Je stuurde één VPN-profiel naar iedereen en er staat je wachtwoord in

Het profiel installeert netjes, iedereen maakt verbinding en dan wordt het accountwachtwoord gewijzigd. Elk apparaat dat het bestand heeft ontvangen, stopt op dezelfde minuut met authenticeren, omdat ze allemaal hetzelfde geheim dragen. Dat is het teken: één inloggegeven dat in een gedeeld artefact wordt gekopieerd, verandert een routinematige wachtwoordwijziging in een storing voor de hele vloot. De herbruikbare configuratie en de individuele identiteit als twee afzonderlijke overdrachten aanhouden voorkomt dat, en Apples eigen documentatie over apparaatbeheer behandelt profielen als instellingen en autorisatie, niet als een geheimenopslag.

Het symptoom verschijnt bij de eerste rotatie

Een mobileconfig-bestand is XML of een ondertekende plist. Iedereen met een kopie kan de payload decoderen en lezen wat erin staat, dus een AuthPassword-waarde in een sjabloon is een inloggegeven in platte tekst met een ongebruikelijke bestandsextensie. Ondertekenen verandert integriteit en herkomst, niet leesbaarheid. Ondertussen zijn de delen die je echt wilt delen, zoals het gateway-adres, de verwachte serveridentiteit en het verkeersbeleid, voor iedereen identiek.

Sorteer de velden voordat je iets bewerkt, want de grens ligt niet waar mensen denken.

Scheid gedeelde instellingen van individuele inloggegevens

Het interactieve pad is het wachtwoord weglaten en de ondersteunde authenticatieregeling erom laten vragen. Lees dat aandachtig: een veld verwijderen dat er alleen op lijkt is geen universele conversie naar interactief inloggen. De IKEv2-payload onderscheidt AuthName van AuthPassword, en de authenticatiemethode bepaalt of een prompt sowieso bereikbaar is; een op certificaat gebaseerde methode vraagt helemaal geen wachtwoord.

Certificaten hebben ook geen gedeelde sleutel nodig

Als de gateway certificaatauthenticatie verwacht, registreer dan de bedoelde gebruiker- of apparaatidentiteit via het goedgekeurde mechanisme en houd de privésleutel buiten het sjabloon. Eén gedeelde privésleutel in elke kopie geeft je hetzelfde rotatieprobleem met een slechtere impactradius, omdat een sleutel niet per persoon kan worden ingetrokken als hij niet per persoon is uitgegeven.

Leg uitgifte, vernieuwing en intrekking van die identiteit vast naast de profielrevisie. Wanneer beide samen worden gevolgd, is een vernieuwing een geplande taak in plaats van een incident.

Onbeheerde machines hebben een derde antwoord nodig

Een machine die verbinding moet maken voordat iemand inlogt, kan geen prompt beantwoorden. Dat is een andere eis dan de installatie gemakkelijker maken voor een ingelogde persoon, en het moet worden opgelost met een beheerde identiteit of een per apparaat overeengekomen certificaat met de gateway-eigenaar, niet door een menselijk wachtwoord in een profiel op te slaan.

Een wachtwoord opslaan verwijdert ook geen tweede factor. Als de gateway MFA vereist, faalt een profiel met een opgeslagen wachtwoord nog steeds bij het opstarten, en de fout ziet eruit als een kapot profiel in plaats van een ontbrekende factor.

Controleer het artefact dat daadwerkelijk is gegenereerd

Sjablonen liegen door weglating. Een beheerdienst of exporttool kan inloggegevens in het voltooide bestand injecteren, en begeleidende identiteitspayloads of diagnostische kopieën kunnen materiaal bevatten dat het sjabloon nooit toonde. Open het gegenereerde artefact voordat je beslist wie het mag ontvangen. Houd ook de instellingen voor vertrouwde uitgever en verwachte serveridentiteit intact; een wachtwoord verwijderen is geen reden om het gateway-vertrouwen te verzwakken.

Als een echt wachtwoord of een privé-identiteit al te wijd verspreid is, trek het dan in bij de uitgever en vervang het. Het sjabloon van morgen bewerken doet niets voor de al geïnstalleerde kopieën, en die kopieën blijven authenticeren tot het inloggegeven erachter wordt ingetrokken.

Accepteer de overdracht met een testidentiteit

Installeer via de goedgekeurde flow op een apparaat dat is geregistreerd als afzonderlijke testidentiteit, rond de bedoelde authenticatie af en bereik de privébron in plaats van alleen te kijken hoe de tunnel omhoog komt. Bevestig dat het profiel geen inloggegevens bevat en bevestig dan dat het inloggegeven in het identiteitsrecord staat dat wordt vernieuwd. Dat paar is de acceptatietest.

Eén revisie voor gedeelde instellingen, één record per persoon, en een intrekkingspad dat je echt één keer hebt gebruikt.