Isku-dubbaridka shahaadada IKEv2 ee iPhone: diiwaangelin gacan ama maamul

Doorashada RSA sababtoo ah qalabka shahaadada gateway-ga ayaa si caadi ah u isticmaala waa go'aan la qaato ka hor su'aasha muhiimka ah: sidee ayaa iPhone-yadan loo diiwaangelinayaa? Xiriirka isticmaaluhu isagu qoraa iyo profile isku-dubbarid oo maamulku bixiyo waxay muujinayaan dejitaanno kala duwan, oo qaar ka mid ah doorashooyinka shahaadada waxay kaliya ku jiraan mid ka mid ah waddooyinkan. Haddii aad si sax ah u habayso nidaamka, qorshaha shahaadadu wuu gaaban yahay; haddii aad qalad sameyso, waxaad soo saartaa xog gelitaan oo telefoonku aanu isticmaalin. U tixgeli tallaabooyinka hoose sida isku-xigis, sababtoo ah mid kastaa wuxuu cidhiidhiyaa doorashooyinka la heli karo ee xiga.

Tallaabada koowaad: dooro waddada diiwaangelinta

Isku-dubbaridka gacan waxay ka dhigan tahay in isticmaaluhu geliyo cinwaanka server-ka, doorto habka xaqiijinta oo bixiyo xog kasta oo gelitaan ah oo interface-ku oggol yahay. Diiwaangelinta maamulka waxay ka dhigan tahay in profile-ku qaado cinwaanka, aqoonsiga iyo tixraac payload xog gelitaan. Waddada maamulka waxay sheegi kartaa isku-dar aan shaashadda gacantu sheegi karin, sidaas darteed go'aanka shahaadadu waa inuu yimaado doorashadan ka dib, horeyn ma aha.

Labada waddo labaduba waxay xaqiijin karaan telefoon. Waxay ku kala duwan yihiin waxa la habayn karo iyo cidda leh aqoonsiga, sidaas darteed si ula kac ah u dooro mid halkii aad isku qasi lahayd profile maamul iyo gelitaan xog gacan.

Tallaabada labaad: dooro algorithm-yada waddada aad dooratay

iPhone-yada gacan lagu habaystay, qoraallada isku-xirka iOS ee strongSwan waxay ku talinayaan shahaadada server-ka RSA, sababtoo ah macmiilka gacantu waxaa laga yaabaa inuusan aqbalin shahaadada server-ka ECDSA; isla qoraalladaas waxay macOS si gooni ah u tixgeliyaan. U akhri tan hagitaan loogu talagalay kooxda macmiilka la taageerayo, ee ma aha sharci joogto ah oo ku saabsan aaladaha Apple. Profile maamulku wuxuu leeyahay boos badan: wuxuu si cad u dooran karaa nooca shahaadada, oo ay ku jirto aqoonsiga macmiilka ECDSA, marka payload-ka iyo gateway-gu labaduba taageeraan.

Xaqiiji noocyada iOS ee aad run ahaantii taageerto ka hor intaadan wax kordhin. Telefoon shaybaadh oo ku jira nooca ugu cusub ma qeexo koox ay ku jiraan aalado duug ah, algorithm-ka shaybaadhka ku shaqeeyaana wuxuu ku dhici karaa telefoonka ugu duugga ah ee goobta. Nooca kala duwanaanshaha ka soo qaado maamulka aaladaha, ee ka soo qaado xusuusta. Haddii kooxdu ay ka kooban tahay noocyo badan, marka hore tijaabi tan ugu duugga ah, sababtoo ah halkaas ayaa interface-ka gacantu ugu xaddidan yahay.

Tallaabada saddexaad: u akhri goobaha profile-ka sida waxyaabo gooni ah

Dhowr fure oo magacyo isku mid ah waxay qeexaan waxyaabo kala duwan. Cinwaanka fog waa host-ka uu telefoonku waco. Aqoonsiga fog waa aqoonsiga IKE ee la filayo in gateway-gu soo bandhigo. Tixraaca shahaadada ee payload-ku waxa uu tilmaamayaa xog gelitaan macmiil, goobta nooca shahaadaduna waxay doorataa nooca loo isticmaalo xaqiijinta mashiinka IKEv2. Midkoodna ma aha algorithm-ka saxeexa CA, in kasta oo erayadu is-khudbaan.

Tixraaca payload-ka IKEv2 ee Apple wuxuu taxayaa RSA sida nooca shahaadada caadiga ah oo leh noocyo ECDSA cad, wuxuuna ku xiraa fure magaca soo-saaraha dejitaanno xaqiijin gaar ah. Xiriirkaas ka akhri tixraaca habka aad dooratay halkii aad ka koobi lahayd hal fure hirgelin shaqaynaysa.

Tallaabada afaraad: isku waafaji aqoonsiga gateway-ga shahaadadiisa

Isticmaal magac gateway oo cad, tusaale ahaan vpn.example.com oo geli magac mawduuc beddel ah oo u dhigma shahaadada server-ka. Hagitaanka Apple ee strongSwan wuxuu sidoo kale filayaa isticmaalka fure la ballaariyay ee xaqiijinta server-ka. Doorashada RSA ama ECDSA wax ka beddeli mayso wax ka mid ah: algorithm ma hagaajin karo ismaandhaafka magaca, EKU maqan ama silsilad aan dhammaystirnayn.

Qaybinta ankaarta kalsoonidu waa hawlo ka duwan caddaynta aqoonsiga. Telefoonku wuxuu u baahan yahay silsilad shahaadooyin oo uu xaqiijin karo, waana in loo habeeyaa inuu filayo magaca aad run ahaantii gelisay shahaadada.

In qalab kale si guul leh u xirmaa waa caddayn ku saabsan xeerarka xaqiijinta qalabkaas, ma aha fasax lagu dabciyo xeerarka telefoonka. Hayso hubinta isku mid ah dhammaan macmiillada haddii aanad lahayn sabab la diiwaangeliyay oo kala duwanaansho ah.

Tallaabada shanaad: kala sooc aqoonsiga macmiilka iyo kalsoonida CA

Shahaadada macmiilka iyo furaheeda gaarka ah ma aha isla shayga shahaadada CA ee telefoonku ku kalsoon yahay. Ku-xidhka shahaadada CA gudaha aqoonsiga PKCS#12 si otomaatig ah ugama rakibto ankaar kalsooni aalad kasta oo la taageeray, sidaas darteed u tixgeli qaybinta kalsoonida tallaabo gooni ah oo leh xaqiijinteeda.

Haddii naqshaddu ay isticmaalayso EAP ku salaysan password, telefoonku wuxuu u baahan yahay xaqiijinta akoonka loogu talagalay iyo xaqiijinta server-ka. Waddadaas ma caddaynayso in hal fure gaar ah oo macmiil la wadaago loo diro kooxda oo dhan, taas oo ah naqshad kale oo leh hab guuldarro aad uga xun.

Ku dhammee qorshaha iyadoo la tixgelinayo cusboonaysiinta iyo baajinta: yaa dib u soo saara xogta gelitaanka macmiilka, sidee profile-ka loo cusboonaysiiyaa iyo sidee telefoon lumay loo gooyaa. Diiwaangeli nooca profile-ka iyo noocyada aaladaha aad ku xaqiijisay, sababtoo ah diiwaankaas ayaa ka dhigaya beddelka shahaadada xiga hawl caadi ah.