Wysłano jeden profil VPN do wszystkich, a w nim Twoje hasło

Profil instaluje się czysto, wszyscy się łączą, a potem hasło konta zostaje zmienione. Każde urządzenie, które otrzymało plik, przestaje się uwierzytelniać w tej samej minucie, bo wszystkie noszą ten sam sekret. To jest sygnał: jedno poświadczenie skopiowane do współdzielonego artefaktu zamienia rutynową zmianę hasła w awarię całej floty. Trzymanie konfiguracji wielokrotnego użytku i tożsamości indywidualnej jako dwóch osobnych przekazań tego unika, a własna dokumentacja Apple dotycząca zarządzania urządzeniami traktuje profile jako ustawienia i autoryzację, a nie jako magazyn sekretów.

Objaw pojawia się przy pierwszej rotacji

Plik mobileconfig to XML albo podpisany plist. Każdy, kto ma kopię, może zdekodować zawartość i przeczytać, co jest w środku, więc wartość AuthPassword w szablonie to poświadczenie w czystym tekście z nietypowym rozszerzeniem pliku. Podpisywanie zmienia integralność i pochodzenie, nie czytelność. Tymczasem części, które naprawdę chcesz udostępnić, takie jak adres bramy, oczekiwana tożsamość serwera i polityka ruchu, są identyczne dla wszystkich.

Posortuj pola, zanim cokolwiek edytujesz, bo granica nie jest tam, gdzie ludzie zakładają.

Oddziel ustawienia współdzielone od indywidualnych poświadczeń

Ścieżka interaktywna polega na pozostawieniu hasła na zewnątrz i pozwoleniu obsługiwanemu mechanizmowi uwierzytelniania, by o nie zapytał. Przeczytaj to uważnie: usunięcie pola, które tylko wygląda podobnie, nie jest uniwersalną konwersją na logowanie interaktywne. Zawartość IKEv2 rozróżnia AuthName od AuthPassword, a metoda uwierzytelniania decyduje, czy żądanie jest w ogóle osiągalne; metoda oparta na certyfikacie w ogóle nie zapyta o hasło.

Certyfikaty też nie potrzebują współdzielonego klucza

Jeśli brama oczekuje uwierzytelniania certyfikatem, zarejestruj zamierzoną tożsamość użytkownika lub urządzenia przez zatwierdzony mechanizm i trzymaj klucz prywatny poza szablonem. Jeden współdzielony klucz prywatny w każdej kopii daje ten sam problem rotacji z gorszym promieniem rażenia, bo klucza nie można odwołać per osoba, jeśli nie został wydany per osoba.

Rejestruj wydanie, odnowienie i odwołanie tej tożsamości obok rewizji profilu. Gdy oba są śledzone razem, odnowienie jest zaplanowanym zadaniem, a nie incydentem.

Maszyny bez nadzoru potrzebują trzeciej odpowiedzi

Maszyna, która musi się połączyć, zanim ktokolwiek się zaloguje, nie może odpowiedzieć na żądanie. To inne wymaganie niż ułatwienie konfiguracji zalogowanej osobie, i powinno się je rozwiązać tożsamością zarządzaną lub certyfikatem na urządzenie uzgodnionym z właścicielem bramy, a nie przez zapisanie ludzkiego hasła w profilu.

Zapisanie hasła nie usuwa też drugiego czynnika. Jeśli brama wymaga MFA, profil z zapisanym hasłem nadal zawodzi przy starcie, a awaria wygląda jak zepsuty profil, a nie jak brakujący czynnik.

Sprawdź artefakt, który faktycznie powstał

Szablony kłamią przez przemilczenie. Usługa zarządzania lub narzędzie eksportu może wstrzyknąć poświadczenia do gotowego pliku, a towarzyszące ładunki tożsamości lub kopie diagnostyczne mogą nieść materiał, którego szablon nigdy nie pokazał. Otwórz wygenerowany artefakt, zanim zdecydujesz, kto może go otrzymać. Zachowaj też ustawienia zaufanego wystawcy i oczekiwanej tożsamości serwera; usunięcie hasła nie jest powodem osłabiania zaufania do bramy.

Jeśli prawdziwe hasło lub prywatna tożsamość rozprzestrzeniły się już zbyt szeroko, odwołaj je u wystawcy i zastąp. Edycja jutrzejszego szablonu nic nie robi z już zainstalowanymi kopiami, a te kopie będą się dalej uwierzytelniać, dopóki poświadczenie za nimi nie zostanie wycofane.

Przyjmij przekazanie z tożsamością testową

Zainstaluj przez zatwierdzony przepływ na urządzeniu zarejestrowanym jako osobna tożsamość testowa, dokończ zamierzone uwierzytelnienie i dotrzyj do prywatnego zasobu, zamiast tylko patrzeć, jak tunel się podnosi. Potwierdź, że profil nie zawiera materiału poświadczeń, a potem potwierdź, że poświadczenie istnieje w rekordzie tożsamości, który zostanie odnowiony. Ta para to test akceptacyjny.

Jedna rewizja dla ustawień współdzielonych, jeden rekord na osobę i ścieżka odwołania, której naprawdę raz użyto.