Po instaloni një profil VPN të nënshkruar në iPhone? Lexoni çfarë përmban

Profilet mbërrijnë në Cilësimet me një emër, një nënshkrues dhe një buton Instalo, dhe rreshti i nënshkruesit është pjesa që lexojnë shumica. Ai rresht përgjigjet një pyetjeje: kush i paketoi këto cilësime, sipas rregullave të verifikimit të nënshkrimit. Nuk thotë që ngarkesa VPN tregon portën e punëdhënësit tuaj, as që një certifikatë rrënjësore e integruar i përket magazinës tuaj të besimit TLS. Udhëzimi më poshtë e hap paketën në rendin që pajisja do ta zbatojë.

Filloni nga zarfi: kush e nënshkroi këtë profil

Në iOS profili shfaqet te Cilësimet, Të përgjithshme, VPN dhe Menaxhimi i pajisjeve, me nënshkruesin sipër butonit Instalo. Lexojeni atë emër para se të prekni çdo gjë dhe pyesni veten nëse është organizata nga e cila prisnit të merrnit cilësime. Një nënshkrim i vlefshëm nga një palë që nuk e njihni është gjithsesi i vlefshëm dhe autorizon konfigurimin e saj, jo tuajin. I njëjti ekran tregon gjithashtu nëse profili është i nënshkruar fare.

Nëse e keni skedarin në Mac, shqyrtojeni para se të arrijë në telefon. Mjeti i sigurisë e dekodon zarfin CMS dhe printon plist-in që do të lexojë pajisja, i njëjti përmbajtje pa një buton Instalo në mes. Dokumentacioni i Apple për zbatimin e konfigurimit e përshkruan nënshkrimin si vërtetim origjine, që është pikërisht fusha e përshkruar këtu.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Ndaleni këtu nëse nënshkruesi nuk është ai që prisnit, ose nëse skedari është i panënshkruar dhe mbërriti përmes një kanali që nuk mund të garantojë për të. Asgjë më tej në këtë udhëzim nuk e bën të besueshëm një zarf që nuk e besoni.

Hapni çdo ngarkesë dhe emërtoni çfarë instalon

Një profil është një kontejner, dhe pjesa interesante është grupi PayloadContent brenda tij. Çdo zë mban një PayloadType që thotë çfarë do të instalojë pajisja: një konfigurim VPN të menaxhuar, një identitet PKCS#12, një certifikatë rrënjësore ose një regjistrim menaxhimi. Printoni llojet para se të lexoni cilësimet.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Një ngarkesë VPN emërton një lidhje: adresën e serverit, metodën e vërtetimit dhe ndoshta një rregull për aplikacion ose sipas kërkesës. Një ngarkesë identiteti siguron kredencialin e klientit që do të paraqesë ajo lidhje. Një ngarkesë certifikate rrënjësore shton një pikë ankorimi besimi, ndërsa një ngarkesë menaxhimi i dorëzon kontrollin e vazhdueshëm një serveri. Këto janë katër angazhime të ndryshme, dhe nënshkrimi mbulon paketën në vend që të garantojë secilin veçmas. Lexojini në atë rend, sepse VPN-ja është e padobishme pa identitetin dhe identiteti vlen pak pa e ditur kush e lëshoi.

Mbrojtja me fjalëkalim e skedarit është përsëri një veti më vete. Një paketë e kriptuar ua fsheh përmbajtjen atyre që nuk e kanë fjalëkalimin; nuk vendos nëse duhet të autorizoni atë që ndodhet brenda. Trajtojeni fjalëkalimin si mekanizëm dorëzimi, jo si rishikim.

Gjurmoni certifikatat deri te lidhja që i përdor

Listoni certifikatat në paketë dhe përputhni secilën me një punë. Certifikata e klientit e identifikon këtë pajisje në portë, CA që e lëshoi i përket zinxhirit të besimit për atë lidhje, dhe një rrënjë e instaluar për një proxy ose një shërbim të brendshëm nuk është automatikisht ankorë për çdo sajt HTTPS. Në iOS, një rrënjë e instaluar me dorë mbetet e pabesuar për TLS derisa ta aktivizoni te Cilësimet, Rreth, Cilësimet e besimit të certifikatave, ndërsa një rrënjë e dorëzuar nga menaxhimi besohet pa atë hap. Kjo diferencë është pikërisht arsyeja pse qëllimi i ngarkesës ka rëndësi.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Një ofrues që transporton trafikun tuaj nuk është, për këtë arsye, pika fundore TLS e çdo sajti që vizitoni. Përgjimi kërkon shtegun e trafikut dhe një ankorë besimi që aplikacioni e pranon, dhe një profil me një certifikatë nuk dëshmon asnjërën. Pyesni cila lidhje e përdor certifikatën dhe cilat aplikacione do ta pranojnë, në vend që të supozoni se instalimi i profilit deshifron gjithçka.

Pas instalimit: verifikoni dhe dini çfarë bën heqja

Pasi profili të instalohet, verifikojeni nga pajisja dhe jo nga skedari që shkarkuat. Ekrani i cilësimeve liston profilin e instaluar, nënshkruesin dhe ngarkesat e tij, ndërsa ekrani VPN tregon nëse lidhja është konfiguruar siç duhet. Fshirja e skedarit të shkarkuar nuk heq asgjë; konfigurimi i instaluar është një objekt më vete.

profiles show -type configuration
scutil --nc list

Nëse profili përfshin një regjistrim menaxhimi, lexoni pasojat e heqjes përpara se ta instaloni, jo pas. Heqja e atij regjistrimi merr me vete konfigurimet e lidhura dhe mund të heqë aplikacione të menaxhuara, në varësi të mënyrës se si u regjistrua pajisja. Ky nuk është një hap riparimi që provohet kur një certifikatë duket e gabuar. Pyesni administratorin cila ngarkesë e zotëron problemin përpara se të hiqni çdo gjë.

Udhëzimi përfundon me katër përgjigje të ndara: kush e nënshkroi paketën, cilat ngarkesa instalon, çfarë identiteti dhe besimi përdor secila lidhje dhe çfarë do të merrte me vete heqja. Mbani të ndara dhe një profil i nënshkruar bëhet një vendim i shqyrtuar, jo një shenjë e gjelbër.