Nameščate podpisan profil VPN v iPhone? Preberite, kaj vsebuje

Profili se v Nastavitvah prikažejo z imenom, podpisnikom in gumbom Namesti, vrstica s podpisnikom pa je tisto, kar večina ljudi prebere. Ta vrstica odgovori na eno vprašanje: kdo je te nastavitve zapakiral, v skladu s pravili preverjanja podpisa. Ne pove pa, ali paket VPN kaže na prehod vašega delodajalca ali da vgrajeno korensko potrdilo sodi v vaše skladišče zaupanja TLS. Spodnji pregled odpre paket v vrstnem redu, v katerem ga bo naprava uporabila.

Začnite z ovojem: kdo je podpisal ta profil

V sistemu iOS se profil prikaže pod Nastavitve, Splošno, VPN in Upravljanje naprav, podpisnik pa je prikazan nad gumbom Namesti. Preberite to ime, preden se česar koli dotaknete, in se vprašajte, ali je to organizacija, od katere ste pričakovali nastavitve. Veljaven podpis stranke, ki je ne prepoznate, je še vedno veljaven podpis in potrjuje njihovo konfiguracijo, ne vaše. Isti zaslon pove tudi, ali je profil sploh podpisan.

Če imate datoteko na Macu, jo pregledajte, preden prispe na telefon. Varnostno orodje dekodira ovoj CMS in izpiše plist, ki ga bo naprava prebrala, kar je ista vsebina brez gumba Namesti na poti. Applova dokumentacija o uveljavljanju konfiguracije opisuje podpisovanje kot preverjanje izvora, kar je natanko obseg, opisan tukaj.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Ustavite se tukaj, če podpisnik ni tisti, ki ste ga pričakovali, ali če je datoteka nepodpisana in je prišla po kanalu, ki zanjo ne more jamčiti. Nič pozneje v tem pregledu ne naredi ovoja, ki mu ne zaupate, zaupanja vrednega.

Odprite vsak paket in poimenujte, kaj namešča

Profil je vsebnik, zanimivi del pa je polje PayloadContent v njem. Vsak vnos nosi PayloadType, ki pove, kaj bo naprava namestila: upravljano konfiguracijo VPN, identiteto PKCS#12, korensko potrdilo ali vpis v upravljanje. Izpišite vrste, preden preberete katere koli nastavitve.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Paket VPN poimenuje povezavo: naslov strežnika, način overjanja in morda pravilo za posamezno aplikacijo ali na zahtevo. Paket identitete priskrbi odjemalsko poverilnico, ki jo bo ta povezava predstavila. Paket korenskega potrdila doda sidro zaupanja, paket za upravljanje pa preda trajni nadzor strežniku. To so štiri različne zaveze, podpis pa pokriva paket kot celoto in ne jamči za vsako posebej. Berite jih v tem vrstnem redu, ker je VPN brez identitete neuporaben, identiteta pa malo pomeni, če ne veste, kdo jo je izdal.

Zaščita datoteke z geslom je spet ločena lastnost. Šifriran paket skrije vsebino pred nekom brez gesla; ne odloča pa, ali bi morali odobriti to, kar je v njem. Geslo obravnavajte kot način dostave, ne kot pregled.

Sledite potrdilom do povezave, ki jih uporablja

Naštejte potrdila v paketu in vsako povežite z nalogo. Odjemalsko potrdilo predstavi to napravo prehodu, CA, ki ga je izdal, sodi v verigo zaupanja za to povezavo, korensko potrdilo, nameščeno za posrednik ali notranjo storitev, pa ni samodejno sidro za vsako spletno mesto HTTPS. V sistemu iOS korensko potrdilo, nameščeno ročno, ostane brez zaupanja za TLS, dokler ga ne omogočite pod Nastavitve, O napravi, Nastavitve zaupanja potrdil, medtem ko je korensko potrdilo, dostavljeno z upravljanjem, zaupanja vredno brez tega koraka. Ta razlika je natanko razlog, da je namen paketa pomemben.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Ponudnik, ki prenaša vaš promet, zato še ni končna točka TLS vsakega spletnega mesta, ki ga obiščete. Prestrezanje potrebuje pot prometa in sidro zaupanja, ki ga aplikacija sprejme, profil z enim potrdilom pa ne dokazuje ne enega ne drugega. Vprašajte, katera povezava uporablja potrdilo in katere aplikacije ga bodo sprejele, namesto da domnevate, da namestitev profila dešifrira vse.

Po namestitvi: preverite in vedite, kaj odstranitev naredi

Ko je profil nameščen, ga potrdite na napravi in ne v datoteki, ki ste jo prenesli. Zaslon nastavitev prikaže nameščen profil, njegovega podpisnika in njegove pakete, zaslon VPN pa pokaže, ali je povezava konfigurirana po pričakovanjih. Če preneseno datoteko izbrišete, ne odstranite ničesar; nameščena konfiguracija je ločen objekt.

profiles show -type configuration
scutil --nc list

Če profil vsebuje vpis v upravljanje, preberite posledice odstranitve pred namestitvijo, ne po njej. Odstranitev tega vpisa odnese s seboj povezane konfiguracije in lahko odstrani tudi upravljane aplikacije, odvisno od tega, kako je bila naprava vpisana. To ni korak popravila, ki bi ga poskusili, ko je potrdilo videti napačno. Preden karkoli odstranite, vprašajte skrbnika, kateri paket je lastnik težave.

Pregled se konča s štirimi ločenimi odgovori: kdo je podpisal paket, katere pakete namešča, katero identiteto in zaupanje uporablja posamezna povezava ter kaj bi odstranitev odnesla s seboj. Če jih ohranite ločene, podpisan profil postane pregledana odločitev in ne zelena kljukica.