Poslali ste jedan VPN profil svima i on sadrži vašu lozinku

Profil se čisto instalira, svi se povezuju, a zatim se lozinka računa zakrene. Svaki uređaj koji je primio datoteku prestaje se autentificirati u istoj minuti jer svi nose istu tajnu. To je znak: jedne vjerodajnice kopirane u zajednički artefakt pretvaraju rutinsku promjenu lozinke u ispad cijele flote. Držanje konfiguracije koja se može ponovno upotrijebiti i pojedinačnog identiteta kao dvije odvojene predaje to izbjegava, a Appleova vlastita dokumentacija o upravljanju uređajima tretira profile kao postavke i autorizaciju, a ne kao spremište tajni.

Simptom se pojavljuje pri prvoj rotaciji

Datoteka mobileconfig je XML ili potpisani plist. Svatko tko ima kopiju može dekodirati sadržaj i pročitati što je u njemu, pa je vrijednost AuthPassword u predlošku vjerodajnica u čistom tekstu s neuobičajenim nastavkom datoteke. Potpis mijenja cjelovitost i podrijetlo, ne čitljivost. U međuvremenu, dijelovi koje doista želite dijeliti, poput adrese pristupnika, očekivanog identiteta poslužitelja i prometne politike, identični su za sve.

Razvrstajte polja prije bilo kakva uređivanja jer granica nije ondje gdje ljudi pretpostavljaju.

Odvojite zajedničke postavke od pojedinačnih vjerodajnica

Interaktivni put je izostaviti lozinku i pustiti podržani raspored autentifikacije da je zatraži. Pročitajte to pažljivo: brisanje polja koje samo slično izgleda nije univerzalna pretvorba u interaktivnu prijavu. Sadržaj IKEv2 razlikuje AuthName od AuthPassword, a metoda autentifikacije odlučuje je li upit uopće dosežan; metoda koja se temelji na certifikatu neće uopće tražiti lozinku.

Ni certifikati ne trebaju zajednički ključ

Ako pristupnik očekuje autentifikaciju certifikatom, registrirajte željeni identitet korisnika ili uređaja odobrenim mehanizmom i držite privatni ključ izvan predloška. Jedan zajednički privatni ključ u svakoj kopiji daje vam isti problem rotacije s gorim dosegom jer se ključ ne može opozvati po osobi ako nije izdan po osobi.

Bilježite izdavanje, obnovu i opoziv tog identiteta uz reviziju profila. Kada se oboje prati zajedno, obnova je planirani zadatak, a ne incident.

Mašine bez nadzora trebaju treći odgovor

Mašina koja se mora povezati prije nego se itko prijavi ne može odgovoriti na upit. To je drukčiji zahtjev od olakšavanja postavljanja prijavljenoj osobi i treba ga riješiti upravljanim identitetom ili certifikatom po uređaju dogovorenim s vlasnikom pristupnika, a ne spremanjem ljudske lozinke u profil.

Spremanje lozinke također ne uklanja drugi faktor. Ako pristupnik zahtijeva MFA, profil sa spremljenom lozinkom i dalje ne prolazi pri podizanju sustava, a kvar izgleda kao pokvaren profil, a ne kao faktor koji nedostaje.

Provjerite artefakt koji je doista generiran

Predlošci lažu prešućivanjem. Usluga upravljanja ili alat za izvoz može ubaciti vjerodajnice u gotovu datoteku, a popratni identitetski sadržaji ili dijagnostičke kopije mogu nositi materijal koji predložak nikada nije pokazao. Otvorite generirani artefakt prije nego odlučite kome ga smijete dati. Sačuvajte i postavke pouzdanog izdavatelja i očekivanog identiteta poslužitelja; uklanjanje lozinke nije razlog za slabljenje povjerenja u pristupnik.

Ako su stvarna lozinka ili privatni identitet već putovali preširoko, opozovite ih kod izdavatelja i zamijenite. Uređivanje sutrašnjeg predloška ne čini ništa za već instalirane kopije, a te će kopije nastaviti s autentifikacijom dok se vjerodajnica iza njih ne povuče.

Prihvatite predaju s testnim identitetom

Instalirajte kroz odobreni tijek na uređaju registriranom kao zaseban testni identitet, dovršite predviđenu autentifikaciju i dođite do privatnog resursa umjesto da samo gledate kako se tunel diže. Potvrdite da profil ne sadrži materijal vjerodajnica, zatim potvrdite da vjerodajnica postoji u zapisu identiteta koji će se obnoviti. Taj je par prihvatni test.

Jedna revizija za zajedničke postavke, jedan zapis po osobi i put opoziva koji ste doista jednom upotrijebili.