Vsem ste poslali en sam profil VPN, v njem pa je vaše geslo

Profil se namesti čisto, vsi se povežejo, nato pa se geslo računa zamenja. Vsaka naprava, ki je prejela datoteko, preneha preverjati isti minuti, ker vse nosijo isto skrivnost. To je znak: ena poverilnica, kopirana v skupni artefakt, spremeni rutinsko menjavo gesla v izpad celotne flote. Če obnovljivo konfiguracijo in posamezno identiteto obdržite kot dve ločeni predaji, se temu izognete, in lastna dokumentacija Appla za upravljanje naprav obravnava profile kot nastavitve in avtorizacijo, ne kot shrambo skrivnosti.

Simptom se pokaže pri prvi rotaciji

Datoteka mobileconfig je XML ali podpisan plist. Kdor ima kopijo, lahko dekodira vsebino in prebere, kaj je v njej, zato je vrednost AuthPassword v predlogi poverilnica v čistem besedilu z nenavadno končnico datoteke. Podpis spreminja celovitost in izvor, ne berljivosti. Medtem so deli, ki jih res želite deliti, na primer naslov prehoda, pričakovana identiteta strežnika in prometna politika, za vse enaki.

Preden karkoli uredite, razvrstite polja, ker meja ni tam, kjer ljudje mislijo.

Ločite skupne nastavitve od posameznih poverilnic

Interaktivna pot je pustiti geslo zunaj in pustiti podprti način preverjanja, da ga zahteva. Preberite pozorno: brisanje polja, ki je le podobno, ni univerzalna pretvorba v interaktivno prijavo. Vsebina IKEv2 razlikuje AuthName od AuthPassword, in način preverjanja odloči, ali je zahteva sploh dosegljiva; način, ki temelji na potrdilu, gesla sploh ne bo zahteval.

Tudi potrdila ne potrebujejo skupnega ključa

Če prehod pričakuje preverjanje s potrdilom, registrirajte predvideno identiteto uporabnika ali naprave po odobrenem mehanizmu in hranite zasebni ključ zunaj predloge. En skupni zasebni ključ v vsaki kopiji vam da isto težavo rotacije z slabšim dosegom, ker ključa ni mogoče preklicati po osebi, če ni bil izdan po osebi.

Zabeležite izdajo, obnovitev in preklic te identitete ob reviziji profila. Ko se oboje spremlja skupaj, je obnovitev načrtovana naloga in ne incident.

Stroji brez nadzora potrebujejo tretji odgovor

Stroj, ki se mora povezati, preden se kdo prijavi, ne more odgovoriti na zahtevo. To je drugačna zahteva kot olajšati nastavitev prijavljeni osebi, in rešiti jo je treba z upravljano identiteto ali potrdilom za vsako napravo, dogovorjenim z lastnikom prehoda, ne s shranjevanjem človeškega gesla v profilu.

Shranjevanje gesla tudi ne odpravi drugega dejavnika. Če prehod zahteva MFA, profil s shranjenim geslom pri zagonu še vedno ne uspe, in napaka izgleda kot pokvarjen profil, ne kot manjkajoči dejavnik.

Preverite artefakt, ki je bil dejansko ustvarjen

Predloge lažejo z izpuščanjem. Upravljavska storitev ali orodje za izvoz lahko v končno datoteko vstavi poverilnice, spremljajoče identitetne obremenitve ali diagnostične kopije pa lahko nosijo gradivo, ki ga predloga ni nikoli pokazala. Odprite ustvarjeni artefakt, preden se odločite, kdo ga sme prejeti. Ohranite tudi nastavitve zaupanja vrednega izdajatelja in pričakovane identitete strežnika; odstranitev gesla ni razlog za slabitev zaupanja v prehod.

Če sta resnično geslo ali zasebna identiteta že potovala preširoko, ju prekličite pri izdajatelju in zamenjajte. Urejanje jutrišnje predloge ne stori ničesar za že nameščene kopije, in te kopije bodo še naprej preverjale, dokler poverilnica za njimi ne bo umaknjena.

Sprejmite predajo s testno identiteto

Namestite po odobrenem postopku na napravi, registrirani kot ločena testna identiteta, dokončajte predvideno preverjanje in dosezite zasebni vir, namesto da le opazujete, kako se tunel dviga. Potrdite, da profil ne vsebuje gradiva poverilnic, nato potrdite, da poverilnica obstaja v zapisu identitete, ki bo obnovljen. Ta par je sprejemni test.

Ena revizija za skupne nastavitve, en zapis na osebo in pot preklica, ki ste jo resnično enkrat uporabili.