Opgeslagen VPN op Android: welk geheim kun je herstellen?
Een telefoon die opnieuw verbinding maakt zonder om een wachtwoord te vragen, slaat er geen op die je kunt kopiëren. Vergelijk de vier inloggegevens en het herstel dat elk ervan vereist.
De telefoon maakt elke ochtend opnieuw verbinding met de VPN zonder iets te vragen. Dat impliceert dat de inloggegevens er ergens in zitten. Meestal niet, althans niet in een vorm die je kunt voorlezen en op een nieuw apparaat kunt intypen.
Wat de telefoon heeft, is bevoegdheid om te verbinden. Wat je wilt, is een geheim dat je kunt meenemen, en dat zijn verschillende eigenschappen die toevallig hetzelfde gedrag op het scherm opleveren.
Voordat je iets reset, bepaal welk van vier soorten geheimen eigenlijk ontbreekt, want elk heeft een andere eigenaar en een ander herstel.
Een werkende verbinding is geen opgeslagen wachtwoord
Een app die stilletjes opnieuw verbinding maakt, kan een wachtwoord, een sessietoken, een verwijzing naar een certificaat of niets meer dan een aan het apparaat gebonden sleutel bevatten die hij niet kan exporteren. Alle vier geven dezelfde gebruikerservaring en geen ervan is uitwisselbaar.
Een rij stippen in een instellingenveld is een weergavebeslissing, geen bewijs. Sommige apps slaan echt een herstelbaar wachtwoord op en bieden aan het te tonen of te exporteren; andere nemen een token uit een single sign-on-stroom en zien het wachtwoord nooit.
De eerste vraag is dus niet waar het bestand staat. Het is welke bevoegdheid de app heeft gekregen, en dat antwoord komt van de provider, niet van het apparaat.
Vier geheimen, vier herstellingen
Koppel je situatie aan één rij voordat je iemand benadert, want het verzoek verandert volledig afhankelijk van welke het is.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
De tweede rij vangt mensen het vaakst. Een PKCS#12-importwachtwoord beschermt sleutelmateriaal en heeft niets met de accountaanmelding te maken, dus het opnieuw instellen van het accountwachtwoord herstelt niets. Als het pakketwachtwoord echt verloren is, is opnieuw uitgeven de oplossing.
De vierde rij verklaart veel verwarrende supportthreads. Het profiel kan verwijzen naar inloggegevens in de sleutelopslag van het platform in plaats van een draagbare kopie te bevatten, en in dat geval valt er in het profiel niets te extraheren, zelfs niet in principe.
Waarom het kopiëren van appgegevens meestal mislukt
Het oude recept is de gegevensmap van de app eruit halen en de configuratie eruit lezen. Op het huidige Android heeft het recept twee onafhankelijke problemen.
Het eerste is het back-upbeleid. Android 12 beperkte appgegevens die via het oude adb backup-pad worden geëxporteerd voor apps die op API 31 of nieuwer richten, en apps kunnen gegevens volledig van de back-up uitsluiten. Een procedure die voor een ouder apparaat is geschreven, is geen universele herstelmethode voor een huidig.
Het tweede is de sleutelopslag. Sleutels die daar worden gegenereerd, kunnen niet-exporteerbaar en hardwaregebonden zijn, zoals de Android Keystore-documentatie beschrijft. Het kopiëren van een versleutelde blob kopieert niet de sleutel die hem ontsleutelt, dus een herstelde map kan inloggegevens bevatten die het nieuwe apparaat nooit kan gebruiken.
Geen van beide problemen is een bug om te omzeilen. Beide zijn het platform dat doet waarvoor het is ontworpen, en ze als obstakels behandelen eindigt meestal met een geroote telefoon en geen wachtwoord.
Stap bewust over op een vervangende telefoon
Doe eerst het ondersteunde. Als de provider een export biedt die de benodigde inloggegevens expliciet bevat, gebruik die dan en controleer het resultaat op het nieuwe apparaat voordat je het oude wist. Zo niet, vraag dan een nieuw profiel of een nieuwe registratie aan, wat de normale weg is voor op certificaten gebaseerde diensten en meestal minder tijd kost dan de omweg.
De volgorde is belangrijk. Registreer de vervanger, verbind hem, stuur een testverzoek door de tunnel en neem pas daarna het origineel buiten gebruik. De werkende telefoon aanhouden tot de nieuwe is bewezen, is de goedkoopste verzekering die er is, en kost alleen geduld.
Plan ook de bijwerkingen van een reset. Als het accountwachtwoord opnieuw wordt ingesteld of de apparaatidentiteit wordt ingetrokken, kunnen andere sessies ongeldig worden, waaronder een laptopclient en een tablet waar niemand aan dacht. Behandel ze in hetzelfde venster in plaats van ze één voor één te ontdekken.
Wat je niet moet doen
Root niet het enige werkende apparaat om naar een platte tekstbestand te zoeken. Je verandert een probleem van toegangsherstel in een probleem van apparaatintegriteit, je kunt de eigen integriteitscontroles van de app breken, en je hebt nog steeds geen garantie dat de waarde die je zoekt in leesbare vorm bestaat.
Plak geen privésleutels, geëxporteerde profielen of wachtwoorden in een supportticket om te bewijzen dat het probleem echt is. De provider heeft de profielnaam, de app-versie, de accountidentificatie en de fout nodig, waarvan geen enkele geheim is.
En schakel certificaatverificatie niet uit om een verbinding te krijgen terwijl je wacht. Dat ruilt een tijdelijke ongemak voor een permanente verzwakking van de enige controle die je vertelt met welke server je praat. Noteer de vier feiten, stel de specifieke vraag en gebruik het uitgegeven pad.