Konfigurazzjoni taċ-ċertifikat IKEv2 fuq l-iPhone: reġistrazzjoni manwali jew maniġġjata

L-għażla ta' RSA għax l-għodda taċ-ċertifikati tal-gateway tużaha bħala l-default hija deċiżjoni li tittieħed qabel il-mistoqsija li timporta: kif se jiġu rreġistrati dawn l-iPhone? Konnessjoni li l-utent jittajpja huwa stess u profil ta' konfigurazzjoni li jiġi pprovdut mill-maniġment jesponu settings differenti, u xi għażliet taċ-ċertifikat jeżistu biss fuq wieħed minn dawn il-passaġġi. Agħmel is-sekwenza sew u l-pjan taċ-ċertifikat isir qasir; żbalja u toħroġ kredenzjali li t-telefon mhux se juża. Ittratta l-passi hawn taħt bħala sekwenza, għax kull wieħed idawwar l-għażliet disponibbli għal dak li jmiss.

L-ewwel pass: agħżel il-passaġġ tar-reġistrazzjoni

Konfigurazzjoni manwali tfisser li l-utent jidħol l-indirizz tas-server, jagħżel il-metodu ta' awtentikazzjoni u jipprovdi kwalunkwe kredenzjali li tippermetti l-interface. Reġistrazzjoni maniġġjata tfisser li profil iġorr l-indirizz, l-identifikaturi u referenza għal payload ta' kredenzjali. Il-passaġġ maniġġjat jista' jesprimi kombinazzjonijiet li l-iskrin manwali ma jistax, u għalhekk id-deċiżjoni taċ-ċertifikat trid tiġi wara din l-għażla u mhux qabel.

Iż-żewġ passaġġi jistgħu jawtentikaw telefon. Huma differenti f'dak li tista' tikkonfigura u f'min jippossjedi l-identità, għalhekk agħżel wieħed b'mod deliberat minflok tħallat profil maniġġjat ma' dħul manwali ta' kredenzjali.

It-tieni pass: agħżel algoritmi għall-passaġġ li għażilt

Għall-iPhone konfigurati manwalment, in-noti tal-interoperabilità iOS ta' strongSwan jirrakkomandaw ċertifikat tas-server RSA, għax il-klijent manwali jista' ma jaċċettax ċertifikat tas-server ECDSA; l-istess noti jittrattaw macOS separatament. Aqra dan bħala gwida għas-sett ta' klijenti appoġġjati, mhux bħala liġi permanenti dwar apparati Apple. Profil maniġġjat għandu aktar spazju: jista' jagħżel it-tip taċ-ċertifikat b'mod espliċitu, inkluż identità tal-klijent ECDSA, meta l-payload u l-gateway it-tnejn jappoġġjawh.

Ivvalida l-verżjonijiet iOS li tassew tappoġġja qabel ma tiskjera xi ħaġa. Telefon tal-laboratorju fuq l-aħħar verżjoni ma jiddeskrix flotta li tinkludi apparati eqdem, u algoritmu li jaħdem fil-laboratorju jista' xorta jfalli fuq l-eqdem telefon fil-qasam. Ħu l-firxa tal-verżjonijiet mill-ġestjoni tal-apparati u mhux mill-memorja. Jekk il-flotta tinfirex fuq diversi verżjonijiet, ipprova l-eqdem wieħed l-ewwel, għax hemmhekk l-interface manwali hija l-aktar restrittiva.

It-tielet pass: aqra l-oqsma tal-profil bħala affarijiet separati

Diversi muftieħ b'isem simili jiddeskrivu oġġetti differenti. L-indirizz remot huwa l-host li t-telefon iċempel. L-identifikatur remot huwa l-identità IKE li huwa jistenna li l-gateway tippreżenta. Ir-referenza taċ-ċertifikat fil-payload tindika kredenzjali tal-klijent, u l-qasam tat-tip taċ-ċertifikat jagħżel it-tip użat għall-awtentikazzjoni tal-magna IKEv2. Xejn minn dawn mhuwa l-algoritmu tal-firma tas-CA, għalkemm il-kliem jaqsam.

Ir-referenza tal-payload IKEv2 ta' Apple telenka RSA bħala t-tip taċ-ċertifikat default b'varjanti ECDSA espliċiti, u torbot il-muftieħ tal-isem tal-emittent ma' settings ta' awtentikazzjoni partikolari. Aqra dawk ir-relazzjonijiet fir-referenza għall-metodu li għażilt minflok ma tikkopja muftieħ wieħed minn skjerament li jaħdem.

Ir-raba' pass: allinja l-identità tal-gateway maċ-ċertifikat tiegħu

Uża isem tal-gateway espliċitu, pereżempju vpn.example.com u poġġi isem tas-suġġett alternattiv li jaqbel fiċ-ċertifikat tas-server. Il-gwida Apple ta' strongSwan tistenna wkoll l-użu estiż tal-muftieħ għall-awtentikazzjoni tas-server. L-għażla ta' RSA jew ECDSA ma tibdel xejn minn dan: algoritmu ma jistax isewwi nuqqas ta' qbil fl-isem, EKU nieqes jew katina mhux sħiħa.

Id-distribuzzjoni tal-ankra tal-fiduċja hija kompitu separat milli tasserixxi l-identità. It-telefon jeħtieġ katina taċ-ċertifikati li jista' jivvalida, u jeħtieġ li jkun ikkonfigurat biex jistenna l-isem li tassew poġġejt fiċ-ċertifikat.

Li pjattaforma oħra tikkonnettja b'suċċess huwa evidenza dwar ir-regoli tal-validazzjoni ta' dik il-pjattaforma, mhux permess li tħall ir-regoli tat-telefon. Żomm il-verifiki identiċi bejn il-klijenti sakemm ma jkollokx raġuni dokumentata biex tvarja.

Il-ħames pass: issepara l-identità tal-klijent mill-fiduċja fis-CA

Ċertifikat tal-klijent u l-muftieħ privat tiegħu mhumiex l-istess oġġett bħaċ-ċertifikat tas-CA li t-telefon jafda. L-immuntar ta' ċertifikat tas-CA fi ħdan identità PKCS#12 ma jinstallahx awtomatikament bħala ankra tal-fiduċja fuq kull apparat appoġġjat, għalhekk ittratta d-distribuzzjoni tal-fiduċja bħala pass għalih bl-verifika tiegħu stess.

Jekk id-disinn juża minflok EAP ibbażat fuq il-password, it-telefon jeħtieġ l-awtentikazzjoni tal-kont maħsuba flimkien mal-validazzjoni tas-server. Dak il-passaġġ ma jiġġustifikax it-tbaħħir ta' muftieħ privat wieħed maqsum tal-klijent lill-flotta kollha, li huwa disinn differenti b'mod ta' falliment ferm agħar.

Ilesti l-pjan b'kont meħud tat-tiġdid u r-revoka: min jerġa' joħroġ il-kredenzjali tal-klijent, kif jiġi aġġornat il-profil u kif telefon mitluf jiġi skonnettjat. Irreġistra l-verżjoni tal-profil u l-verżjonijiet tal-apparati li vvalidejt kontrihom, għax dak ir-rekord huwa dak li jagħmel it-tibdil taċ-ċertifikat li jmiss bidla rutina.