Kan een VPN-profiel een certificaat op je apparaat installeren?

Een VPN-profiel kan certificaten bevatten, en in die zin begint de meeste verwarring. Wat het bevat en wat het vertrouwt zijn twee verschillende vragen, beantwoord door twee verschillende mechanismen. Een ingebedde CA die één client gebruikt om een server te verifiëren is niet hetzelfde object als een root die het hele besturingssysteem vertrouwt. Vergelijk die twee voordat je besluit dat het pakket routine is.

Het antwoord op de vraag in de titel is ja, met een reikwijdte die je moet controleren.

Wat een VPN-profiel kan bevatten

Een OpenVPN-profiel kan het CA-certificaat, het clientcertificaat en de clientsleutel inline tussen hun tags bevatten, zodat de client ze uit het profiel zelf leest. Dat materiaal wordt gebruikt voor verificatie en authenticatie binnen die ene client. Het komt niet in de vertrouwensopslag van het systeem terecht alleen omdat het in het bestand staat.

Een platformconfiguratieprofiel is een andere container. Het kan een certificaatpayload naast beheerde instellingen bevatten: Wi-Fi, VPN, beperkingen, en in beheerde uitrollen nog veel meer. Het installeren ervan geeft die instellingen aan het besturingssysteem in plaats van aan één toepassing. Dat is het punt van het formaat, en daarom is reikwijdte belangrijk.

Vertrouwen binnen de client tegenover platformvertrouwen

Vertrouwen binnen de client wordt begrensd door de client. Als de CA in het profiel verkeerd is, mislukt die tunnel en blijven andere toepassingen onaangetast. Platformvertrouwen is door niets bijzonders begrensd, omdat elke toepassing die de systeemopslag gebruikt die beslissing erft.

Op Apple-platforms zijn dat zichtbaar aparte stappen.

Een gedownload profiel installeren en vertrouwen voor een certificaat inschakelen zijn verschillende handelingen, en de tweede heeft zijn eigen bediening in de certificaatvertrouwensinstellingen. Beheerde uitrol kan afwijken van een handmatige installatie, ook of het profiel überhaupt verwijderd kan worden. Volg de actuele platformdocumentatie voor jouw versie. Een melding die eruitziet als onderdeel van de VPN-installatie kan de vertrouwensbeslissing zelf zijn.

Waarom het verschil je antwoord verandert

Als iemand vraagt of het profiel een certificaat installeert, noemt een bruikbaar antwoord de reikwijdte. Een VPN-profiel met een eigen CA verandert wat die client accepteert. Een profiel dat een certificaatpayload installeert en vertrouwen aan heeft staan, verandert wat het apparaat accepteert. Alleen het tweede kan invloed hebben op een banksite in een browser die de tunnel nooit raakt.

Dat is de hele vergelijking, en het is de moeite waard die duidelijk te zeggen vóór enige goedkeuring.

Wat je moet vragen voordat je goedkeurt

Vraag welke functie het certificaat nodig heeft en wat er zonder breekt. Vraag wie het heeft uitgegeven en wat het moet authenticeren. Vraag hoe het wordt verwijderd, en of verwijderen überhaupt voor jou beschikbaar is onder de gebruikte uitrolmethode. Vraag via het echte operatorkanaal, niet via de pagina die de download aanbood.

Een downloadpagina die het pakket een VPN-reparatie noemt, heeft je niets over de reikwijdte verteld.

Een onverwachte root weigeren is geen paranoia; het is dezelfde beslissing die een browser neemt wanneer hij een certificaatwaarschuwing toont. Het verschil is dat deze blijft en misschien niet opnieuw vraagt.

Hoe verwijderen er werkelijk uitziet

Het gedownloade bestand verwijderen verwijdert geen geïnstalleerd profiel of het bijbehorende certificaat. Het profiel blijft in de beheerinstellingen van het apparaat tot het daar wordt verwijderd, en een gecontroleerd of beheerd apparaat kan weigeren. Controleer de geïnstalleerde staat na elke goedgekeurde wijziging en bevestig dat het certificaat weg is in plaats van aan te nemen dat het bestand het hele artefact was. Verbind daarna opnieuw en kijk of de tunnel nog werkt, want de CA verwijderen terwijl het profiel blijft staan is een eigen faalwijze.

Houd een registratie bij van uitgever, doel, reikwijdte en verwijderpad.

Die registratie is nuttiger dan een werkend VPN-pictogram, omdat zij de volgende persoon overleeft die moet beslissen of hij dezelfde melding op een ander apparaat goedkeurt.