Hva en iPhone-tilbakestilling sletter fra VPN-oppsettet ditt

Slett telefonen, og VPN-profilen kommer kanskje rett og slett ikke tilbake. En iPhone-sikkerhetskopi bærer mye, men den er ikke et løfte om at en privat nøkkel, en administrert profil eller en registreringsstatus kommer tilbake med den. Hullet viser seg vanligvis timer senere, når brukeren er på reise og den slettede telefonen var den eneste fungerende innloggingsveien. Fem fakta skrevet ned på forhånd forhindrer den ettermiddagen.

Hva en sikkerhetskopi bærer, og hva den aldri har hatt

En lokal eller iCloud-sikkerhetskopi gjenoppretter brukerdata og mange appinnstillinger, og den kan gjenopprette legitimasjon som en app velger å inkludere. Den kan ikke gjenskape en privat nøkkel som ble generert inne i secure enclave og merket som ikke-eksporterbar, og den registrerer ikke enheten på nytt i administrasjon. En konfigurasjonsprofil som kom fra en MDM-server, leveres vanligvis på nytt av den serveren, ikke av sikkerhetskopien. Alle tre tilfellene ser like ut på skjermen Innstillinger og oppfører seg forskjellig etter en sletting.

Forskjellen er viktig fordi den avgjør hvem som kan løse problemet. Brukerdata tilhører personen, profilen og dens tillitsankre tilhører den som utstedte dem, og den private nøkkelen tilhører tjenesten som må utstede den på nytt. Hvis du ikke kan navngi disse tre eierne før tilbakestillingen, er gjenopprettingsplanen ufullstendig.

Ett spørsmål tester planen: hvem utsteder en erstatning når nøkkelen er borte? Hvis svaret er ingen, ikke slett telefonen ennå.

Skriv ned hva en kollega kan bygge opp igjen fra

Skriv ned de fem fakta som gjør det mulig for noen andre å bygge opp forbindelsen igjen: tjenesteeier, støttet klient og versjon, endepunktnavn, protokoll og port, og hvordan profilen leveres. Legg til det private DNS-suffikset og de interne applikasjonene som bryter sammen uten tunnelen, for det er dem brukeren rapporterer som ødelagt VPN selv når tunnelen er oppe. Oppbevar notatet i saken eller teamets wiki, aldri i et skjermbilde av et grønt statusikon.

Gjenoppretting av autentisering er et eget notat, og det hører hjemme i passordbehandleren eller organisasjonens identitetsprosess. Å samle nøkler og passord i et ubeskyttet notat fordi en tilbakestilling kommer, er måten en hendelse som kan gjenopprettes blir til en sikkerhetshendelse. Notatet skal si hvor gjenopprettingsmaterialet ligger, ikke gjengi det.

Navngi også personen som kan godkjenne en ny utstedelse av sertifikatet. En godkjenningsvei som tar to dager er fortsatt bedre enn å oppdage det samme dag.

Administrerte og personlige profiler kommer tilbake ulikt

En administrert enhet får innstillingene sine igjen når den registreres på nytt, og derfor kommer registreringen før gjenopprettingen av brukerdata. En personlig profil ligner mer på en nedlastet fil: etter slettingen trenger brukeren en ny nedlasting fra den utstedende tjenesten og en ny tillitsbeslutning. En generell sikkerhetskopi gjenoppretter innstillinger, ikke en privat nøkkel som ble generert som ikke-eksporterbar, så hver legitimasjon må kontrolleres mot sin egen utstedelsesvei og ikke mot gjenopprettingsresultatet.

Bekreft MFA-metoden i samme runde, fordi telefonen som mottar push ofte er telefonen som slettes. Hvis den eneste registrerte faktoren bor der, organiser en andre via identitetsteamet og den verifiserte prosessen før tilbakestillingen. Sertifikatets levetid hører også med i den samtalen, siden et kortlivet sertifikat kan utløpe mens enheten ligger i en skuff, og Apples veiledning for konfigurasjonsprofiler dekker installasjons- og fjerningsforespørslene du møter på veien tilbake. Hvis oppsettsinstruksjonene bare kan leses bak VPN-en, bryt den avhengigheten før slettingen og ikke etter.

Kontroller den gjenopprettede forbindelsen mot en ekte ressurs

Etter gjenopprettingen installerer du den støttede klienten eller profilen, logger inn og åpner en intern ressurs som krever tunnelen. En tilkoblet-indikator beviser at tunnelen finnes, ikke at navneoppslag og ruting når tjenesten brukeren trenger. Kontroller også tillitskjeden: hvis profilen presenterer en ukjent rot, stopp og bekreft utstederen i stedet for å trykke godta for å bli raskt ferdig. En ukjent rot som godtas under en hastig gjenoppretting, er en tillitsbeslutning tatt ved uhell.

Test deretter delene som feiler i stillhet: det private DNS-suffikset som løses til en intern adresse, sertifikatets dato og én applikasjon som avhenger av tunnelen. Be brukeren gjenta innloggingen uten veiledning, fordi forsøket deres er overleveringstesten.

Trekk tilbake den gamle enhetsidentiteten når telefonen byttes ut eller når tilbakestillingen fulgte et tap. Å gjenopprette en profil tilbakekaller ikke en kopi som fortsatt kan finnes et annet sted.

Sjekklisten før tilbakestilling, på ett sted

Eier, klient, endepunkt, protokoll og leveringsmetode; DNS-suffikset og avhengige applikasjoner; MFA-gjenopprettingsveien og hvem som godkjenner den; sertifikatets utstedelsesvei og levetid; og registreringsmetoden for en administrert enhet. Hvis noen linje er tom, er tilbakestillingen et myntkast. Listen tar ti minutter og avgjør om dette er en gjenoppretting eller et avbrudd.

Oppbevar den der personen som utfører gjenopprettingen kan lese den uten telefonen, og gi den en utløpsgjennomgang, fordi endepunkter og eiere endres. Et gjenopprettingsnotat som siterer en nedlagt gateway, er verre enn ingen notat, fordi det inviterer til en selvsikker feil handling.