Môže profil VPN nainštalovať certifikát do vášho zariadenia?

Profil VPN môže prenášať certifikáty a práve v tejto vete sa začína väčšina zmätku. Čo prenáša a čomu dôveruje, sú dve rôzne otázky, na ktoré odpovedajú dva rôzne mechanizmy. Vložená CA, ktorú jeden klient používa na overenie servera, nie je ten istý objekt ako koreň, ktorému dôveruje celý operačný systém. Porovnajte tieto dve veci, kým balík označíte za rutinný.

Odpoveď na otázku z nadpisu je áno, ale s rozsahom, ktorý musíte skontrolovať.

Čo môže profil VPN prenášať

OpenVPN profil môže držať certifikát CA, klientsky certifikát a klientsky kľúč priamo medzi svojimi značkami, takže ich klient číta zo samotného profilu. Tento materiál sa používa na overenie a autentifikáciu v rámci toho jedného klienta. Nedostane sa do systémového úložiska dôvery len preto, že je v súbore.

Profil konfigurácie platformy je iný kontajner. Môže prenášať užitočné zaťaženie certifikátu vedľa spravovaných nastavení: Wi-Fi, VPN, obmedzení a v spravovaných nasadeniach oveľa viac. Jeho inštalácia odovzdá tieto nastavenia operačnému systému, nie jednej aplikácii. To je zmysel formátu, a preto je rozsah dôležitý.

Dôvera v rozsahu klienta verzus dôvera platformy

Dôvera v rozsahu klienta je ohraničená klientom. Ak je CA v profile nesprávna, ten tunel zlyhá a ostatné aplikácie zostanú nedotknuté. Dôvera platformy nie je ohraničená ničím konkrétnym, pretože každá aplikácia používajúca systémové úložisko toto rozhodnutie dedí.

Na platformách Apple sú to viditeľne oddelené kroky.

Inštalácia stiahnutého profilu a zapnutie dôvery pre certifikát sú odlišné úkony a druhý má vlastné ovládanie v nastaveniach dôvery certifikátov. Spravované nasadenie sa môže líšiť od ručnej inštalácie, vrátane toho, či sa profil dá vôbec odstrániť. Postupujte podľa aktuálnej dokumentácie platformy pre vašu verziu. Výzva, ktorá vyzerá ako súčasť nastavenia VPN, môže byť samotným rozhodnutím o dôvere.

Prečo tento rozdiel mení vašu odpoveď

Ak sa niekto pýta, či profil inštaluje certifikát, užitočná odpoveď pomenuje rozsah. Profil VPN s vlastnou CA mení to, čo ten klient akceptuje. Profil, ktorý inštaluje užitočné zaťaženie certifikátu a má zapnutú dôveru, mení to, čo zariadenie akceptuje. Len druhý môže ovplyvniť bankovú stránku v prehliadači, ktorý sa tunela nikdy nedotkne.

To je celé porovnanie a stojí za to ho jasne povedať pred akýmkoľvek schválením.

Na čo sa opýtať pred schválením

Opýtajte sa, ktorá funkcia certifikát potrebuje a čo sa bez neho pokazí. Opýtajte sa, kto ho vydal a čo má autentifikovať. Opýtajte sa, ako sa odstraňuje a či je odstránenie vôbec dostupné pri používanej metóde nasadenia. Pýtajte sa skutočným kanálom operátora, nie cez stránku, ktorá ponúkla stiahnutie.

Stránka na stiahnutie, ktorá balík nazýva opravou VPN, vám o rozsahu nepovedala nič.

Odmietnuť neočakávaný koreň nie je paranoja; je to to isté rozhodnutie, ktoré prehliadač urobí, keď zobrazí upozornenie na certifikát. Rozdiel je v tom, že toto zostáva a možno sa už neopýta.

Ako odstránenie skutočne vyzerá

Vymazanie stiahnutého súboru neodstráni nainštalovaný profil ani jeho certifikát. Profil zostáva v nastaveniach správy zariadenia, kým sa tam neodstráni, a kontrolované alebo spravované zariadenie môže odmietnuť. Po každej schválenej zmene skontrolujte stav inštalácie a potvrďte, že certifikát zmizol, namiesto toho, aby ste predpokladali, že súbor bol celý artefakt. Potom sa znova pripojte a pozrite, či tunel ešte funguje, pretože odstránenie CA pri zachovanom profile je samostatný režim zlyhania.

Veďte záznam o vydavateľovi, účele, rozsahu a ceste odstránenia.

Tento záznam je užitočnejší ako fungujúca ikona VPN, pretože prežije ďalšieho človeka, ktorý bude musieť rozhodnúť, či schváliť tú istú výzvu na inom zariadení.