra. Dik il-linja twieġeb mistoqsija waħda: min ippakkja dawn is-settings, skont ir-regoli tal-verifika tal-firma. Ma tgħidx li t-tagħbija tal-VPN tipponta lejn il-gateway ta' min iħaddmek, jew li ċertifikat tal-għerq inkorporat jappartjeni fil-maħżen tal-fiduċja TLS tiegħek. Il-mixja hawn taħt tiftaħ il-pakkett bl-ordni li biha l-apparat se japplikah.

Ibda mill-pakkett: min iffirma dan il-profil

Fuq iOS il-profil jidher taħt Settings, Ġenerali, VPN u Ġestjoni tal-Apparat, bil-firmatarju muri fuq il-buttuna Installa. Aqra dak l-isem qabel ma ttektek xejn, u staqsi jekk hijiex l-organizzazzjoni li kont qed tistenna settings mingħandha. Firma valida minn parti li ma tagħrafx xorta waħda hija firma valida, u tawtorizza l-konfigurazzjoni tagħhom, mhux tiegħek. L-istess skrin jgħidlek ukoll jekk il-profil huwiex iffirmat xejn.

Jekk għandek il-fajl fuq Mac, eżaminah qabel ma jasal għall-telefon. L-għodda tas-sigurtà tiddekodifika l-pakkett CMS u tipprintja l-plist li l-apparat se jaqra, li hija l-istess kontenut mingħajr buttuna Installa fit-triq. Id-dokumentazzjoni ta' Apple dwar l-infurzar tal-konfigurazzjoni tiddeskrivi l-firma bħala validazzjoni tal-oriġini, li hija preċiżament l-ambitu deskritt hawn.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Ieqaf hawn jekk il-firmatarju mhuwiex dak li kont qed tistenna, jew jekk il-fajl mhuwiex iffirmat u wasal permezz ta' kanal li ma jistax jiggarantih. Xejn aktar tard f'din il-mixja ma jagħmel pakkett mhux affidabbli wieħed affidabbli.

Iftaħ kull tagħbija u semmi x'jinstalla

Profil huwa kontenitur, u l-parti interessanti hija l-array PayloadContent ġewwa fih. Kull entrata ġġorr PayloadType li tgħid x'se jinstalla l-apparat: konfigurazzjoni VPN ġestita, identità PKCS#12, ċertifikat tal-għerq, jew reġistrazzjoni tal-ġestjoni. Ipprintja t-tipi qabel ma taqra xi waħda mis-settings.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Tagħbija tal-VPN issemmi konnessjoni: indirizz tas-server, metodu ta' awtentikazzjoni, u possibbilment regola għal kull app jew fuq talba. Tagħbija tal-identità tipprovdi l-kredenzjali tal-klijent li dik il-konnessjoni se tippreżenta. Tagħbija taċ-ċertifikat tal-għerq iżżid ankra tal-fiduċja, u tagħbija tal-ġestjoni tgħaddi l-kontroll kontinwu lil server. Dawk huma erba' impenji differenti, u l-firma tkopri l-pakkett minflok ma tiggarantixxi kull wieħed minnhom separatament. Aqrahom f'dik l-ordni, għax il-VPN ma jiswa xejn mingħajr l-identità u l-identità ma tfisser ħafna jekk ma tkunx taf min ħarġitha.

Protezzjoni bil-password fuq il-fajl hija għal darb'oħra proprjetà separata. Pakkett encrypted jaħbi l-kontenut minn xi ħadd mingħajr il-password; ma jiddeċidix jekk għandekx tawtorizza dak li hemm ġewwa. Ikkunsidra l-password bħala mekkaniżmu ta' kunsinna, mhux bħala reviżjoni.

Ittraċċa ċ-ċertifikati sal-konnessjoni li tużahom

Elenca ċ-ċertifikati fil-pakkett u qabbel kull wieħed ma' xogħol. Iċ-ċertifikat tal-klijent jidentifika dan l-apparat mal-gateway, is-CA li ħarġu jappartjeni fil-katina tal-fiduċja għal dik il-konnessjoni, u għerq installat għal proxy jew servizz intern mhuwiex awtomatikament ankra għal kull sit HTTPS. Fuq iOS, għerq installat bl-idejn jibqa' mhux affidabbli għal TLS sakemm tattivah taħt Settings, Dwar, Settings tal-Fiduċja taċ-Ċertifikati, filwaqt li għerq mogħti mill-ġestjoni huwa affidabbli mingħajr dak il-pass. Dik id-differenza hija eżattament għaliex l-iskop tat-tagħbija huwa importanti.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Fornitur li jġorr it-traffiku tiegħek mhuwiex, għal dik ir-raġuni, il-punt tat-tmiem TLS ta' kull sit web li żżur. L-interċettazzjoni teħtieġ il-passaġġ tat-traffiku u ankra tal-fiduċja li l-applikazzjoni taċċetta, u profil li jġorr ċertifikat wieħed ma jipprovax lanqas waħda. Staqsi liema konnessjoni tuża ċ-ċertifikat u liema applikazzjonijiet se jaċċettawh, minflok ma tassumi li l-installazzjoni tal-profil tiddiċifra kollox.

Wara l-installazzjoni: ivverifika, u kun af x'jagħmel it-tneħħija

Ladarba l-profil ikun installat, ikkonfermah mill-apparat minflok mill-fajl li niżżilt. L-iskrin tas-settings jelenka l-profil installat, il-firmatarju tiegħu u t-tagħbijiet tiegħu, u l-iskrin tal-VPN juri jekk il-konnessjoni hijiex ikkonfigurata kif maħsub. It-tħassir tal-fajl li niżżilt ma jneħħi xejn; il-konfigurazzjoni installata hija oġġett separat.

profiles show -type configuration
scutil --nc list

Jekk il-profil jinkludi reġistrazzjoni tal-ġestjoni, aqra l-konsegwenzi tat-tneħħija qabel ma tinstallah, mhux wara. It-tneħħija ta' dik ir-reġistrazzjoni ġġorr magħha l-konfigurazzjonijiet assoċjati tagħha u tista' tneħħi apps ġestiti, skont kif l-apparat ġie rreġistrat. Dan mhuwiex pass ta' tiswija li tipprova meta ċertifikat jidher ħażin. Staqsi lill-amministratur liema tagħbija għandha l-problema qabel ma tneħħi xejn.

Il-mixja tintemm b'erba' tweġibiet separati: min iffirma l-pakkett, liema tagħbijiet jinstalla, liema identità u fiduċja tuża kull konnessjoni, u x'se jġorr miegħu t-tneħħija. Żommhom separati u profil iffirmat isir deċiżjoni riveduta minflok marka tal-verifika ħadra.