Cum importați un certificat VPN pe Android și verificați cheia

Importarea unui certificat de client VPN pe Android durează câteva minute. Verificarea faptului că a ajuns în locul potrivit durează mai mult, iar aceasta este partea pe care majoritatea oamenilor o sar imediat ce dialogul de instalare anunță succes. Un mesaj de succes înseamnă doar că fișierul a fost analizat. Nu spune nimic despre ce furnizor deține cheia privată sau dacă mai există o copie în folderul Downloads.

Pasul 1: Citiți P12 înainte să plece de pe mașina dumneavoastră

Începeți cu fișierul în sine. Dacă nu puteți numi subiectul, emitentul și data expirării din interior, importați ceva ce nu veți putea verifica mai târziu.

Un pachet PKCS#12 conține de obicei un certificat de client, cheia sa privată și lanțul emitentului. openssl pkcs12 -in client.p12 -info -noout afișează MAC-ul și algoritmii de criptare fără a scoate materialul cheii, astfel încât vedeți dacă pachetul este protejat cu parolă și cu ce cifru. Continuați cu keytool -list -v -keystore client.p12 -storetype PKCS12 pentru a obține aliasul, amprenta SHA-256 și fereastra de valabilitate pe care o veți compara cu telefonul.

Trimiteți parola pe un canal diferit de fișier, sau predați fișierul într-un flux de distribuție gestionat care nu lasă nicio copie. O parolă lipită în același mesaj de chat ca arhiva transformă două controale într-unul singur.

Pasul 2: Instalați-l în slotul pe care aplicația VPN îl citește cu adevărat

Pe Android 11 până la 14 standard, calea trece prin Setări, Securitate, Criptare și acreditări, Instalați un certificat, apoi VPN și certificatul de utilizator al aplicației. Formularea și imbricarea se schimbă între versiuni și interfețele producătorilor, așa că urmați eticheta tipului de acreditare, nu o poziție de meniu memorată. Într-un profil de lucru, instalați din interiorul părții de lucru, deoarece acreditările nu trec granița profilului.

Nu puneți o identitate de client în slotul certificatului CA. Acel slot alimentează depozitul de încredere al utilizatorului, iar din Android 7 aplicațiile ignoră CA-urile adăugate de utilizator dacă configurația de securitate a rețelei nu permite acest lucru, așa că un certificat de client lăsat acolo nu apare niciodată în selectorul de chei al VPN-ului.

Unii clienți VPN nu ating niciodată depozitul de sistem și importă P12 în propriul director al aplicației. Este un design legitim, dar schimbă fiecare pas ulterior: cheia trăiește acum în sandbox-ul aplicației și este exact atât de puternică pe cât gestionează acea aplicație propriul depozit. Verificați documentația clientului înainte de a presupune că KeyChain este implicat.

Pasul 3: Dovediți ce furnizor deține cheia

O importare confirmă analiza, nu suportul hardware. Pe Android 12 și versiunile ulterioare, KeyInfo.getSecurityLevel() raportează dacă o cheie se află în Mediul de Execuție de Încredere, în StrongBox sau în software, și înlocuiește apelul mai vechi isInsideSecureHardware(). Dacă clientul VPN nu afișează acea valoare, amprenta de la pasul 1 este soluția dumneavoastră de rezervă. Un certificat recodificat în timpul importului nu se va potrivi octet cu octet, dar cheia publică și subiectul se vor potrivi în continuare.

Neexportabil nu este același lucru cu inutilizabil. O cheie care nu poate părăsi dispozitivul poate fi folosită în continuare de orice aplicație căreia utilizatorul îi permite să selecteze acel alias, iar de aceea solicitarea aliasului este un control real, nu o formalitate. Documentația Android Keystore merită o lectură dacă luați acea decizie de design.

Apoi luați în calcul copiile pe care le-ați făcut. P12 de pe laptop, cel din atașamentul tichetului și cel din copia de siguranță de luna trecută sunt cu toate identități valide până când emitentul le revocă. Protecția hardware a instanței de pe telefon nu face nimic pentru ele.

Pasul 4: Aflați cui îi aparține cerința de blocare a ecranului

Aici se amestecă trei secrete: PIN-ul de deblocare a dispozitivului, fraza de acces a cheii private și parola contului VPN. O solicitare pentru unul nu este niciodată o cerere de resetare a celorlalte, iar resetarea celui greșit este modul în care oamenii se blochează afară dintr-un profil care funcționa bine.

Când un administrator de dispozitiv sau o politică de profil gestionat cere o blocare, cerința aparține acelei politici, nu certificatului. adb shell dumpsys device_policy enumeră administratorii activi și calitatea parolei pe care o impun, ceea ce este cea mai rapidă cale de a vedea dacă un agent MDM este motivul pentru care regulile dumneavoastră de PIN s-au schimbat. Eliminarea certificatului nu va relaxa politica, iar eliminarea politicii este o decizie administrativă, nu o ajustare de setări.

Așteptați-vă și la un compromis de utilizabilitate. Dacă cheia necesită autorizarea utilizatorului, tunelul nu poate porni înainte de prima deblocare, așa că sincronizările programate și trezirile de la distanță eșuează prin design. Decideți asta înainte de implementare, nu după.

Evitați scurtătura de a edita locksettings.db sau de a rejuca o soluție veche pentru un model uitat. Acele rutine au fost scrise pentru build-uri specifice, pot lăsa depozitul de acreditări într-o stare pe care framework-ul nu o mai așteaptă și nu schimbă niciodată politica ce a cerut blocarea în primul rând.

Pasul 5: Retrageți identitatea și verificați refuzul

Retragerea are trei părți și doar prima este locală. Eliminați profilul VPN, ștergeți certificatul de utilizator din Setări, Securitate, Criptare și acreditări, Acreditări de utilizator, apoi cereți emitentului să revoce numărul de serie al certificatului. Ștergerea locală singură lasă o acreditare pe care serverul o acceptă în continuare dacă cineva a păstrat P12.

Verificați rezultatul în loc să îl presupuneți. Încercați o conexiune cu profilul retras și confirmați că serverul o respinge. Un tunel care tot pornește înseamnă că ați revocat numărul de serie greșit sau că clientul a revenit în tăcere la o altă identitate instalată.

Dacă anulați o importare eșuată, reimportați din pachetul criptat original și verificați din nou amprenta, în loc să reutilizați un fișier de cheie decriptat pe care l-ați lăsat pe disc.