Kan en VPN-profil installere et sertifikat på enheten din?

En VPN-profil kan bære sertifikater, og det er i den setningen mesteparten av forvirringen begynner. Hva den bærer og hva den stoler på er to forskjellige spørsmål, besvart av to forskjellige mekanismer. En innebygd CA som én klient bruker til å verifisere en server, er ikke det samme objektet som en rot hele operativsystemet stoler på. Sammenlign de to før du avgjør at pakken er rutine.

Svaret på spørsmålet i tittelen er ja, med et omfang du må kontrollere.

Hva en VPN-profil kan bære

En OpenVPN-profil kan holde CA-sertifikatet, klientsertifikatet og klientnøkkelen inline mellom taggene sine, slik at klienten leser dem fra selve profilen. Det materialet brukes til verifisering og autentisering inne i den ene klienten. Det kommer ikke inn i systemets tillitslager bare fordi det står i filen.

En plattformkonfigurasjonsprofil er en annen beholder. Den kan bære en sertifikatnyttelast ved siden av styrte innstillinger: Wi-Fi, VPN, begrensninger, og i styrte utrullinger mye mer. Å installere den gir disse innstillingene til operativsystemet i stedet for til én applikasjon. Det er poenget med formatet, og derfor er omfanget viktig.

Tillit innenfor klienten kontra plattformtillit

Tillit innenfor klienten er begrenset av klienten. Hvis CA-en i profilen er feil, feiler den tunnelen og andre applikasjoner blir urørt. Plattformtillit er ikke begrenset av noe bestemt, fordi hver applikasjon som bruker systemlageret arver avgjørelsen.

På Apple-plattformer er de synlig separate trinn.

Å installere en nedlastet profil og å slå på tillit for et sertifikat er ulike handlinger, og den andre har sin egen kontroll i sertifikattillitsinnstillingene. Styrt utrulling kan avvike fra manuell installasjon, også om profilen i det hele tatt kan fjernes. Følg gjeldende plattformdokumentasjon for versjonen din. En forespørsel som ser ut som en del av VPN-oppsettet kan være selve tillitsavgjørelsen.

Hvorfor forskjellen endrer svaret ditt

Hvis noen spør om profilen installerer et sertifikat, nevner et nyttig svar omfanget. En VPN-profil med egen CA endrer hva den klienten godtar. En profil som installerer en sertifikatnyttelast og har tillit slått på, endrer hva enheten godtar. Bare den andre kan påvirke en banknettsted i en nettleser som aldri berører tunnelen.

Det er hele sammenligningen, og det er verdt å si den klart før noen godkjenning.

Hva du bør spørre om før du godkjenner

Spør hvilken funksjon som trenger sertifikatet og hva som bryter sammen uten det. Spør hvem som utstedte det og hva det skal autentisere. Spør hvordan det fjernes, og om fjerning i det hele tatt er tilgjengelig for deg under utrullingsmetoden som brukes. Spør gjennom den ekte operatørkanalen, ikke siden som tilbød nedlastingen.

En nedlastingsside som kaller pakken en VPN-reparasjon, har ikke fortalt deg noe om omfanget.

Å nekte en uventet rot er ikke paranoia; det er den samme avgjørelsen en nettleser tar når den viser en sertifikatadvarsel. Forskjellen er at denne blir stående, og den spør kanskje ikke igjen.

Hvordan fjerning faktisk ser ut

Å slette den nedlastede filen fjerner ikke en installert profil eller sertifikatet dens. Profilen blir stående i enhetens administrasjonsinnstillinger til den fjernes der, og en overvåket eller styrt enhet kan nekte. Kontroller den installerte tilstanden etter enhver godkjent endring og bekreft at sertifikatet er borte i stedet for å anta at filen var hele artefakten. Koble deretter til på nytt og se om tunnelen fortsatt virker, fordi å fjerne CA-en mens profilen blir stående er en egen feilmodus.

Hold en oversikt over utsteder, formål, omfang og fjerningsvei.

Den oversikten er nyttigere enn et fungerende VPN-ikon, fordi den overlever den neste personen som må avgjøre om han skal godkjenne den samme forespørselen på en annen enhet.