Kan en VPN-profil installera ett certifikat på din enhet?

En VPN-profil kan bära certifikat, och det är i den meningen det mesta av förvirringen börjar. Vad den bär och vad den litar på är två olika frågor, besvarade av två olika mekanismer. En inbäddad CA som en klient använder för att verifiera en server är inte samma objekt som en rot som hela operativsystemet litar på. Jämför de två innan du avgör att paketet är rutin.

Svaret på frågan i rubriken är ja, med en omfattning du måste kontrollera.

Vad en VPN-profil kan bära

En OpenVPN-profil kan hålla CA-certifikatet, klientcertifikatet och klientnyckeln direkt mellan sina taggar, så att klienten läser dem från själva profilen. Materialet används för verifiering och autentisering inne i den enda klienten. Det hamnar inte i systemets förtroendelager bara för att det finns i filen.

En plattformskonfigurationsprofil är en annan behållare. Den kan bära en certifikatnyttolast vid sidan av hanterade inställningar: Wi-Fi, VPN, begränsningar och i hanterade distributioner mycket mer. Att installera den lämnar de inställningarna till operativsystemet i stället för till en enda applikation. Det är poängen med formatet, och därför spelar omfattningen roll.

Förtroende inom klienten kontra plattformens förtroende

Förtroende inom klienten begränsas av klienten. Om CA i profilen är fel misslyckas den tunneln och andra applikationer påverkas inte. Plattformens förtroende begränsas inte av något särskilt, eftersom varje applikation som använder systemlagret ärver beslutet.

På Apple-plattformar är de synligt separata steg.

Att installera en nedladdad profil och att slå på förtroende för ett certifikat är olika åtgärder, och den andra har sin egen kontroll i inställningarna för certifikatförtroende. Hanterad distribution kan skilja sig från en manuell installation, bland annat om profilen alls kan tas bort. Följ aktuell plattformsdokumentation för din version. En förfrågan som ser ut som en del av VPN-installationen kan vara själva förtroendebeslutet.

Varför skillnaden ändrar ditt svar

Om någon frågar om profilen installerar ett certifikat namnger ett användbart svar omfattningen. En VPN-profil med egen CA ändrar vad den klienten accepterar. En profil som installerar en certifikatnyttolast och har förtroende påslaget ändrar vad enheten accepterar. Bara den andra kan påverka en bankwebbplats i en webbläsare som aldrig rör tunneln.

Det är hela jämförelsen, och den är värd att sägas rakt ut före varje godkännande.

Vad du ska fråga innan du godkänner

Fråga vilken funktion som behöver certifikatet och vad som går sönder utan det. Fråga vem som utfärdade det och vad det ska autentisera. Fråga hur det tas bort, och om borttagning alls är tillgänglig för dig under den distributionsmetod som används. Fråga via den riktiga operatörskanalen, inte via sidan som erbjöd nedladdningen.

En nedladdningssida som kallar paketet en VPN-reparation har inte sagt dig något om omfattningen.

Att neka en oväntad rot är inte paranoia; det är samma beslut som en webbläsare fattar när den visar en certifikatvarning. Skillnaden är att detta består, och det kanske inte frågar igen.

Hur borttagning faktiskt ser ut

Att radera den nedladdade filen tar inte bort en installerad profil eller dess certifikat. Profilen ligger kvar i enhetens hanteringsinställningar tills den tas bort där, och en övervakad eller hanterad enhet kan vägra. Kontrollera det installerade läget efter varje godkänd ändring och bekräfta att certifikatet är borta i stället för att anta att filen var hela artefakten. Anslut sedan igen och se om tunneln fortfarande fungerar, eftersom att ta bort CA medan profilen behålls är ett eget felmönster.

Håll en anteckning om utfärdare, syfte, omfattning och borttagningsväg.

Den anteckningen är mer användbar än en fungerande VPN-ikon, eftersom den överlever nästa person som måste avgöra om samma förfrågan ska godkännas på en annan enhet.