Inštalácia podpísaného profilu VPN na iPhone: čítajte jednotlivé obsahy

Profily prichádzajú do Nastavení s názvom, podpisovateľom a tlačidlom Inštalovať, a riadok s podpisovateľom je časť, ktorú číta väčšina ľudí. Ten riadok odpovedá na jednu otázku: kto zabalil tieto nastavenia podľa pravidiel overovania podpisu. Nehovorí, že payload VPN smeruje na bránu vášho zamestnávateľa, ani že vložený koreňový certifikát patrí do vášho úložiska dôvery TLS. Nasledujúci prehľad otvára balík v poradí, v akom ho zariadenie použije.

Začnite obálkou: kto podpísal tento profil

V iOS sa profil objaví v Nastaveniach, Všeobecné, VPN a Správa zariadenia, s podpisovateľom zobrazeným nad tlačidlom Inštalovať. Prečítajte si to meno, skôr než sa čohokoľvek dotknete, a spýtajte sa, či je to organizácia, od ktorej ste nastavenia očakávali. Platný podpis strany, ktorú nepoznáte, je stále platný podpis a oprávňuje jej konfiguráciu, nie vašu. Tá istá obrazovka tiež hovorí, či je profil vôbec podpísaný.

Ak máte súbor na Macu, preskúmajte ho, kým sa dostane do telefónu. Nástroj security dekóduje obálku CMS a vypíše plist, ktorý zariadenie prečíta, teda rovnaký obsah bez tlačidla Inštalovať v ceste. Dokumentácia Apple o vynucovaní konfigurácie opisuje podpisovanie ako overenie pôvodu, a to je presne rozsah opísaný tu.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Zastavte sa tu, ak podpisovateľ nie je ten, koho ste očakávali, alebo ak je súbor nepodpísaný a prišiel kanálom, ktorý zaň nemôže ručiť. Nič ďalej v tomto prehľade neurobí nedôveryhodnú obálku dôveryhodnou.

Otvorte každý payload a pomenujte, čo inštaluje

Profil je kontajner a zaujímavá časť je pole PayloadContent vnútri. Každý záznam nesie PayloadType, ktorý hovorí, čo zariadenie nainštaluje: spravovanú konfiguráciu VPN, identitu PKCS#12, koreňový certifikát alebo zápis do správy. Vypíšte typy, skôr než prečítate akékoľvek nastavenia.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Payload VPN pomenúva spojenie: adresu servera, spôsob overenia a prípadne pravidlo pre aplikáciu alebo na požiadanie. Identitný payload dodáva klientske prihlasovacie údaje, ktoré toto spojenie predloží. Payload koreňového certifikátu pridáva kotvu dôvery a payload správy odovzdáva priebežnú kontrolu serveru. Sú to štyri rôzne záväzky a podpis pokrýva balík, namiesto toho aby ručil za každý zvlášť. Čítajte ich v tomto poradí, pretože VPN je bez identity nepoužiteľná a identita znamená málo bez toho, aby ste vedeli, kto ju vydal.

Ochrana súboru heslom je opäť samostatná vlastnosť. Zašifrovaný balík skrýva obsah pred niekým bez hesla, ale nerozhoduje, či máte povoliť to, čo je vnútri. Berte heslo ako mechanizmus doručenia, nie ako kontrolu.

Sledujte certifikáty až po spojenie, ktoré ich používa

Vypíšte certifikáty v balíku a každý priraďte k úlohe. Klientsky certifikát identifikuje toto zariadenie voči bráne, CA, ktorá ho vydala, patrí do reťazca dôvery tohto spojenia a koreň nainštalovaný pre proxy alebo internú službu nie je automaticky kotvou pre každú stránku HTTPS. V iOS zostáva koreň nainštalovaný ručne nedôveryhodný pre TLS, kým ho nepovolíte v Nastaveniach, Všeobecné, Nastavenia dôvery certifikátov, kým koreň doručený správou je dôveryhodný bez tohto kroku. Práve preto záleží na účele payloadu.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Poskytovateľ, ktorý prenáša váš prenos, nie je preto koncovým bodom TLS každej navštívenej stránky. Zachytávanie potrebuje cestu prenosu a kotvu dôvery, ktorú aplikácia prijme, a profil s jedným certifikátom nedokazuje ani jedno. Pýtajte sa, ktoré spojenie certifikát používa a ktoré aplikácie ho prijmú, namiesto predpokladu, že inštalácia profilu dešifruje všetko.

Po inštalácii: overte a vedzte, čo robí odstránenie

Keď je profil nainštalovaný, potvrďte to zo zariadenia, nie zo súboru, ktorý ste stiahli. Obrazovka nastavení uvádza nainštalovaný profil, jeho podpisovateľa a jeho obsahy a obrazovka VPN ukazuje, či je spojenie nastavené podľa zámeru. Odstránenie stiahnutého súboru nič neodstráni; nainštalovaná konfigurácia je samostatný objekt.

profiles show -type configuration
scutil --nc list

Ak profil obsahuje zápis do správy, prečítajte si dôsledky odstránenia pred inštaláciou, nie po nej. Odstránenie tohto zápisu so sebou vezme súvisiace konfigurácie a môže odstrániť spravované aplikácie podľa toho, ako bolo zariadenie zaradené. Nie je to krok opravy, ktorý by ste mali vyskúšať, keď certifikát vyzerá nesprávne. Pred odstránením čohokoľvek sa opýtajte správcu, ktorý payload je zodpovedný za problém.

Prehľad končí štyrmi oddelenými odpoveďami: kto podpísal balík, aké payloady inštaluje, akú identitu a dôveru používa každé spojenie a čo by odstránenie vzalo so sebou. Držte ich oddelene a podpísaný profil sa stane prevereným rozhodnutím namiesto zelenej fajky.