Может ли профиль VPN установить сертификат на ваше устройство?

Профиль VPN может нести сертификаты, и именно в этой фразе начинается большая часть путаницы. Что он несёт и чему он доверяет — два разных вопроса, на которые отвечают два разных механизма. Встроенный CA, которым один клиент проверяет сервер, — не тот же объект, что корневой сертификат, которому доверяет вся операционная система. Сравните эти две вещи, прежде чем решать, что пакет обычный.

Ответ на вопрос из заголовка — да, но с областью действия, которую нужно проверить.

Что может нести профиль VPN

Профиль OpenVPN может хранить сертификат CA, клиентский сертификат и клиентский ключ прямо между соответствующими тегами, так что клиент читает их из самого профиля. Этот материал используется для проверки и аутентификации внутри одного этого клиента. Он не попадает в системное хранилище доверия только потому, что лежит в файле.

Профиль конфигурации платформы — другой контейнер. Он может нести полезную нагрузку сертификата рядом с управляемыми параметрами: Wi-Fi, VPN, ограничениями, а в управляемых развёртываниях и многим другим. Его установка передаёт эти параметры операционной системе, а не одному приложению. В этом смысл формата, и поэтому область действия важна.

Доверие в пределах клиента против доверия платформы

Доверие в пределах клиента ограничено клиентом. Если CA в профиле неверен, этот туннель не работает, а другие приложения остаются нетронутыми. Доверие платформы не ограничено ничем определённым, потому что каждое приложение, использующее системное хранилище, наследует это решение.

На платформах Apple это видимо отдельные шаги.

Установка загруженного профиля и включение доверия для сертификата — разные действия, и у второго есть собственный элемент управления в настройках доверия сертификатов. Управляемое развёртывание может отличаться от ручной установки, в том числе тем, можно ли вообще удалить профиль. Следуйте текущей документации платформы для вашей версии. Запрос, который выглядит частью настройки VPN, может быть самим решением о доверии.

Почему эта разница меняет ваш ответ

Если кто-то спрашивает, устанавливает ли профиль сертификат, полезный ответ называет область действия. Профиль VPN со своим CA меняет то, что принимает этот клиент. Профиль, который устанавливает полезную нагрузку сертификата и включает доверие, меняет то, что принимает устройство. Только второй может повлиять на банковский сайт в браузере, который никогда не касается туннеля.

Это всё сравнение, и его стоит прямо сформулировать до любого одобрения.

Что спросить перед одобрением

Спросите, какой функции нужен сертификат и что ломается без него. Спросите, кто его выпустил и что он должен аутентифицировать. Спросите, как его удаляют и доступно ли вам удаление вообще при используемом способе развёртывания. Спрашивайте по настоящему каналу оператора, а не через страницу, которая предложила загрузку.

Страница загрузки, называющая пакет ремонтом VPN, ничего не сказала вам об области действия.

Отказ от неожиданного корневого сертификата — не паранойя; это то же решение, которое принимает браузер, показывая предупреждение о сертификате. Разница в том, что это решение остаётся и может больше не спросить.

Как на самом деле выглядит удаление

Удаление загруженного файла не удаляет установленный профиль или его сертификат. Профиль остаётся в настройках управления устройством, пока его не удалят там, а контролируемое или управляемое устройство может отказать. Проверьте состояние установки после любого одобренного изменения и убедитесь, что сертификат исчез, вместо того чтобы считать, что файл был всем артефактом. Затем подключитесь снова и посмотрите, работает ли туннель, потому что удаление CA при сохранённом профиле — отдельный режим отказа.

Ведите запись об издателе, назначении, области действия и пути удаления.

Эта запись полезнее работающего значка VPN, потому что переживёт следующего человека, которому придётся решать, одобрять ли тот же запрос на другом устройстве.