Android IKEv2: shahaadada isticmaalaha iyo CA waxay qabtaan laba shaqo oo kala duwan
Hal goob waxay caddaynaysaa yaa telefoonka yahay, tan kalena waxay go'aamisaa gateway-ka la aamino. Profilka Android IKEv2 wuu kala hayaa labada, sababtoo ah isdhaafsiga ayaa kala haya.
Shaashad Android IKEv2 oo weyddiinaysa shahaadada isticmaalaha iyo shahaadada CA waxay u egtahay in laba jeer isku shay la weyddiinayo. Sidaas ma aha. IKEv2 waxay xaqiijisaa labada dhinac, labada jiho, isla isdhaafsi keliya gudihiisa, telefoonkuna wuxuu ciyaaraa door kala duwan jiho kasta: waa inuu caddeeyaa yaa uu yahay, waa inuuna go'aamiyaa gateway-ka uu aaminsan yahay. Shahaadada isticmaalaha waxay ka jawaabtaa su'aasha koowaad, CA la aamin karo waxay ka jawaabtaa tan labaad, midkoodna ma matali karo kan kale.
Laba jiho oo xaqiijin ah hal isdhaafsi gudihiisa
IKEv2 waxay dhistaa kanaal xakameed laba waji. Isdhaafsiga koowaad wuxuu ka wada xaajoodaa algorithms iyo furayaasha; kan labaad, IKE_AUTH, wuxuu sidaa hal payload AUTH dhinac kasta oo ay la socoto aqoonsiga dhinac kasta. Payload-ku waa saxeex ama MAC lagu xisaabiyay isdhaafsiga, waxaana lagu hubiyaa shay qaataha hore u aaminsanaa.
Gateway-gu wuxuu aqoonsigiisa ku caddeeyaa shahaadadiisa, telefoonkuna wuxuu hubiyaa silsiladda shahaadadaas ilaa xidid uu diyaar u yahay inuu aamino, ka dibna wuxuu hubiyaa in aqoonsiga ku jira shahaadada uu la mid yahay gateway-ka uu doonayay inuu gaaro. Telefoonku wuxuu aqoonsigiisa ku caddeeyaa aqoonsi-bixintiisa, gatewayguna wuxuu ku hubiyaa CA-da soo saartay shahaadada macmiilka.
Taasi waa habdhiska oo dhan ee ka dambeeya labada goob. Shahaadada isticmaalaha waa hadal telefoonku isku sheegayo; goobta CA waa hadal ku saabsan cidda telefoonku aamini doono. Profil leh mid aan lahayn tan kale ma dhammayn karo xaqiijinta labada dhinac, oo dib-u-celin badnaan ma beddesho taas. Xitaa labada guuldarro ayaa u eg si kala duwan: fure isticmaale oo maqan wuxuu telefoonka ka horjoogsadaa inuu saxeex sameeyo, halka bar-tilmaameed kalsooni oo maqan uu ka horjoogsado inuu aqbalo shahaadada gateway-ka.
| Material | Role | What it cannot do |
|---|---|---|
| User certificate plus its private key | Proves possession of the enrolled client identity | Establish that the gateway is the right one |
| Trusted CA certificate | Validates the gateway chain under the intended identity checks | Prove the client's identity to the gateway |
| Expected gateway identity | Pins which server the phone accepts | Grant that user access to every private resource |
Waxa ay weyddiinayso dhismaha profilka Android
Dhismaha profilka IKEv2 ee Google wuxuu si gooni ah u muujiyaa hab kasta oo xaqiijin, ma aha hal hab oo shahaado ah. Habka saxeexa dhijitaalka ah wuxuu qaataa shahaadada isticmaalaha, fure gaar ah iyo CA xidid server-ka. Hababka kale waxay qaataan magac isticmaale iyo password, ama fure horay loo wadaagay.
Saxeexaas si dhow u akhri, waayo wuxuu qeexayaa habdhiska kor ku xusan. Ma jiro goob fure gaarka isticmaalaha lagu buuxiyo habka magac isticmaale iyo password, mana jiro goob bar-tilmaameedka kalsoonida gateway-ka lagu buuxiyo habka PSK, sababtoo ah hababkaas waxay caddeeyaan waxyaabo kala duwan. In la isku daro iyaga adigoo password gelinaya goob shahaado waxay soo saartaa profil ku guuldarraysta IKE_AUTH fariin aan midkoodna magacaabin.
Nooca fure gaarka ah ee la diiwaangeliyay ee habka saxeexa dhijitaalka ah waa RSA. Menu ku qoran IPsec ama shahaado ma tilmaamayo taageerada ECDSA, profil lagu dhisay mala-awaal inay taageerto wuxuu ku guuldarrayaa API-ga platformada xitaa ka hor inta aan shabakadda la gelin.
Sababta shahaadada isticmaalaha ee dadweynaha oo kaliya aysan ku filnayn
Payload-ga AUTH waa saxeex ku saabsan isdhaafsiga, oo lagu sameeyay fure gaarka macmiilka. Haysashada shahaadada dadweynaha waxay u ogolaataa gateway-ka inuu hubiyo saxeex; telefoonka waxba ma u tarayso, waayo wuxuu u baahan yahay furaha si uu mid u sameeyo. In la soo geliyo kaliya .crt oo furaha gadaal looga tago waa nooca ugu badan ee guuldarradan.
Kaabayaasha furayaasha Android way muujiyaan taas. Doorashada aqoonsiga macmiilka waxay maraysaa KeyChain, oo u baahan gelitaan fure gaar ah oo u dhigma, ma aha oo kaliya gelin shahaado. Xirmo diiwaangelin ama hawlo maaraynta qalabka oo labada wada rakibaya waa habka caadiga ah ee lagu helo aqoonsi la isticmaali karo; in fayl shahaado gacanta lagu guuriyo badanaa ma aha.
Marka labada shay ee profilka ma aha xirmo shahaado iyo nuqulkeed. Mid waa lammaane fure oo platformadu tahay inay ku saxeexdo, tan kalena waa bar-tilmaameed kalsooni oo platformadu isbarbardhigto. U hubi sida laba xaqiiqo oo gooni ah: profilkani ma saxeexi karaa, oo ma garanayaa cidda la aamino?
Bar-tilmaameedyada kalsoonidu waxay ka tirsan yihiin app, ma aha telefoonka
In shahaado xidid lagu rakibo kaydka isticmaalaha kama dhigto in app kasta oo Android ah uu aamino: tan iyo Android 7 app waa inuu ku doorto qaabeynta amniga shabakaddiisa, iyo ka hor versionkaas CA-yada isticmaalaha rakibay ayaa si aad u ballaaran loo aqbali jiray. Qaabeynta kalsoonida app-yadu way kala duwanaan kartaa, macmiil VPN oo maareeya agabkiisa kalsooni ayaa laga yaabaa inuusan marnaba fiirin kaydka isticmaalaha. Taasi waa sababta isla faylka CA uu uga shaqeeyo hal macmiil oo ka muuqdo mid la iska indhatiray mid kale.
Laba qaab lahaansho ayaa ka dhasha. Profil VPN oo nidaamku maareeyo wuxuu isticmaalaa rakibidda shahaadada qalabka ama hannaan diiwaangelin maamule, profilka markaas wuxuu tixraacaa CA-da loogu talagalay. VPN oo app maareyso wuxuu hayaa agabkiisa kalsooni oo isticmaala soo-gelintiisa la diiwaangeliyay, oo laga yaabo inuu gebi ahaan ka gooni yahay shaashadda dejinta Android. Halkaas ayaad sidoo kale ku hagaajinaysaa silsilad jaban: kaydka CA iyo doorashada profilka marka nidaamku maareeyo, shaashadda soo-gelinta macmiilka marka app maareyso.
Go'aanso qaabka aad ku jirto ka hor intaadan wax soo gelin, ka dibna xaqiiji doorashada kalsoonida profilka firfircoon. Haddii tilmaamaha hawlwadeenka iyo menu-ga macmiilka ay iskhilaafaan, habdhaqanka la diiwaangeliyay ee macmiilka ayaa ku guulaysta rakibiddaas, laakiin CA waa inay weli ka timaaddo hawlwadeenka iyada oo loo marayo kanaal aad hubin karto. Magaca fayl ma aha caddayn cidda soo saartay.
Dooro habka, ka dibna faylasha
Habka shahaadada wuxuu u baahan yahay lammaane fure macmiil, CA-da soo saarta dhinaca gateway-ka, bar-tilmaameed kalsooni oo shahaadada gateway-ka ah, iyo filasho aqoonsiga shahaadadaas waa inay qaaddo. Habka magac isticmaale iyo password wuxuu lammaanka fure macmiilka ku beddelaa aqoonsi-bixin, laakiin shuruudda kalsoonida gateway-ka si buuxda ayuu u hayaa. Habka PSK wuxuu labadaba ku beddelaa sir la wadaagay oo wuxuu beddelaa qaabka kalsoonida halkii uu fududayn lahaa.
Mid kasta oo aad dooratid, hubinta caadiga ah ha furnaato. Ikhtiyaarka ha hubin, marka macmiilku bixiyo, wuxuu meesha ka saarayaa hubinta goobta CA u jirto; ma hagaajinayo bar-tilmaameed kalsooni oo maqan. Sidoo kale aqbalidda shahaado server kasta sababtoo ah xiriirku wuu shaqeeyaa iyada la'aan.
Ka dibna meesha saxda ah ku hubi: soo geli agabka, hal mar ku xir, oo faahfaahinta xiriirka macmiilka ku xaqiiji in aqoonsiga gateway-ku yahay kii aad filaysay iyo in profilku soo sheegayo habka xaqiijinta aad doonayay inaad isticmaasho. Xiriir guuleysta oo hab khaldan la doortay waa qaabayn aadan weli fahmin, oo wuu dhici doonaa marka xiga ee hawlwadeenku sii adkeeyo siyaasad.