Czy profil VPN może zainstalować certyfikat na twoim urządzeniu?

Profil VPN może przenosić certyfikaty i właśnie w tym zdaniu zaczyna się większość zamieszania. Co przenosi, a czemu ufa, to dwa różne pytania, na które odpowiadają dwa różne mechanizmy. Wbudowany CA, którego jeden klient używa do weryfikacji serwera, nie jest tym samym obiektem co root zaufany przez cały system operacyjny. Porównaj te dwa elementy, zanim uznasz pakiet za rutynowy.

Odpowiedź na pytanie z nagłówka brzmi tak, ale z zakresem, który musisz sprawdzić.

Co może przenosić profil VPN

OpenVPN może przechowywać certyfikat CA, certyfikat klienta i klucz klienta wprost między swoimi znacznikami, więc klient odczytuje je z samego profilu. Ten materiał służy do weryfikacji i uwierzytelniania w obrębie tego jednego klienta. Nie trafia do magazynu zaufania systemu tylko dlatego, że znajduje się w pliku.

Profil konfiguracji platformy to inny pojemnik. Może przenosić ładunek certyfikatu obok ustawień zarządzanych: Wi-Fi, VPN, ograniczeń, a we wdrożeniach zarządzanych znacznie więcej. Zainstalowanie go przekazuje te ustawienia systemowi operacyjnemu, a nie jednej aplikacji. Taki jest sens tego formatu i dlatego zakres ma znaczenie.

Zaufanie w zakresie klienta a zaufanie platformy

Zaufanie w zakresie klienta jest ograniczone przez klienta. Jeśli CA w profilu jest błędny, ten tunel zawodzi, a inne aplikacje pozostają nietknięte. Zaufanie platformy nie jest ograniczone niczym szczególnym, bo każda aplikacja korzystająca z magazynu systemu dziedziczy tę decyzję.

Na platformach Apple to są widocznie osobne kroki.

Zainstalowanie pobranego profilu i włączenie zaufania dla certyfikatu to odrębne czynności, a druga ma własną kontrolkę w ustawieniach zaufania certyfikatów. Wdrożenie zarządzane może się różnić od instalacji ręcznej, także tym, czy profil można w ogóle usunąć. Postępuj zgodnie z aktualną dokumentacją platformy dla twojej wersji. Monit, który wygląda jak część konfiguracji VPN, może być samą decyzją o zaufaniu.

Dlaczego ta różnica zmienia twoją odpowiedź

Jeśli ktoś pyta, czy profil instaluje certyfikat, użyteczna odpowiedź nazywa zakres. Profil VPN z własnym CA zmienia to, co akceptuje ten klient. Profil, który instaluje ładunek certyfikatu i ma włączone zaufanie, zmienia to, co akceptuje urządzenie. Tylko drugi może wpłynąć na stronę banku w przeglądarce, która nigdy nie dotyka tunelu.

To całe porównanie i warto je jasno powiedzieć przed jakąkolwiek zgodą.

O co pytać przed zatwierdzeniem

Zapytaj, która funkcja potrzebuje certyfikatu i co się psuje bez niego. Zapytaj, kto go wydał i co ma uwierzytelniać. Zapytaj, jak się go usuwa i czy usunięcie jest dla ciebie w ogóle dostępne w stosowanej metodzie wdrożenia. Pytaj prawdziwym kanałem operatora, a nie przez stronę, która zaproponowała pobranie.

Strona pobierania, która nazywa pakiet naprawą VPN, nie powiedziała ci nic o zakresie.

Odmowa zaufania nieoczekiwanemu rootowi to nie paranoja; to ta sama decyzja, którą podejmuje przeglądarka, pokazując ostrzeżenie o certyfikacie. Różnica polega na tym, że ta zostaje i może już nie zapytać.

Jak naprawdę wygląda usuwanie

Usunięcie pobranego pliku nie usuwa zainstalowanego profilu ani jego certyfikatu. Profil pozostaje w ustawieniach zarządzania urządzeniem, dopóki nie zostanie tam usunięty, a urządzenie nadzorowane lub zarządzane może odmówić. Sprawdź stan instalacji po każdej zatwierdzonej zmianie i potwierdź, że certyfikatu nie ma, zamiast zakładać, że plik był całym artefaktem. Potem połącz się ponownie i sprawdź, czy tunel nadal działa, bo usunięcie CA przy zachowanym profilu to odrębny tryb awarii.

Prowadź zapis wystawcy, celu, zakresu i ścieżki usunięcia.

Ten zapis jest użyteczniejszy niż działająca ikona VPN, bo przeżyje następną osobę, która będzie musiała zdecydować, czy zatwierdzić ten sam monit na innym urządzeniu.