Сохранённый VPN на Android: какой секрет можно восстановить?
Телефон, который переподключается, не спрашивая пароль, не хранит пароль, который можно скопировать. Сравните четыре вида учётных данных и восстановление, необходимое каждому из них.
Телефон каждое утро заново подключается к VPN, ничего не спрашивая. Это означает, что учётные данные где-то внутри есть. Обычно это не так, по крайней мере не в виде, который можно прочитать и ввести на новом устройстве.
У телефона есть право подключаться. Вам нужен секрет, который можно перенести, и это разные свойства, которые случайно дают одинаковое поведение на экране.
Прежде чем что-либо сбрасывать, определите, какого из четырёх видов секрета на самом деле не хватает, потому что у каждого свой владелец и своё восстановление.
Работающее подключение — это не сохранённый пароль
Приложение, которое тихо переподключается, может хранить пароль, токен сессии, ссылку на сертификат или не больше чем привязанный к устройству ключ, который оно не может экспортировать. Все четыре дают одинаковый пользовательский опыт, и ни один не заменяет другой.
Ряд точек в поле настроек — это решение отображения, а не доказательство. Некоторые приложения действительно хранят восстановимый пароль и предлагают показать или экспортировать его; другие берут токен из потока единого входа и вообще не видят пароль.
Поэтому первый вопрос не в том, где находится файл. А в том, какое право получило приложение, и этот ответ приходит от поставщика, а не от устройства.
Четыре секрета, четыре восстановления
Соотнесите свою ситуацию с одной строкой, прежде чем к кому-либо обращаться, потому что запрос полностью меняется в зависимости от того, какой это случай.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
Вторая строка чаще всего ловит людей. Пароль импорта PKCS#12 защищает материал ключа и не связан со входом в аккаунт, поэтому сброс пароля аккаунта ничего не восстанавливает. Если пароль пакета действительно утерян, решение — перевыпуск.
Четвёртая строка объясняет множество запутанных тем поддержки. Профиль может ссылаться на учётные данные в хранилище ключей платформы, а не содержать переносимую копию, и в этом случае в профиле нечего извлекать даже в принципе.
Почему копирование данных приложения обычно не работает
Старый рецепт — вытащить каталог данных приложения и прочитать из него конфигурацию. На нынешнем Android у рецепта две независимые проблемы.
Первая — политика резервного копирования. Android 12 ограничил данные приложений, экспортируемые старым путём adb backup, для приложений с целевым API 31 или новее, а приложения могут полностью исключить данные из резервной копии. Процедура, написанная для старого устройства, не является универсальным методом восстановления для нынешнего.
Вторая — хранилище ключей. Созданные там ключи могут быть неэкспортируемыми и привязанными к оборудованию, как описывает документация Android Keystore. Копирование зашифрованного блоба не копирует ключ, который его расшифровывает, поэтому восстановленный каталог может содержать учётные данные, которые новое устройство никогда не сможет использовать.
Ни одна из двух проблем не является ошибкой, которую нужно обходить. Обе — это платформа, делающая то, для чего она создана, и отношение к ним как к препятствиям обычно заканчивается телефоном с root и без пароля.
Переходите на заменяющий телефон осознанно
Сначала сделайте поддерживаемое. Если поставщик предлагает экспорт, который явно включает нужные вам учётные данные, используйте его и проверьте результат на новом устройстве, прежде чем стирать старое. Если нет, запросите новый профиль или регистрацию — это обычный путь для сервисов на основе сертификатов, и он обычно занимает меньше времени, чем обход.
Порядок важен. Зарегистрируйте замену, подключите её, пропустите тестовый запрос через туннель и только затем выведите оригинал из эксплуатации. Сохранение работающего телефона, пока новый не доказан, — самая дешёвая доступная страховка, и она стоит только терпения.
Планируйте и побочные эффекты сброса. Если пароль аккаунта сброшен или идентичность устройства отозвана, другие сеансы могут стать недействительными, включая клиент на ноутбуке и планшет, о котором никто не помнил. Разбирайтесь с ними в том же окне, а не обнаруживайте по одному.
Чего не делать
Не рутуйте единственное работающее устройство в поисках простого текстового файла. Вы превращаете проблему восстановления доступа в проблему целостности устройства, можете сломать собственные проверки целостности приложения и всё равно не имеете гарантии, что искомое значение существует в читаемом виде.
Не вставляйте закрытые ключи, экспортированные профили или пароли в тикет поддержки, чтобы доказать реальность проблемы. Поставщику нужны имя профиля, версия приложения, идентификатор аккаунта и ошибка, и ничто из этого не является секретом.
И не отключайте проверку сертификатов, чтобы получить подключение, пока ждёте. Это меняет временное неудобство на постоянное ослабление единственной проверки, которая говорит, с каким сервером вы общаетесь. Запишите четыре факта, задайте конкретный вопрос и используйте выданный путь.