Инсталирате потписан VPN профил на iPhone-у? Прочитајте шта садржи

Профили стижу у Подешавања са именом, потписником и дугметом Инсталирај, а ред потписника је део који већина људи прочита. Тај ред одговара на једно питање: ко је спаковао ова подешавања, према правилима верификације потписа. Не каже да VPN садржај упућује на мрежни пролаз вашег послодавца, нити да уграђени коренски сертификат припада вашем TLS складишту поверења. Водич испод отвара пакет редоследом којим ће га уређај применити.

Почните од коверте: ко је потписао овај профил

На iOS-у профил се појављује у Подешавања, Опште, VPN и Управљање уређајем, са потписником изнад дугмета Инсталирај. Прочитајте то име пре него што било шта додирнете и питајте се да ли је то организација од које сте очекивали подешавања. Важећи потпис стране коју не препознајете и даље је важећи потпис и овлашћује њихову конфигурацију, а не вашу. Исти екран вам каже и да ли је профил уопште потписан.

Ако имате датотеку на Mac-у, прегледајте је пре него што стигне на телефон. Безбедносни алат декодира CMS коверту и исписује plist који ће уређај читати, исти садржај без дугмета Инсталирај на путу. Apple-ова документација о спровођењу конфигурације описује потписивање као проверу порекла, што је управо обим описан овде.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Зауставите се овде ако потписник није онај кога сте очекивали или ако је датотека непотписана и стигла каналом који не може да јамчи за њу. Ништа касније у овом водичу не чини коверту којој не верујете поузданом.

Отворите сваки део садржаја и именујте шта инсталира

Профил је контејнер, а занимљиви део је низ PayloadContent унутар њега. Сваки унос носи PayloadType који каже шта ће уређај инсталирати: управљану VPN конфигурацију, PKCS#12 идентитет, коренски сертификат или упис у управљање. Испишите типове пре него што прочитате било које подешавање.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN део садржаја именује везу: адресу сервера, метод провере идентитета и евентуално правило за појединачну апликацију или на захтев. Део са идентитетом обезбеђује клијентски акредитив који ће та веза представити. Део са коренским сертификатом додаје ослонац поверења, а део за управљање предаје трајну контролу серверу. То су четири различите обавезе, а потпис покрива пакет уместо да јемчи за сваку понаособ. Читајте их тим редом, јер је VPN бескористан без идентитета, а идентитет мало значи ако не знате ко га је издао.

Заштита датотеке лозинком је опет засебна особина. Шифровани пакет сакрива садржај од онога ко нема лозинку; не одлучује да ли треба да овластите оно што је унутра. Третирајте лозинку као механизам испоруке, а не као преглед.

Пратите сертификате до везе која их користи

Набројте сертификате у пакету и повежите сваки са задатком. Клијентски сертификат идентификује овај уређај мрежном пролазу, CA који га је издао припада ланцу поверења за ту везу, а корен инсталиран за прокси или интерну услугу није аутоматски ослонац за сваки HTTPS сајт. На iOS-у корен инсталиран ручно остаје неповерљив за TLS док га не омогућите у Подешавања, О уређају, Подешавања поверења сертификата, док се корену достављеном кроз управљање верује без тог корака. Та разлика је управо разлог зашто је сврха садржаја важна.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Провајдер који преноси ваш саобраћај није, због тога, TLS одредиште сваког сајта који посетите. Пресретање захтева путању саобраћаја и ослонац поверења који апликација прихвата, а профил са једним сертификатом не доказује ниједно. Питајте која веза користи сертификат и које ће га апликације прихватити, уместо да претпоставите да инсталација профила дешифрује све.

После инсталације: проверите и знајте шта уклањање ради

Када је профил инсталиран, потврдите га на уређају, а не у датотеци коју сте преузели. Екран подешавања приказује инсталирани профил, његовог потписника и његове делове садржаја, а VPN екран показује да ли је веза конфигурисана како треба. Брисање преузете датотеке не уклања ништа; инсталирана конфигурација је засебан објекат.

profiles show -type configuration
scutil --nc list

Ако профил укључује упис у управљање, прочитајте последице уклањања пре инсталације, не после. Уклањање тог уписа односи са собом повезане конфигурације и може уклонити управљане апликације, зависно од тога како је уређај уписан. То није корак поправке који треба пробати када сертификат изгледа погрешно. Питајте администратора који део садржаја је власник проблема пре него што било шта уклоните.

Водич се завршава са четири одвојена одговора: ко је потписао пакет, које делове садржаја инсталира, који идентитет и поверење користи свака веза и шта би уклањање однело са собом. Држите их одвојено и потписан профил постаје прегледана одлука, а не зелена квачица.