Послали сте један VPN профил свима и он садржи вашу лозинку

Профил се чисто инсталира, сви се повезују, а затим се лозинка налога мења. Сваки уређај који је примио датотеку престаје да се аутентификује у истом минуту, јер сви носе исту тајну. То је знак: једни акредитиви копирани у заједнички артефакт претварају рутинску промену лозинке у испад целе флоте. Држање конфигурације која се може поново употребити и појединачног идентитета као две одвојене предаје то избегава, а сопствена Apple-ова документација за управљање уређајима третира профиле као подешавања и ауторизацију, а не као складиште тајни.

Симптом се појављује при првој ротацији

Датотека mobileconfig је XML или потписани plist. Свако ко има копију може да декодира садржај и прочита шта је у њему, па је вредност AuthPassword у шаблону приступни податак у чистом тексту са необичним наставком датотеке. Потписивање мења интегритет и порекло, не читљивост. У међувремену, делови које заиста желите да делите, као што су адреса пролаза, очекивани идентитет сервера и политика саобраћаја, идентични су за све.

Поређајте поља пре било каквог уређивања, јер граница није тамо где људи претпостављају.

Одвојите заједничка подешавања од појединачних приступних података

Интерактивни пут је оставити лозинку напољу и пустити подржани распоред аутентификације да је затражи. Прочитајте то пажљиво: брисање поља које само слично изгледа није универзална претворба у интерактивну пријаву. Носивост IKEv2 разликује AuthName од AuthPassword, а метод аутентификације одлучује да ли је захтев уопште достижан; метод заснован на сертификату неће уопште тражити лозинку.

Ни сертификатима није потребан заједнички кључ

Ако пролаз очекује аутентификацију сертификатом, региструјте предвиђени идентитет корисника или уређаја одобреним механизмом и држите приватни кључ изван шаблона. Један заједнички приватни кључ у свакој копији даје вам исти проблем ротације са горим дометом, јер се кључ не може опозвати по особи ако није издат по особи.

Бележите издавање, обнављање и опозив тог идентитета уз ревизију профила. Када се обоје прати заједно, обнављање је планирани задатак, а не инцидент.

Машине без надзора захтевају трећи одговор

Машина која мора да се повеже пре него што се било ко пријави не може да одговори на захтев. То је другачији захтев од олакшавања подешавања пријављеној особи и треба га решити управљаним идентитетом или сертификатом по уређају договореним са власником пролаза, а не чувањем људске лозинке у профилу.

Чување лозинке такође не уклања други фактор. Ако пролаз захтева MFA, профил са сачуваном лозинком и даље не пролази при подизању, а квар изгледа као покварен профил, а не као фактор који недостаје.

Проверите артефакт који је заиста генерисан

Шаблони лажу прећуткивањем. Услуга управљања или алат за извоз може да убаци акредитиве у готову датотеку, а пратеће идентитетске носивости или дијагностичке копије могу да носе материјал који шаблон никада није показао. Отворите генерисани артефакт пре него што одлучите коме се сме дати. Сачувајте и подешавања поузданог издаваоца и очекиваног идентитета сервера; уклањање лозинке није разлог за слабљење поверења у пролаз.

Ако су стварна лозинка или приватни идентитет већ путовали прешироко, опозовите их код издаваоца и замените. Уређивање сутрашњег шаблона не чини ништа за већ инсталиране копије, а те копије ће наставити да се аутентификују док се акредитив иза њих не повуче.

Прихватите предају са тестним идентитетом

Инсталирајте кроз одобрени ток на уређају регистрованом као засебан тестни идентитет, довршите предвиђену аутентификацију и дођите до приватног ресурса уместо да само гледате како се тунел подиже. Потврдите да профил не садржи материјал акредитива, затим потврдите да акредитив постоји у запису идентитета који ће се обновити. Тај пар је прихватни тест.

Једна ревизија за заједничка подешавања, један запис по особи и пут опозива који сте заиста једном употребили.