Um perfil VPN pode instalar um certificado no seu dispositivo?

Um perfil VPN pode transportar certificados, e é nessa frase que começa a maior parte da confusão. O que ele transporta e aquilo em que confia são duas perguntas diferentes, respondidas por dois mecanismos diferentes. Uma AC incorporada que um cliente usa para verificar um servidor não é o mesmo objeto que uma raiz confiada por todo o sistema operativo. Compare os dois antes de decidir que o pacote é rotina.

A resposta à pergunta do título é sim, com um escopo que tem de verificar.

O que um perfil VPN pode transportar

Um OpenVPN-perfil pode conter o certificado da AC, o certificado do cliente e a chave do cliente diretamente entre as respetivas etiquetas, pelo que o cliente os lê do próprio perfil. Esse material é usado para verificação e autenticação dentro desse único cliente. Não entra no armazenamento de confiança do sistema só por estar no ficheiro.

Um perfil de configuração de plataforma é um contentor diferente. Pode transportar um payload de certificado ao lado de definições geridas: Wi-Fi, VPN, restrições e, em implementações geridas, muito mais. Instalá-lo entrega essas definições ao sistema operativo em vez de a uma única aplicação. É esse o objetivo do formato, e é também por isso que o escopo importa.

Confiança limitada ao cliente versus confiança da plataforma

A confiança limitada ao cliente é delimitada pelo cliente. Se a AC do perfil estiver errada, esse túnel falha e as outras aplicações ficam intactas. A confiança da plataforma não tem limite particular, porque todas as aplicações que usam o armazenamento do sistema herdam a decisão.

Nas plataformas Apple esses são passos visivelmente separados.

Instalar um perfil transferido e ativar a confiança para um certificado são ações distintas, e a segunda tem o seu próprio controlo nas definições de confiança de certificados. Uma implementação gerida pode diferir de uma instalação manual, incluindo se o perfil pode sequer ser removido. Siga a documentação atual da plataforma para a sua versão. Um pedido que parece fazer parte da configuração da VPN pode ser a própria decisão de confiança.

Porque é que a diferença muda a sua resposta

Se alguém perguntar se o perfil instala um certificado, uma resposta útil nomeia o escopo. Um perfil VPN com a sua própria AC muda o que esse cliente aceita. Um perfil que instala um payload de certificado e tem a confiança ativada muda o que o dispositivo aceita. Só o segundo pode afetar um site bancário num navegador que nunca toca no túnel.

É toda a comparação, e vale a pena dizê-la claramente antes de qualquer aprovação.

O que perguntar antes de aprovar

Pergunte que funcionalidade precisa do certificado e o que falha sem ele. Pergunte quem o emitiu e o que se destina a autenticar. Pergunte como é removido, e se a remoção está sequer disponível para si no método de implementação em uso. Pergunte pelo canal genuíno do operador, não pela página que ofereceu a transferência.

Uma página de transferência que rotula o pacote como reparação de VPN não lhe disse nada sobre o escopo.

Recusar uma raiz inesperada não é paranoia; é a mesma decisão que um navegador toma quando mostra um aviso de certificado. A diferença é que esta persiste, e pode não voltar a perguntar.

Como é realmente a remoção

Apagar o ficheiro transferido não remove um perfil instalado nem o seu certificado. O perfil fica nas definições de gestão do dispositivo até ser removido aí, e um dispositivo supervisionado ou gerido pode recusar. Verifique o estado de instalação após qualquer alteração aprovada e confirme que o certificado desapareceu em vez de assumir que o ficheiro era todo o artefacto. Depois volte a ligar e veja se o túnel ainda funciona, porque remover a AC mantendo o perfil é um modo de falha próprio.

Mantenha um registo do emissor, finalidade, escopo e caminho de remoção.

Esse registo é mais útil do que um ícone de VPN a funcionar, porque sobrevive à próxima pessoa que tiver de decidir se aprova o mesmo pedido noutro dispositivo.