Ce șterge o resetare a iPhone-ului din configurarea VPN

Șterge telefonul și profilul VPN poate pur și simplu să nu mai revină. O copie de siguranță a iPhone-ului duce multe, dar nu este o promisiune că o cheie privată, un profil administrat sau o stare de înrolare vor reveni împreună cu ea. Golul apare de obicei ore mai târziu, când utilizatorul este în călătorie și telefonul șters era singura cale de autentificare funcțională. Cinci fapte notate dinainte previn acea după-amiază.

Ce duce o copie de siguranță și ce nu a avut niciodată

O copie locală sau din iCloud restaurează datele utilizatorului și multe setări ale aplicațiilor și poate restaura credențiale pe care o aplicație alege să le includă. Nu poate recrea o cheie privată generată în interiorul secure enclave și marcată ca neexportabilă și nu reînrolează dispozitivul în administrare. Un profil de configurare care a venit de la un server MDM este de obicei livrat din nou de acel server, nu de copia de siguranță. Toate trei cazurile arată la fel pe ecranul Setări și se comportă diferit după ștergere.

Distincția contează pentru că decide cine poate rezolva problema. Datele utilizatorului aparțin persoanei, profilul și ancorele sale de încredere aparțin celui care le-a emis, iar cheia privată aparține serviciului care trebuie să o reemită. Dacă nu poți numi acești trei proprietari înainte de resetare, planul de restaurare este incomplet.

O întrebare testează planul: cine emite un înlocuitor când cheia a dispărut? Dacă răspunsul este nimeni, nu șterge încă telefonul.

Notează din ce ar putea un coleg să reconstruiască

Notează cele cinci fapte care permit altei persoane să reconstruiască conexiunea: proprietarul serviciului, clientul și versiunea acceptate, numele punctului final, protocolul și portul și modul în care este livrat profilul. Adaugă sufixul DNS privat și aplicațiile interne care se strică fără tunel, pentru că pe ele le raportează utilizatorul ca VPN stricat chiar și când tunelul funcționează. Ține nota în tichet sau în wiki-ul echipei, niciodată într-o captură de ecran a unei pictograme de stare verzi.

Recuperarea autentificării este o notă separată și aparține managerului de parole sau procesului de identitate al organizației. Adunarea cheilor și parolelor într-o notă neprotejată pentru că urmează o resetare este felul în care un eveniment recuperabil devine incident. Nota trebuie să spună unde trăiește materialul de recuperare, nu să îl reproducă.

Numește și persoana care poate aproba o reemitere a certificatului. O cale de aprobare care durează două zile este totuși mai bună decât descoperirea ei în aceeași zi.

Profilurile administrate și cele personale revin diferit

Un dispozitiv administrat își primește din nou setările când se reînrolează, de aceea înrolarea vine înaintea restaurării datelor utilizatorului. Un profil personal seamănă mai mult cu un fișier descărcat: după ștergere utilizatorul are nevoie de o descărcare nouă de la serviciul emitent și de o decizie nouă de încredere. O copie de siguranță generală restaurează setări, nu o cheie privată generată ca neexportabilă, așa că fiecare credențială trebuie verificată față de propria cale de reemitere și nu față de rezultatul restaurării.

Confirmă metoda MFA în aceeași trecere, pentru că telefonul care primește push este adesea telefonul care se șterge. Dacă singurul factor înrolat trăiește acolo, aranjează un al doilea prin echipa de identitate și procesul verificat înainte de resetare. Durata de viață a certificatului aparține și ea acelei conversații, fiindcă un certificat de scurtă durată poate expira în timp ce dispozitivul stă într-un sertar, iar ghidul Apple despre profilurile de configurare acoperă solicitările de instalare și eliminare pe care le vei întâlni la întoarcere. Dacă instrucțiunile de configurare pot fi citite doar din spatele VPN-ului, rupe această dependență înainte de ștergere, nu după.

Verifică conexiunea restaurată pe o resursă reală

După restaurare, instalează clientul sau profilul acceptat, autentifică-te și deschide o resursă internă care cere tunelul. Un indicator de conectat dovedește că tunelul există, nu că rezolvarea numelor și rutarea ajung la serviciul de care utilizatorul are nevoie. Verifică și lanțul de încredere: dacă profilul prezintă o rădăcină necunoscută, oprește-te și confirmă emitentul în loc să apeși accept pentru a termina repede. O rădăcină necunoscută acceptată în timpul unei restaurări grăbite este o decizie de încredere luată din greșeală.

Apoi testează părțile care eșuează în tăcere: sufixul DNS privat care se rezolvă la o adresă internă, data certificatului și o aplicație care depinde de tunel. Roagă utilizatorul să repete autentificarea fără îndrumare, pentru că încercarea lui este testul de predare.

Retrage identitatea veche a dispozitivului când telefonul este înlocuit sau când resetarea a urmat unei pierderi. Restaurarea unui profil nu revocă o copie care poate exista încă în altă parte.

Lista de dinaintea resetării, într-un singur loc

Proprietar, client, punct final, protocol și metodă de livrare; sufixul DNS și aplicațiile dependente; calea de recuperare MFA și cine o aprobă; calea de reemitere a certificatului și valabilitatea lui; și metoda de înrolare pentru un dispozitiv administrat. Dacă vreo linie este goală, resetarea este o aruncare de monedă. Lista durează zece minute și decide dacă aceasta este o restaurare sau o cădere.

Păstreaz-o unde persoana care face restaurarea o poate citi fără telefon, și dă-i o revizuire a expirării, pentru că punctele finale și proprietarii se schimbă. O notă de recuperare care citează un gateway scos din uz este mai rea decât nicio notă, pentru că invită la o acțiune greșită cu încredere.