Poslali ste jeden profil VPN všetkým a obsahuje vaše heslo

Profil sa nainštaluje čisto, všetci sa pripoja a potom sa otočí heslo účtu. Každé zariadenie, ktoré súbor dostalo, prestane v tej istej minúte autentifikovať, pretože všetky nesú to isté tajomstvo. To je ten signál: jeden prihlasovací údaj skopírovaný do zdieľaného artefaktu premení rutinnú zmenu hesla na výpadok celej flotily. Zachovanie znovupoužiteľnej konfigurácie a individuálnej identity ako dvoch oddelených odovzdaní tomu zabráni a vlastná dokumentácia Applu pre správu zariadení vníma profily ako nastavenia a autorizáciu, nie ako úložisko tajomstiev.

Príznak sa objaví pri prvej rotácii

Súbor mobileconfig je XML alebo podpísaný plist. Ktokoľvek, kto má kópiu, môže dekódovať obsah a prečítať, čo v ňom je, takže hodnota AuthPassword v šablóne je prihlasovací údaj v otvorenom texte s neobvyklou príponou súboru. Podpis mení integritu a pôvod, nie čitateľnosť. Medzitým časti, ktoré naozaj chcete zdieľať, ako adresa brány, očakávaná identita servera a pravidlá prevádzky, sú pre všetkých rovnaké.

Než čokoľvek upravíte, roztrieďte polia, pretože hranica nie je tam, kde si ľudia myslia.

Oddeľte zdieľané nastavenia od individuálnych prihlasovacích údajov

Interaktívna cesta je nechať heslo vonku a nechať podporovanú schému overovania, aby si oň vypýtala. Čítajte to pozorne: zmazanie poľa, ktoré sa len podobá, nie je univerzálny prevod na interaktívne prihlásenie. Obsah IKEv2 rozlišuje AuthName od AuthPassword, a metóda overovania rozhoduje, či je výzva vôbec dosiahnuteľná; metóda založená na certifikáte heslo vôbec nevyžiada.

Certifikáty tiež nepotrebujú zdieľaný kľúč

Ak brána očakáva overovanie certifikátom, zaregistrujte zamýšľanú identitu používateľa alebo zariadenia schváleným mechanizmom a držte súkromný kľúč mimo šablóny. Jeden zdieľaný súkromný kľúč v každej kópii vám dá rovnaký problém rotácie s horším dosahom, pretože kľúč nemožno zrušiť po osobe, ak nebol vydaný po osobe.

Zaznamenávajte vydanie, obnovu a odvolanie tejto identity spolu s revíziou profilu. Keď sa oboje sleduje spolu, obnova je plánovaná úloha, nie incident.

Stroje bez obsluhy potrebujú tretiu odpoveď

Stroj, ktorý sa musí pripojiť skôr, než sa niekto prihlási, nemôže odpovedať na výzvu. Je to iná požiadavka než uľahčiť nastavenie prihlásenému človeku, a malo by sa to riešiť spravovanou identitou alebo certifikátom pre každé zariadenie dohodnutým s vlastníkom brány, nie ukladaním ľudského hesla do profilu.

Uloženie hesla tiež neodstráni druhý faktor. Ak brána vyžaduje MFA, profil s uloženým heslom pri štarte stále zlyhá a zlyhanie vyzerá ako pokazený profil, nie ako chýbajúci faktor.

Skontrolujte artefakt, ktorý bol skutočne vytvorený

Šablóny klamú mlčaním. Služba správy alebo exportný nástroj môže do hotového súboru vložiť prihlasovacie údaje a sprievodné identity či diagnostické kópie môžu niesť materiál, ktorý šablóna nikdy neukázala. Otvorte vytvorený artefakt, než rozhodnete, kto ho smie dostať. Zachovajte aj nastavenia dôveryhodného vydavateľa a očakávanej identity servera; odstránenie hesla nie je dôvod oslabiť dôveru v bránu.

Ak skutočné heslo alebo súkromná identita už putovali príliš široko, odvolajte ich u vydavateľa a nahraďte. Úprava zajtrajšej šablóny nič neurobí s už nainštalovanými kópiami a tie budú ďalej autentifikovať, kým sa údaj za nimi neodoberie.

Prevezmite odovzdanie s testovacou identitou

Nainštalujte cez schválený postup na zariadení registrovanom ako samostatná testovacia identita, dokončite zamýšľané overenie a dostanete sa k súkromnému zdroju, namiesto toho, aby ste len sledovali, ako tunel naskočí. Potvrďte, že profil neobsahuje žiadny materiál prihlasovacích údajov, a potom potvrďte, že údaj existuje v zázname identity, ktorý bude obnovený. Táto dvojica je akceptačný test.

Jedna revízia pre zdieľané nastavenia, jeden záznam na osobu a cesta odvolania, ktorú ste skutočne raz použili.