Zapisany VPN na Androidzie: który sekret możesz odzyskać?
Telefon, który łączy się ponownie bez pytania o hasło, nie przechowuje takiego, które możesz skopiować. Porównaj cztery rodzaje poświadczeń i odzyskiwanie, którego wymaga każde z nich.
Telefon każdego ranka ponownie łączy się z VPN, o nic nie pytając. To sugeruje, że poświadczenie jest gdzieś w środku. Zwykle nie jest, przynajmniej nie w formie, którą możesz odczytać i wpisać w nowym urządzeniu.
Telefon ma uprawnienie do łączenia się. Ty chcesz sekretu, który możesz zabrać ze sobą, a to różne właściwości, które przypadkowo dają to samo zachowanie na ekranie.
Zanim cokolwiek zresetujesz, ustal, którego z czterech rodzajów sekretu naprawdę brakuje, bo każdy ma innego właściciela i inne odzyskiwanie.
Działające połączenie to nie zapisane hasło
Aplikacja, która po cichu łączy się ponownie, może trzymać hasło, token sesji, odwołanie do certyfikatu lub nic więcej niż klucz powiązany z urządzeniem, którego nie może wyeksportować. Wszystkie cztery dają to samo doświadczenie użytkownika i żadne nie jest wymienne.
Rząd kropek w polu ustawień to decyzja o wyświetlaniu, nie dowód. Niektóre aplikacje naprawdę przechowują odzyskiwalne hasło i oferują jego ujawnienie lub eksport; inne pobierają token z przepływu jednokrotnego logowania i nigdy nie widzą hasła.
Więc pierwsze pytanie nie brzmi, gdzie jest plik. Brzmi, jakie uprawnienie otrzymała aplikacja, a ta odpowiedź pochodzi od dostawcy, nie od urządzenia.
Cztery sekrety, cztery odzyskiwania
Dopasuj swoją sytuację do jednego wiersza, zanim się z kimkolwiek skontaktujesz, bo prośba zmienia się całkowicie w zależności od tego, który to przypadek.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
Drugi wiersz najczęściej łapie ludzi. Hasło importu PKCS#12 chroni materiał klucza i nie ma związku z logowaniem do konta, więc reset hasła konta niczego nie odzyskuje. Jeśli hasło pakietu naprawdę zginęło, rozwiązaniem jest ponowne wydanie.
Czwarty wiersz wyjaśnia wiele mylących wątków pomocy. Profil może odwoływać się do poświadczenia w magazynie kluczy platformy zamiast zawierać przenośną kopię, a w takim przypadku w profilu nie ma czego wyodrębnić nawet w zasadzie.
Dlaczego kopiowanie danych aplikacji zwykle się nie udaje
Stara recepta polega na wyciągnięciu katalogu danych aplikacji i odczytaniu z niego konfiguracji. Na obecnym Androidzie recepta ma dwa niezależne problemy.
Pierwszy to polityka kopii zapasowych. Android 12 ograniczył dane aplikacji eksportowane starą ścieżką adb backup dla aplikacji kierowanych na API 31 lub nowsze, a aplikacje mogą całkowicie wykluczyć dane z kopii zapasowej. Procedura napisana dla starszego urządzenia nie jest uniwersalną metodą odzyskiwania dla obecnego.
Drugi to magazyn kluczy. Klucze tam generowane mogą być nieeksportowalne i powiązane ze sprzętem, jak opisuje dokumentacja Android Keystore. Kopiowanie zaszyfrowanego bloba nie kopiuje klucza, który go odszyfrowuje, więc przywrócony katalog może zawierać poświadczenie, którego nowe urządzenie nigdy nie będzie mogło użyć.
Żaden z tych problemów nie jest błędem do obejścia. Oba są platformą robiącą to, do czego została zaprojektowana, a traktowanie ich jako przeszkód zwykle kończy się zrootowanym telefonem i brakiem hasła.
Świadomie przejdź na telefon zastępczy
Najpierw zrób to, co jest obsługiwane. Jeśli dostawca oferuje eksport, który wyraźnie zawiera potrzebne poświadczenia, użyj go i zweryfikuj wynik na nowym urządzeniu, zanim wyczyścisz stare. Jeśli nie, poproś o nowy profil lub rejestrację, co jest normalną drogą dla usług opartych na certyfikatach i zwykle zajmuje mniej czasu niż obejście.
Kolejność ma znaczenie. Zarejestruj zamiennik, podłącz go, przepuść testowe żądanie przez tunel i dopiero potem wycofaj oryginał. Trzymanie działającego telefonu, dopóki nowy nie zostanie udowodniony, to najtańsze dostępne ubezpieczenie i kosztuje tylko cierpliwość.
Zaplanuj też skutki uboczne resetu. Jeśli hasło konta zostanie zresetowane lub tożsamość urządzenia zostanie odwołana, inne sesje mogą stać się nieważne, w tym klient na laptopie i tablet, o którym nikt nie pamiętał. Zajmij się nimi w tym samym oknie zamiast odkrywać je po kolei.
Czego nie robić
Nie rootuj jedynego działającego urządzenia, aby szukać pliku z czystym tekstem. Zamieniasz problem odzyskiwania dostępu na problem integralności urządzenia, możesz zepsuć własne kontrole integralności aplikacji, a nadal nie masz gwarancji, że szukana wartość istnieje w czytelnej formie.
Nie wklejaj prywatnych kluczy, wyeksportowanych profili ani haseł do zgłoszenia do pomocy, aby udowodnić, że problem jest prawdziwy. Dostawca potrzebuje nazwy profilu, wersji aplikacji, identyfikatora konta i błędu, z których żaden nie jest tajny.
I nie wyłączaj weryfikacji certyfikatów, aby uzyskać połączenie w czasie oczekiwania. To wymienia tymczasową niedogodność na trwałe osłabienie jedynego sprawdzenia, które mówi, z którym serwerem rozmawiasz. Zapisz cztery fakty, zadaj konkretne pytanie i użyj wydanej ścieżki.