Usanidi wa cheti cha IKEv2 kwenye iPhone: usajili wa mkono au uliodhibitiwa

Kuchagua RSA kwa sababu tu chombo cha vyeti cha lango hutumia kama chaguo-msingi ni uamuzi unaofanywa kabla ya swali muhimu: iPhone hizi zitasajiliwa vipi? Muunganisho unaoandikwa na mtumiaji mwenyewe na wasifu wa usanidi unaotolewa na usimamizi huonyesha mipangilio tofauti, na baadhi ya chaguo za cheti zipo kwenye njia moja tu kati ya hizi. Panga mpangilio kwa usahihi na mpango wa cheti unakuwa mfupi; kosea na utatoa kitambulisho ambacho simu haitakitumia. Chukulia hatua zilizo hapa chini kama mfuatano, kwa sababu kila moja hupunguza chaguo zinazopatikana kwa inayofuata.

Hatua ya kwanza: chagua njia ya usajili

Usanidi wa mkono unamaanisha mtumiaji anaingiza anwani ya seva, anachagua mbinu ya uthibitishaji na kutoa kitambulisho chochote kinachoruhusiwa na kiolesura. Usajili uliodhibitiwa unamaanisha wasifu unabeba anwani, vitambulisho na marejeleo ya mzigo wa vitambulisho. Njia iliyodhibitiwa inaweza kueleza michanganyiko ambayo skrini ya mkono haiwezi, ndiyo sababu uamuzi wa cheti unapaswa kuja baada ya chaguo hili, si kabla.

Njia zote mbili zinaweza kuthibitisha simu. Zinatofautiana katika kile kinachoweza kusanidiwa na nani anamiliki utambulisho, kwa hiyo chagua moja kwa makusudi badala ya kuchanganya wasifu uliodhibitiwa na uingizaji wa vitambulisho wa mkono.

Hatua ya pili: chagua algoriti za njia uliyochagua

Kwa iPhone zilizosanidiwa kwa mkono, maelezo ya strongSwan ya mwingiliano wa iOS yanapendekeza cheti cha seva cha RSA, kwa sababu mteja wa mkono anaweza asikubali cheti cha seva cha ECDSA; maelezo hayo hayo hushughulikia macOS kwa tofauti. Soma haya kama mwongozo kwa kundi la wateja wanaotumika, si kama sheria ya kudumu kuhusu vifaa vya Apple. Wasifu uliodhibitiwa una nafasi zaidi: unaweza kuchagua aina ya cheti kwa uwazi, ikiwa ni pamoja na utambulisho wa mteja wa ECDSA, wakati mzigo na lango zote mbili zinaziauni.

Thibitisha matoleo ya iOS unayoyaunga mkono kweli kabla ya kupeleka chochote. Simu ya maabara kwenye toleo jipya zaidi haielezi kundi linalojumuisha vifaa vya zamani, na algoriti inayofanya kazi maabarani inaweza bado kushindwa kwenye simu ya zamani zaidi uwandani. Chukua kiwango cha matoleo kutoka kwa usimamizi wa vifaa, si kutoka kwa kumbukumbu. Ikiwa kundi linajumuisha matoleo kadhaa, jaribu la zamani zaidi kwanza, kwa sababu hapo ndipo kiolesura cha mkono kilicho na vikwazo zaidi.

Hatua ya tatu: soma sehemu za wasifu kama vitu tofauti

Funguo kadhaa zenye majina yanayofanana hueleza vitu tofauti. Anwani ya mbali ni mwenyeji ambao simu hupiga. Kitambulisho cha mbali ni utambulisho wa IKE unaotarajiwa kuwasilishwa na lango. Marejeleo ya cheti kwenye mzigo yanaelekeza kwa kitambulisho cha mteja, na sehemu ya aina ya cheti huchagua aina inayotumika kwa uthibitishaji wa mashine wa IKEv2. Hakuna kati ya hizi ni algoriti ya sahihi ya CA, ingawa maneno yanaingiliana.

Marejeleo ya mzigo wa IKEv2 ya Apple yanaorodhesha RSA kama aina ya cheti chaguo-msingi na vibadala bayana vya ECDSA, na inaunganisha ufunguo wa jina la mtoaji na mipangilio mahususi ya uthibitishaji. Soma mahusiano hayo kwenye marejeleo ya mbinu uliyochagua badala ya kunakili ufunguo mmoja kutoka kwa utekelezaji unaofanya kazi.

Hatua ya nne: oanisha utambulisho wa lango na cheti chake

Tumia jina bayana la lango, kwa mfano vpn.example.com na weka jina mbadala la somo linalolingana kwenye cheti cha seva. Mwongozo wa Apple wa strongSwan pia unatarajia matumizi yaliyopanuliwa ya ufunguo kwa uthibitishaji wa seva. Kuchagua RSA au ECDSA hakubadilishi chochote kati ya hivi: algoriti haiwezi kurekebisha kutolingana kwa jina, EKU inayokosekana au mnyororo usiokamilika.

Kusambaza nanga ya uaminifu ni kazi tofauti na kudai utambulisho. Simu inahitaji mnyororo wa vyeti inaoweza kuthibitisha, na lazima isanidiwe kutarajia jina uliloweka kweli kwenye cheti.

Jukwaa jingine kuunganishwa kwa mafanikio ni ushahidi kuhusu kanuni za uthibitishaji za jukwaa hilo, si ruhusa ya kulegeza kanuni za simu. Weka ukaguzi sawa kati ya wateja isipokuwa una sababu iliyoandikwa ya kutofautiana.

Hatua ya tano: tenganisha utambulisho wa mteja na uaminifu wa CA

Cheti cha mteja na ufunguo wake wa faragha si kitu kimoja na cheti cha CA ambacho simu inakiamini. Kufungasha cheti cha CA ndani ya utambulisho wa PKCS#12 hakuisakaji kiotomatiki kama nanga ya uaminifu kwenye kila kifaa kinachotumika, kwa hiyo chukulia usambazaji wa uaminifu kama hatua yake mwenyewe na uthibitishaji wake.

Ikiwa muundo unatumia EAP ya msingi wa nenosiri badala yake, simu inahitaji uthibitishaji wa akaunti uliokusudiwa pamoja na uthibitishaji wa seva. Njia hiyo haihalalishi kutuma ufunguo mmoja wa faragha wa mteja ulioshirikiwa kwa kundi lote, ambao ni muundo tofauti wenye hali mbaya zaidi ya kushindwa.

Maliza mpango ukizingatia uhuishaji na ubatilishaji: nani anatoa tena kitambulisho cha mteja, wasifu unasasishwa vipi na simu iliyopotea inakatwa vipi. Rekodi toleo la wasifu na matoleo ya vifaa ulivyothibitisha, kwa sababu rekodi hiyo ndiyo inayofanya mabadiliko ya cheti yanayofuata kuwa mabadiliko ya kawaida.