Ako importovať certifikát VPN na Androide a overiť kľúč

Import klientského certifikátu VPN na Androide zaberie pár minút. Overiť, či pristál na správnom mieste, trvá dlhšie, a práve túto časť väčšina ľudí preskočí, keď inštalačný dialóg ohlási úspech. Správa o úspechu znamená len to, že sa súbor podarilo analyzovať. Nič nehovorí o tom, ktorý poskytovateľ drží súkromný kľúč, ani či v priečinku Downloads ešte leží kópia.

Krok 1: Prečítajte si P12, kým opustí váš počítač

Začnite samotným súborom. Ak nedokážete pomenovať subjekt, vydavateľa a dátum platnosti v ňom, importujete niečo, čo neskôr nebudete môcť overiť.

Balík PKCS#12 zvyčajne nesie klientský certifikát, jeho súkromný kľúč a reťazec vydavateľa. openssl pkcs12 -in client.p12 -info -noout vypíše MAC a šifrovacie algoritmy bez vylievania kľúčového materiálu, takže vidíte, či je balík chránený heslom a akou šifrou. Následne spustite keytool -list -v -keystore client.p12 -storetype PKCS12 a získate alias, odtlačok SHA-256 a okno platnosti, ktoré porovnáte s telefónom.

Pošlite heslo iným kanálom než súbor, alebo súbor odovzdajte v riadenom distribučnom toku, ktorý po sebe nenechá kópiu. Heslo vložené do tej istej chatovej správy ako archív mení dve kontroly na jednu.

Krok 2: Nainštalujte ho do slotu, ktorý aplikácia VPN skutočne číta

Na čistom Androide 11 až 14 vedie cesta cez Nastavenia, Zabezpečenie, Šifrovanie a prihlasovacie údaje, Nainštalovať certifikát, potom VPN a používateľský certifikát aplikácie. Formulácia a vnorenie sa medzi verziami a nadstavbami výrobcov menia, preto sa riaďte štítkom typu prihlasovacích údajov, nie zapamätanou pozíciou v menu. V pracovnom profile inštalujte zvnútra pracovnej strany, pretože prihlasovacie údaje neprekračujú hranicu profilu.

Nedávajte klientsku identitu do slotu certifikátu CA. Tento slot napája úložisko dôvery používateľa a od Androidu 7 aplikácie ignorujú CA pridané používateľom, ak to ich konfigurácia sieťového zabezpečenia nepovoľuje, takže klientský certifikát tam ponechaný sa nikdy neobjaví vo výbere kľúčov VPN.

Niektorí klienti VPN sa systémového úložiska vôbec nedotknú a namiesto toho importujú P12 do vlastného adresára aplikácie. Je to legitímny návrh, ale mení každý ďalší krok: kľúč teraz žije v sandboxe aplikácie a je presne taký silný, ako táto aplikácia spravuje vlastné úložisko. Než budete predpokladať, že je v hre KeyChain, prejdite dokumentáciu klienta.

Krok 3: Dokážte, ktorý poskytovateľ drží kľúč

Import potvrdzuje analýzu, nie hardvérovú podporu. Na Androide 12 a novšom KeyInfo.getSecurityLevel() hlási, či kľúč sídli v Trusted Execution Environment, v StrongBoxe alebo v softvéri, a nahrádza staršie volanie isInsideSecureHardware(). Ak klient VPN túto hodnotu nezobrazuje, je odtlačok z kroku 1 vaša záloha. Certifikát znovu zakódovaný počas importu nebude zodpovedať bajt po bajte, ale verejný kľúč a subjekt áno.

Neexportovateľný nie je to isté ako nepoužiteľný. Kľúč, ktorý nemôže opustiť zariadenie, môže stále použiť akákoľvek aplikácia, ktorej používateľ povolí vybrať tento alias, a preto je výzva na alias skutočná kontrola, nie formalita. Dokumentácia Android Keystore stojí za jedno prečítanie, ak toto návrhové rozhodnutie robíte.

Potom zaráťajte kópie, ktoré ste vytvorili. P12 na vašom notebooku, ten v prílohe tiketu a ten v zálohe z minulého mesiaca sú stále platné identity, kým ich vydavateľ neodvolá. Hardvérová ochrana inštancie v telefóne pre ne nič nerobí.

Krok 4: Zistite, komu patrí požiadavka na uzamknutie obrazovky

Zamieňajú sa tu tri tajomstvá: PIN na odomknutie zariadenia, heslo súkromného kľúča a heslo účtu VPN. Výzva na jedno nikdy nie je žiadosťou o reset ostatných a resetovanie nesprávneho je spôsob, akým sa ľudia zamknú von z profilu, ktorý fungoval dobre.

Keď správca zariadenia alebo zásada spravovaného profilu vyžaduje zámok, požiadavka patrí tejto zásade, nie certifikátu. adb shell dumpsys device_policy vypisuje aktívnych správcov a kvalitu hesla, ktorú vynucujú, čo je najrýchlejšia cesta, ako zistiť, či je agent MDM dôvodom zmeny vašich pravidiel PIN. Odobratie certifikátu zásadu neuvoľní a odobratie zásady je administratívne rozhodnutie, nie úprava nastavení.

Očakávajte aj kompromis v použiteľnosti. Ak kľúč vyžaduje autorizáciu používateľa, tunel nemôže vzniknúť pred prvým odomknutím, takže plánované synchronizácie a vzdialené prebudenia podľa návrhu zlyhávajú. Rozhodnite to pred nasadením, nie po ňom.

Vyhnite sa skratke v podobe úpravy locksettings.db alebo prehratia starého obchádzania zabudnutého vzoru. Tie rutiny boli písané pre konkrétne buildy, môžu nechať úložisko prihlasovacích údajov v stave, ktorý framework už neočakáva, a nikdy nezmenia zásadu, ktorá zámok pôvodne vyžiadala.

Krok 5: Vyraďte identitu a overte odmietnutie

Vyradenie má tri časti a len prvá je miestna. Odoberte profil VPN, vymažte používateľský certifikát v Nastavenia, Zabezpečenie, Šifrovanie a prihlasovacie údaje, Používateľské prihlasovacie údaje, potom nechajte vydavateľa odvolať sériové číslo certifikátu. Miestne vymazanie samo o sebe necháva prihlasovací údaj, ktorý server stále prijíma, ak si niekto P12 ponechal.

Overte výsledok, namiesto toho, aby ste ho predpokladali. Skúste pripojenie s vyradeným profilom a potvrďte, že ho server odmieta. Tunel, ktorý stále vzniká, znamená, že ste odvolali nesprávne sériové číslo alebo klient ticho prešiel na inú nainštalovanú identitu.

Ak vraciate neúspešný import, importujte znova z pôvodného šifrovaného balíka a znova skontrolujte odtlačok, namiesto toho, aby ste znova použili dešifrovaný súbor kľúča, ktorý ste nechali na disku.