Ibgħatt profil VPN wieħed lil kulħadd u fih il-password tiegħek

Il-profil jiġi installat nadif, kulħadd jgħaqqad, u mbagħad il-password tal-kont tinbidel. Kull apparat li rċieva l-fajl jieqaf jawtentika fl-istess minuta, għax kollha jġorru l-istess sigriet. Dak hu s-sinjali: kredenzjali waħda kkupjata fi artefatt maqsum tbiddel bidla tal-password ta’ rutina fi qtugħ tal-flotta kollha. Iż-żamma tal-konfigurazzjoni li tista’ terġa’ tintuża u l-identità individwali bħala żewġ kunsinni separati tevita dan, u l- dokumentazzjoni tal-immaniġġjar tal-apparati ta’ Apple stess jittratta l-profili bħala settings u awtorizzazzjoni, mhux bħala maħżen ta’ sigrieti.

Is-sintomu jidher fl-ewwel rotazzjoni

Fajl mobileconfig huwa XML jew plist iffirmat. Kull min għandu kopja jista’ jiddekodifika l-payload u jaqra x’hemm fih, għalhekk valur AuthPassword fi template hija kredenzjali f’tekst ċar b’estensjoni tal-fajl mhux tas-soltu. L-iffirmar ibiddel l-integrità u l-oriġini, mhux il-qari. Sadanittant, il-partijiet li tassew trid taqsam, bħall-indirizz tal-gateway, l-identità mistennija tas-server u l-politika tat-traffiku, huma identiċi għal kulħadd.

Issortja l-oqsma qabel ma tedita xejn, għax il-konfini mhuwiex fejn in-nies jaħsbu.

Aqsam is-settings maqsumin mill-kredenzjali individwali

It-triq interattiva hija li tħalli l-password barra u tħalli l-arranġament tal-awtentikazzjoni appoġġjat jitlobha. Aqra dan b’attenzjoni: it-tħassir ta’ qasam li biss jidher simili mhuwiex konverżjoni universali għal login interattiv. Il-payload IKEv2 jiddistingwi AuthName minn AuthPassword, u l-metodu tal-awtentikazzjoni jiddeċiedi jekk talba hijiex aċċessibbli xejn; metodu bbażat fuq ċertifikat ma jitlobx password xejn.

Anki ċ-ċertifikati m’għandhomx bżonn ċavetta maqsuma

Jekk il-gateway jistenna awtentikazzjoni b’ċertifikat, irreġistra l-identità tal-utent jew tal-apparat maħsuba permezz tal-mekkaniżmu approvat u żomm iċ-ċavetta privata barra mit-template. Ċavetta privata maqsuma f’kull kopja tagħtik l-istess problema tar-rotazzjoni b’raġġ ta’ impatt agħar, għax ċavetta ma tistax tiġi revokata għal kull persuna jekk ma nħarġitx għal kull persuna.

Irreġistra l-ħruġ, it-tiġdid u r-revoka ta’ dik l-identità flimkien mar-reviżjoni tal-profil. Meta t-tnejn jiġu traċċati flimkien, tiġdid huwa kompitu skedat, mhux inċident.

Magni mingħajr sorveljanza jeħtieġu t-tielet tweġiba

Magna li trid tgħaqqad qabel ma xi ħadd jidħol ma tistax twieġeb talba. Dan huwa rekwiżit differenti milli tagħmel is-setup aktar faċli għal persuna li tkun daħlet, u għandu jiġi solvut b’identità ġestita jew ċertifikat għal kull apparat miftiehem mas-sid tal-gateway, mhux billi tinħażen password umana fi profil.

It-tħażżin ta’ password ma jneħħix it-tieni fattur lanqas. Jekk il-gateway jitlob MFA, profil b’password salvata xorta jfalli mal-boot, u l-falliment jidher bħala profil miksur aktar milli fattur nieqes.

Iċċekkja l-artefatt li ġie fil-fatt iġġenerat

It-templates jigdbu bl-ommissjoni. Servizz tal-immaniġġjar jew għodda tal-esportazzjoni jista’ jinjetta kredenzjali fil-fajl lest, u l-payloads tal-identità jew kopji dijanjostiċi li jakkumpanjawh jistgħu jġorru materjal li t-template qatt ma wera. Iftaħ l-artefatt iġġenerat qabel ma tiddeċiedi min jista’ jirċevih. Żomm intatti wkoll is-settings tal-emittent affidabbli u l-identità mistennija tas-server; it-tneħħija ta’ password mhijiex raġuni biex tiddgħajjef il-fiduċja fil-gateway.

Jekk password vera jew identità privata diġà vjaġġat wisq, irrevokaha fl-emittent u ibdelha. L-editjar tat-template ta’ għada ma jagħmel xejn għall-kopji li diġà huma installati, u dawk il-kopji jibqgħu jawtentikaw sakemm il-kredenzjali warajhom tiġi rtirata.

Aċċetta l-kunsinna b’identità tat-test

Installa permezz tal-fluss approvat fuq apparat irreġistrat bħala identità tat-test separata, lesti l-awtentikazzjoni maħsuba u wasal għar-riżorsa privata minflok ma tara biss it-tunnel jogħla. Ikkonferma li l-profil ma fihx materjal ta’ kredenzjali, imbagħad ikkonferma li l-kredenzjali teżisti fir-rekord tal-identità li se jiġi mġedded. Dak il-par huwa t-test tal-aċċettazzjoni.

Reviżjoni waħda għas-settings maqsumin, rekord wieħed għal kull persuna, u triq tar-revoka li tassew użajt darba.