Kako uvoziti potrdilo VPN v Android in preveriti ključ

Uvoz certifikata odjemalca VPN v sistemu Android traja nekaj minut. Preverjanje, ali je pristal na pravem mestu, traja dlje, in prav ta del večina ljudi izpusti, ko namestitveno okno sporoči uspeh. Sporočilo o uspehu pomeni le, da je bila datoteka razčlenjena. Ne pove ničesar o tem, kateri ponudnik hrani zasebni ključ, ali o tem, ali kopija še vedno leži v mapi Downloads.

Korak 1: Preberite P12, preden zapusti vaš računalnik

Začnite z datoteko samo. Če ne morete poimenovati subjekta, izdajatelja in datuma poteka v njej, uvažate nekaj, česar pozneje ne boste mogli preveriti.

Paket PKCS#12 običajno nosi certifikat odjemalca, njegov zasebni ključ in verigo izdajatelja. openssl pkcs12 -in client.p12 -info -noout izpiše MAC in algoritme šifriranja, ne da bi izlil ključni material, zato vidite, ali je paket zaščiten z geslom in s katero šifro. Nato zaženite keytool -list -v -keystore client.p12 -storetype PKCS12, da dobite vzdevek, odtis SHA-256 in okno veljavnosti, ki ga boste primerjali s telefonom.

Geslo pošljite po drugem kanalu kot datoteko ali datoteko predajte v vodenem toku distribucije, ki ne pusti kopije. Geslo, prilepljeno v isto klepetalno sporočilo kot arhiv, spremeni dva nadzora v enega.

Korak 2: Namestite ga v režo, ki jo aplikacija VPN resnično bere

V tovarniškem Androidu 11 do 14 pot vodi skozi Nastavitve, Varnost, Šifriranje in poverilnice, Namesti potrdilo, nato VPN in uporabniško potrdilo aplikacije. Besedilo in gnezdenje se med izdajami in proizvajalčevimi lupinami spreminjata, zato sledite oznaki vrste poverilnic, ne zapomnjeni položaj v meniju. V delovnem profilu namestite z notranje strani dela, ker poverilnice ne prečkajo meje profila.

Identitete odjemalca ne vstavljajte v režo potrdila CA. Ta reža napaja shrambo zaupanja uporabnika, in od Androida 7 aplikacije prezrejo CA, ki jih doda uporabnik, razen če to dovoljuje njihova konfiguracija omrežne varnosti, zato se certifikat odjemalca, ki ostane tam, nikoli ne prikaže v izbirniku ključev VPN.

Nekateri odjemalci VPN se sistemske shrambe nikoli ne dotaknejo in namesto tega uvozijo P12 v svojo mapo aplikacije. To je legitimna zasnova, vendar spremeni vsak naslednji korak: ključ zdaj živi v peskovniku aplikacije in je natanko tako močan, kako ta aplikacija upravlja lastno shrambo. Preden domnevate, da je v igri KeyChain, preverite dokumentacijo odjemalca.

Korak 3: Dokažite, kateri ponudnik hrani ključ

Uvoz potrjuje razčlenitev, ne strojne podpore. V Androidu 12 in novejšem KeyInfo.getSecurityLevel() poroča, ali ključ sedi v zaupanja vrednem izvajalnem okolju, v StrongBoxu ali v programski opremi, in nadomesti starejši klic isInsideSecureHardware(). Če odjemalec VPN te vrednosti ne prikaže, je odtis iz koraka 1 vaša rezerva. Certifikat, ponovno kodiran med uvozom, se ne bo ujemal bajt za bajtom, javni ključ in subjekt pa se bosta še vedno.

Neizvozljiv ni isto kot neuporaben. Ključ, ki ne more zapustiti naprave, lahko še vedno uporabi vsaka aplikacija, ki ji uporabnik dovoli izbrati ta vzdevek, zato je poziv za vzdevek resničen nadzor in ne formalnost. Dokumentacija Android Keystore je vredna enega branja, če sprejemate to oblikovalsko odločitev.

Nato upoštevajte kopije, ki ste jih naredili. P12 na prenosniku, tisti v prilogi zahtevka in tisti v lanskoletni varnostni kopiji so še vedno veljavne identitete, dokler jih izdajatelj ne prekliče. Strojna zaščita primerka v telefonu za te ne naredi ničesar.

Korak 4: Ugotovite, kdo je lastnik zahteve za zaklep zaslona

Tu se zamešajo tri skrivnosti: PIN za odklep naprave, geslo zasebnega ključa in geslo računa VPN. Poziv za eno nikoli ni zahteva za ponastavitev drugih, in ponastavitev napačnega je način, kako se ljudje zaklenejo iz profila, ki je dobro deloval.

Ko skrbnik naprave ali pravilnik upravljanega profila zahteva zaklep, zahteva pripada temu pravilniku, ne certifikatu. adb shell dumpsys device_policy navaja dejavne skrbnike in kakovost gesla, ki jo uveljavljajo, kar je najhitrejši način, da vidite, ali je agent MDM razlog, da so se vaša pravila PIN spremenila. Odstranitev certifikata pravilnika ne bo omilila, odstranitev pravilnika pa je upravna odločitev in ne prilagoditev nastavitev.

Pričakujte tudi kompromis pri uporabnosti. Če ključ zahteva uporabnikovo avtorizacijo, tunel ne more vstati pred prvim odklepom, zato načrtovane sinhronizacije in oddaljena prebujanja po zasnovi propadejo. Odločite se o tem pred uvedbo, ne po njej.

Izognite se bližnjici urejanja locksettings.db ali ponovnega predvajanja stare obhode za pozabljen vzorec. Te rutine so bile napisane za določene gradnje, lahko pustijo shrambo poverilnic v stanju, ki ga ogrodje ne pričakuje več, in nikoli ne spremenijo pravilnika, ki je zaklep zahteval na začetku.

Korak 5: Umaknite identiteto in preverite zavrnitev

Umik ima tri dele in samo prvi je lokalen. Odstranite profil VPN, izbrišite uporabniško potrdilo pod Nastavitve, Varnost, Šifriranje in poverilnice, Uporabniške poverilnice, nato pa naj izdajatelj prekliče serijsko številko potrdila. Samo lokalno brisanje pusti poverilnice, ki jih strežnik še vedno sprejema, če je kdo obdržal P12.

Preverite rezultat, namesto da bi ga domnevali. Poskusite povezavo z umaknjenim profilom in potrdite, da jo strežnik zavrne. Tunel, ki še vedno vstane, pomeni, da ste preklicali napačno serijsko številko ali da je odjemalec tiho padel na drugo nameščeno identiteto.

Če razveljavljate neuspešen uvoz, znova uvozite iz izvirnega šifriranega paketa in znova preverite odtis, namesto da bi znova uporabili odšifrirano ključno datoteko, ki ste jo pustili na disku.