Ju dërguat një profil VPN të vetëm të gjithëve dhe ai përmban fjalëkalimin tuaj

Profili instalohet pastër, të gjithë lidhen dhe më pas fjalëkalimi i llogarisë ndryshohet. Çdo pajisje që mori skedarin ndalon së vërtetuari në të njëjtin minutë, sepse të gjitha mbajnë të njëjtin sekret. Ky është shenja: një kredencial i kopjuar në një artefakt të përbashkët e kthen një ndryshim rutinë të fjalëkalimit në një ndërprerje të të gjithë flotës. Mbajtja e konfigurimit të ripërdorshëm dhe identitetit individual si dy dorëzime të veçanta e shmang atë, dhe vetë dokumentacioni i menaxhimit të pajisjeve i Apple i trajton profilet si cilësime dhe autorizim, jo si depo sekretesh.

Simptoma shfaqet në rotacionin e parë

Një skedar mobileconfig është XML ose plist i nënshkruar. Kushdo që ka një kopje mund të dekodojë ngarkesën dhe të lexojë çfarë përmban, kështu që një vlerë AuthPassword në një shabllon është një kredencial në tekst të thjeshtë me një shtesë skedari të pazakontë. Nënshkrimi ndryshon integritetin dhe origjinën, jo lexueshmërinë. Ndërkohë, pjesët që vërtet dëshironi të ndani, si adresa e gateway-t, identiteti i pritur i serverit dhe politika e trafikut, janë identike për të gjithë.

Renditni fushat përpara se të redaktoni çdo gjë, sepse kufiri nuk është aty ku njerëzit mendojnë.

Ndani cilësimet e përbashkëta nga kredencialet individuale

Rruga interaktive është të lini fjalëkalimin jashtë dhe të lejoni skemën e vërtetimit të mbështetur ta kërkojë atë. Lexojeni me kujdes: fshirja e një fushe që thjesht duket e ngjashme nuk është konvertim universal në hyrje interaktive. Ngarkesa IKEv2 dallon AuthName nga AuthPassword, dhe metoda e vërtetimit vendos nëse një kërkesë është edhe e arritshme; një metodë e bazuar në certifikatë nuk do të kërkojë fare fjalëkalim.

As certifikatat nuk kanë nevojë për një çelës të përbashkët

Nëse gateway-i pret vërtetim me certifikatë, regjistroni identitetin e synuar të përdoruesit ose të pajisjes përmes mekanizmit të miratuar dhe mbajeni çelësin privat jashtë shabllonit. Një çelës privat i përbashkët në çdo kopje ju jep të njëjtin problem rotacioni me një rreze ndikimi më të keqe, sepse një çelës nuk mund të revokohet për person nëse nuk është lëshuar për person.

Regjistroni lëshimin, rinovimin dhe revokimin e atij identiteti krahas rishikimit të profilit. Kur të dyja ndiqen së bashku, një rinovim është një detyrë e planifikuar dhe jo një incident.

Makinat pa mbikëqyrje kanë nevojë për një përgjigje të tretë

Një makinë që duhet të lidhet përpara se dikush të hyjë nuk mund t'i përgjigjet një kërkese. Ky është një kërkesë tjetër nga lehtësimi i konfigurimit për një person të hyrë, dhe duhet zgjidhur me një identitet të menaxhuar ose një certifikatë për pajisje të rënë dakord me pronarin e gateway-t, jo duke ruajtur një fjalëkalim njerëzor në një profil.

Ruajtja e një fjalëkalimi nuk e heq as një faktor të dytë. Nëse gateway-i kërkon MFA, një profil me fjalëkalim të ruajtur dështon përsëri në nisje, dhe dështimi duket si një profil i prishur dhe jo si një faktor që mungon.

Kontrolloni artefaktin që u gjenerua në të vërtetë

Shabllonet gënjejnë me mosvënie në dukje. Një shërbim menaxhimi ose një mjet eksportimi mund të injektojë kredenciale në skedarin e përfunduar, dhe ngarkesat shoqëruese të identitetit ose kopjet diagnostike mund të mbajnë material që shablloni nuk e tregoi kurrë. Hapni artefaktin e gjeneruar përpara se të vendosni kush mund ta marrë atë. Mbani të paprekura edhe cilësimet e lëshuesit të besuar dhe identitetit të pritur të serverit; heqja e një fjalëkalimi nuk është arsye për të dobësuar besimin te gateway-i.

Nëse një fjalëkalim i vërtetë ose një identitet privat ka udhëtuar tashmë shumë gjerësisht, revokojeni te lëshuesi dhe zëvendësojeni. Redaktimi i shabllonit të nesërm do të bëjë asgjë për kopjet e instaluara tashmë, dhe ato kopje do të vazhdojnë të vërtetojnë derisa kredenciali pas tyre të tërhiqet.

Pranoni dorëzimin me një identitet testimi

Instaloni përmes rrjedhës së miratuar në një pajisje të regjistruar si identitet testimi i veçantë, përfundoni vërtetimin e synuar dhe arrini burimin privat në vend që thjesht të shikoni tunelin duke u ngritur. Konfirmoni që profili nuk përmban material kredencialesh, pastaj konfirmoni që kredenciali ekziston në regjistrin e identitetit që do të rinovohet. Ky çift është testi i pranimit.

Një rishikim për cilësimet e përbashkëta, një regjistrim për person dhe një rrugë revokimi që e keni përdorur vërtet një herë.