Installerer du en signert VPN-profil på iPhone? Les nyttelastene

Profiler dukker opp i Innstillinger med et navn, en signerer og en Installer-knapp, og signeringslinjen er den delen folk flest leser. Den linjen svarer på ett spørsmål: hvem som pakket disse innstillingene, etter reglene for signaturverifisering. Den sier ikke at VPN-nyttelasten peker mot arbeidsgiverens gateway, eller at et innebygd rotsertifikat hører hjemme i TLS-tillitslageret ditt. Gjennomgangen nedenfor åpner pakken i den rekkefølgen enheten vil bruke den.

Start med konvolutten: hvem signerte denne profilen

På iOS vises profilen under Innstillinger, Generelt, VPN og Enhetsadministrasjon, med signereren vist over Installer-knappen. Les det navnet før du trykker på noe, og spør om det er organisasjonen du forventet å motta innstillinger fra. En gyldig signatur fra en part du ikke kjenner, er fortsatt en gyldig signatur, og den autoriserer deres konfigurasjon, ikke din. Den samme skjermen forteller deg også om profilen er signert i det hele tatt.

Hvis du har filen på en Mac, undersøk den før den når telefonen. Sikkerhetsverktøyet dekoder CMS-konvolutten og skriver ut plisten enheten vil lese, som er det samme innholdet uten en Installer-knapp i veien. Apples dokumentasjon om håndheving av konfigurasjon beskriver signering som opprinnelsesvalidering, som er nøyaktig omfanget beskrevet her.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Stopp her hvis signereren ikke er den du forventet, eller hvis filen er usignert og kom gjennom en kanal som ikke kan gå god for den. Ingenting senere i denne gjennomgangen gjør en ubetrodd konvolutt til å stole på.

Åpne hver nyttelast og navngi hva den installerer

En profil er en beholder, og den interessante delen er PayloadContent-matrisen inni den. Hver oppføring bærer PayloadType som sier hva enheten vil installere: en administrert VPN-konfigurasjon, en PKCS#12-identitet, et rotsertifikat eller en administrasjonsregistrering. Skriv ut typene før du leser noen av innstillingene.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

En VPN-nyttelast navngir en tilkobling: serveradresse, autentiseringsmetode og muligens en regel per app eller på forespørsel. En identitetsnyttelast leverer klientlegitimasjonen som den tilkoblingen vil presentere. En rotsertifikatnyttelast legger til et tillitsanker, og en administrasjonsnyttelast overlater løpende kontroll til en server. Det er fire forskjellige forpliktelser, og signaturen dekker pakken i stedet for å gå god for hver av dem separat. Les dem i den rekkefølgen, fordi VPN-en er ubrukelig uten identiteten, og identiteten betyr lite uten at du vet hvem som utstedte den.

Passordbeskyttelse på filen er igjen en egen egenskap. En kryptert pakke skjuler innholdet for noen uten passordet; den avgjør ikke om du bør autorisere det som ligger inni. Behandle passordet som en leveringsmekanisme, ikke som en gjennomgang.

Spor sertifikatene til tilkoblingen som bruker dem

List sertifikatene i pakken og koble hvert av dem til en oppgave. Klientsertifikatet identifiserer denne enheten for gatewayen, CA-en som utstedte det hører hjemme i tillitskjeden for den tilkoblingen, og en rot installert for en proxy eller en intern tjeneste er ikke automatisk et anker for hvert HTTPS-nettsted. På iOS forblir en rot installert for hånd ubetrodd for TLS til du aktiverer den under Innstillinger, Om, Innstillinger for sertifikattillit, mens en rot levert av administrasjon er betrodd uten det trinnet. Den forskjellen er nøyaktig hvorfor nyttelastens formål betyr noe.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

En leverandør som frakter trafikken din er ikke av den grunn TLS-endepunktet til hvert nettsted du besøker. Avlytting krever trafikkveien og et tillitsanker applikasjonen godtar, og en profil som bærer ett sertifikat beviser ingen av delene. Spør hvilken tilkobling som bruker sertifikatet og hvilke applikasjoner som vil godta det, i stedet for å anta at installasjon av profilen dekrypterer alt.

Etter installasjon: verifiser, og vit hva fjerning gjør

Når profilen er installert, bekreft den fra enheten i stedet for fra filen du lastet ned. Innstillingsskjermen lister den installerte profilen, signereren og nyttelastene, og VPN-skjermen viser om tilkoblingen er konfigurert som tiltenkt. Sletting av den nedlastede filen fjerner ingenting; den installerte konfigurasjonen er et eget objekt.

profiles show -type configuration
scutil --nc list

Hvis profilen inkluderer en administrasjonsregistrering, les konsekvensene av fjerning før du installerer den, ikke etterpå. Fjerning av den registreringen tar med seg de tilhørende konfigurasjonene og kan fjerne administrerte apper, avhengig av hvordan enheten ble registrert. Det er ikke et reparasjonstrinn å prøve når et sertifikat ser feil ut. Spør administratoren hvilken nyttelast som eier problemet før du fjerner noe.

Gjennomgangen ender med fire separate svar: hvem som signerte pakken, hvilke nyttelaster den installerer, hvilken identitet og tillit hver tilkobling bruker, og hva fjerning ville ta med seg. Hold dem separate, og en signert profil blir en gjennomgått beslutning i stedet for et grønt hakemerke.