Si të importoni një certifikatë VPN në Android dhe të verifikoni çelësin

Importimi i një certifikati klienti VPN në Android zgjat disa minuta. Kontrolli se ai ka përfunduar në vendin e duhur zgjat më shumë, dhe pikërisht këtë pjesë shumica e njerëzve e kapërcejnë sapo dialogu i instalimit njofton sukses. Një mesazh suksesi do të thotë vetëm se skedari u analizua. Ai nuk thotë asgjë për atë se cili ofrues mban çelësin privat apo nëse një kopje qëndron ende në dosjen tuaj Downloads.

Hapi 1: Lexoni P12 përpara se të largohet nga makina juaj

Filloni me vetë skedarin. Nëse nuk mund të emërtoni subjektin, emetuesin dhe datën e skadimit brenda tij, po importoni diçka që nuk do të mund ta verifikoni më vonë.

Një paketë PKCS#12 zakonisht mbart një certifikatë klienti, çelësin e saj privat dhe zinxhirin e emetuesit. openssl pkcs12 -in client.p12 -info -noout printon MAC-in dhe algoritmet e kriptimit pa nxjerrë materialin e çelësit, kështu që shihni nëse paketa mbrohet me fjalëkalim dhe me cilin shifër. Vazhdoni me keytool -list -v -keystore client.p12 -storetype PKCS12 për të marrë aliasin, gjurmën SHA-256 dhe dritaren e vlefshmërisë që do të krahasoni me telefonin.

Dërgojeni fjalëkalimin përmes një kanali të ndryshëm nga skedari, ose dorëzojeni skedarin brenda një rryme shpërndarjeje të menaxhuar që nuk lë kopje. Një fjalëkalim i ngjitur në të njëjtin mesazh bisede si arkivi i kthen dy kontrolle në një.

Hapi 2: Instalojeni në folenë që aplikacioni VPN lexon vërtet

Në Android 11 deri 14 standard rruga kalon përmes Cilësimeve, Sigurisë, Kriptimit dhe kredencialeve, Instalo një certifikatë, më pas VPN dhe certifikata e përdoruesit të aplikacionit. Formulimi dhe folezimi ndryshojnë midis versioneve dhe lëvoreve të prodhuesve, prandaj ndiqni etiketën e llojit të kredencialit dhe jo një pozicion menuje të mësuar përmendësh. Në një profil pune, instaloni nga brenda anës së punës, sepse kredencialet nuk e kalojnë kufirin e profilit.

Mos vendosni një identitet klienti në folenë e certifikatës CA. Ajo fole ushqen depon e besimit të përdoruesit, dhe që nga Android 7 aplikacionet injorojnë CA-të e shtuara nga përdoruesi nëse konfigurimi i sigurisë së rrjetit nuk e lejon, kështu që një certifikatë klienti e lënë atje nuk shfaqet kurrë në zgjedhësin e çelësave të VPN.

Disa klientë VPN nuk e prekin kurrë depon e sistemit dhe në vend të kësaj importojnë P12 në drejtorinë e tyre të aplikacionit. Ky është një dizajn legitim, por ndryshon çdo hap pasues: çelësi tani jeton nën sandboxin e aplikacionit dhe është saktësisht aq i fortë sa e trajton ai aplikacion ruajtjen e vet. Kontrolloni dokumentacionin e klientit përpara se të supozoni se KeyChain është në lojë.

Hapi 3: Provoni cili ofrues mban çelësin

Importimi konfirmon analizën, jo mbështetjen e harduerit. Në Android 12 e më pas, KeyInfo.getSecurityLevel() raporton nëse një çelës ndodhet në Mjedisin e Ekzekutimit të Besuar, në StrongBox ose në softuer, dhe zëvendëson thirrjen më të vjetër isInsideSecureHardware(). Nëse klienti VPN nuk e shfaq atë vlerë, gjurma e hapit 1 është alternativa juaj. Një certifikatë e rikoduar gjatë importimit nuk do të përputhet bajt për bajt, por çelësi publik dhe subjekti do të përputhen ende.

I paeksportueshëm nuk është njësoj si i papërdorshëm. Një çelës që nuk mund të largohet nga pajisja mund të përdoret ende nga çdo aplikacion që përdoruesi autorizon të zgjedhë atë alias, dhe për këtë arsye kërkesa për alias është kontroll i vërtetë dhe jo formalitet. Dokumentacioni i Android Keystore ia vlen një lexim nëse po e merrni atë vendim dizajni.

Më pas merrni parasysh kopjet që keni bërë. P12 në laptopin tuaj, ai në bashkëngjitjen e tiketit dhe ai në kopjen rezervë të muajit të kaluar janë të gjithë identitete të vlefshme derisa emetuesi t'i revokojë. Mbrojtja e harduerit e shembullit në telefon nuk bën asgjë për ato.

Hapi 4: Zbuloni kujt i përket kërkesa për bllokimin e ekranit

Këtu përzihen tre sekrete: PIN-i i shkyçjes së pajisjes, fraza e çelësit privat dhe fjalëkalimi i llogarisë VPN. Një kërkesë për njërin nuk është kurrë një kërkesë për të rivendosur të tjerët, dhe rivendosja e të gabuarit është mënyra se si njerëzit mbyllen jashtë një profili që funksiononte mirë.

Kur një administrator pajisjeje ose një politikë e profilit të menaxhuar kërkon një bllokim, kërkesa i përket asaj politike, jo certifikatës. adb shell dumpsys device_policy liston administratorët aktivë dhe cilësinë e fjalëkalimit që ata zbatojnë, që është mënyra më e shpejtë për të parë nëse një agjent MDM është arsyeja pse rregullat tuaja të PIN ndryshuan. Heqja e certifikatës nuk do ta zbutë politikën, dhe heqja e politikës është vendim administrativ dhe jo rregullim cilësimi.

Prisni gjithashtu një kompromis përdorshmërie. Nëse çelësi kërkon autorizim përdoruesi, tuneli nuk mund të ngrihet përpara shkyçjes së parë, kështu që sinkronizimet e planifikuara dhe zgjimet në distancë dështojnë sipas dizajnit. Vendoseni atë përpara shpërndarjes, jo pas.

Shmangni shkurtojën e redaktimit të locksettings.db ose të riprodhimit të një zgjidhjeje të vjetër për një model të harruar. Ato rutina u shkruan për ndërtime të caktuara, mund ta lënë depon e kredencialeve në një gjendje që korniza nuk e pret më, dhe ato nuk e ndryshojnë kurrë politikën që e kërkoi bllokimin në radhë të parë.

Hapi 5: Tërhiqni identitetin dhe verifikoni refuzimin

Tërheqja ka tre pjesë dhe vetëm e para është lokale. Hiqni profilin VPN, fshini certifikatën e përdoruesit nën Cilësimet, Siguria, Kriptimi dhe kredencialet, Kredencialet e përdoruesit, më pas bëni që emetuesi të revokojë numrin serial të certifikatës. Fshirja lokale vetëm lë një kredencial që serveri vazhdon ta pranojë nëse dikush e mbajti P12.

Verifikoni rezultatin në vend që ta supozoni. Provoni një lidhje me profilin e tërhequr dhe konfirmoni se serveri e refuzon. Një tunel që ngrihet ende do të thotë që revokuat numrin serial të gabuar ose klienti ra në heshtje në një identitet tjetër të instaluar.

Nëse po ktheni mbrapsht një importim të dështuar, riimportoni nga paketa origjinale e kriptuar dhe rikontrolloni gjurmën në vend që të ripërdorni një skedar çelësi të dekriptuar që e keni lënë në disk.