Installere ein signert VPN-profil på iPhone? Les nyttelastane

Profilar kjem inn i Innstillingar med eit namn, ein signatar og ein Installer-knapp, og linja med signataren er den delen folk flest les. Den linja svarar på eitt spørsmål: kven som pakka desse innstillingane, etter reglane for signaturstadfesting. Ho seier ikkje at VPN-nyttelasten peikar mot gatewayen til arbeidsgjevaren din, eller at eit innbaka rotsertifikat høyrer heime i TLS-tillitslageret ditt. Gjennomgangen nedanfor opnar pakka i den rekkjefølgja eininga brukar han.

Byrja med konvolutten: kven signerte denne profilen

På iOS viser profilen under Innstillingar, Generelt, VPN og Eininghandsaming, med signataren over Installer-knappen. Les det namnet før du trykkjer på noko, og spør om det er organisasjonen du venta å få innstillingar frå. Ein gyldig signatur frå ein part du ikkje kjenner er framleis ein gyldig signatur, og han godkjenner deira konfigurasjon, ikkje din. Den same skjermen fortel òg om profilen i det heile er signert.

Har du fila på ein Mac, gransk henne før ho når telefonen. Security-verktyet dekodar CMS-konvolutten og skriv ut plisten eininga les, det same innhaldet utan ein Installer-knapp i vegen. Apple sin konfigurasjonshandheving dokumentasjon skildrar signering som opphavsvalidering, nettopp det omfanget som er skildra her.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Stopp her om signataren ikkje er den du venta, eller om fila er usignert og kom gjennom ein kanal som ikkje kan gå god for henne. Ingenting seinare i denne gjennomgangen gjer ein utiltruleg konvolutt til å stole på.

Opne kvar nyttelast og namngje kva han installerer

Ein profil er ein behaldar, og den interessante delen er PayloadContent-matrisa inne i han. Kvar oppføring ber ein PayloadType som seier kva eininga vil installere: ein styrt VPN-konfigurasjon, ein PKCS#12-identitet, eit rotsertifikat eller ei handsamingstilmelding. Skriv ut typane før du les nokon av innstillingane.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Ein VPN-nyttelast nemner ei tilkopling: servaradresse, autentiseringsmetode og moglegvis ei per-app- eller on-demand-regel. Ein identitetsnyttelast leverer klientkreditten som den tilkoplinga presenterer. Ein rotsertifikatnyttelast legg til eit tillitsanker, og ein handsamingsnyttelast gjev ein server varig kontroll. Det er fire ulike lovnader, og signaturen dekkjer pakka i staden for å gå god for kvar av dei separat. Les dei i den rekkjefølgja, fordi VPN-en er unyttig utan identiteten og identiteten seier lite utan å vite kven som gav han ut.

Passordvern på fila er nok ein eigen eigenskap. Ei kryptert pakke gøymer innhaldet for nokon utan passordet; ho avgjer ikkje om du bør godkjenne det som er inni. Handsame passordet som ein leveringsmekanisme, ikkje som ei vurdering.

Spor sertifikata til tilkoplinga som brukar dei

List sertifikata i pakka og kople kvart til ein oppgåve. Klientcertifikatet identifiserer denne eininga mot gatewayen, CA-en som gav det ut høyrer heime i tillitskjeda for den tilkoplinga, og ein rot installert for ein proxy eller ei intern teneste er ikkje automatisk eit anker for kvar HTTPS-nettstad. På iOS blir ein rot installert for hand verande utiltruleg for TLS til du slår han på under Innstillingar, Om, Innstillingar for sertifikattillit, medan ein rot levert via handsaming er tiltruleg utan det steget. Den skilnaden er nettopp grunnen til at føremålet med nyttelasten har noko å seie.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Ein leverandør som fraktar trafikken din er ikkje av den grunn TLS-endepunktet til kvar nettstad du vitjar. Avlytting krev trafikkvegen og eit tillitsanker som programmet godtek, og ein profil med eitt sertifikat provar ingen av delane. Spør kva tilkopling som brukar sertifikatet og kva program som vil godta det, i staden for å gå ut frå at installasjon av profilen dekrypterer alt.

Etter installasjon: stadfest, og vit kva fjerning gjer

Når profilen er installert, stadfest han frå eininga i staden for frå fila du lasta ned. Innstillingsskjermen listar den installerte profilen, signataren og nyttelastane, og VPN-skjermen viser om tilkoplinga er sett opp som tenkt. Å slette den nedlasta fila fjernar ingenting; den installerte konfigurasjonen er eit eige objekt.

profiles show -type configuration
scutil --nc list

Om profilen inneheld ei handsamingstilmelding, les følgjene av fjerning før du installerer han, ikkje etterpå. Å fjerne den tilmeldinga tek dei tilknytte konfigurasjonane med seg og kan fjerne styrte appar, avhengig av korleis eininga vart registrert. Det er ikkje eit reparasjonsteg du prøver når eit sertifikat ser gale ut. Spør administratoren kva nyttelast som eig problemet før du fjernar noko.

Gjennomgangen endar med fire separate svar: kven som signerte pakka, kva nyttelastar ho installerer, kva identitet og tillit kvar tilkopling brukar, og kva fjerning ville ta med seg. Hald dei frå kvarandre, og ein signert profil blir ei vurdert avgjerd i staden for eit grønt hakemerke.