คุณส่งโปรไฟล์ VPN ไฟล์เดียวให้ทุกคน และมันมีรหัสผ่านของคุณอยู่
จำกัดโปรไฟล์ Apple VPN ที่แชร์ไว้ให้เหลือเพียงการตั้งค่า และมอบข้อมูลรับรองของแต่ละคนให้เขาเอง แยกการส่งมอบออกจากกัน แล้วเปลี่ยนรหัสผ่านที่รั่วไหลที่ผู้ออก
โปรไฟล์ติดตั้งได้เรียบร้อย ทุกคนเชื่อมต่อได้ แล้วรหัสผ่านของบัญชีก็ถูกเปลี่ยน ทุกอุปกรณ์ที่ได้รับไฟล์หยุดยืนยันตัวตนในนาทีเดียวกัน เพราะทั้งหมดถือความลับเดียวกัน นั่นคือสัญญาณ: ข้อมูลรับรองชุดเดียวที่ถูกคัดลอกไว้ในสิ่งประดิษฐ์ที่แชร์กันทำให้การเปลี่ยนรหัสผ่านตามปกติกลายเป็นการหยุดให้บริการทั้งฝูง การแยกการกำหนดค่าที่ใช้ซ้ำได้กับตัวตนของแต่ละคนออกเป็นสองการส่งมอบช่วยหลีกเลี่ยงเรื่องนี้ และเอกสาร การจัดการอุปกรณ์ ของ Apple เองก็มองโปรไฟล์เป็นทั้งการตั้งค่าและการอนุญาต ไม่ใช่ที่เก็บความลับ
อาการจะปรากฏตอนเปลี่ยนครั้งแรก
ไฟล์ mobileconfig เป็น XML หรือ plist ที่ลงนามแล้ว ใครก็ตามที่มีสำเนาสามารถถอดรหัสเพย์โหลดและอ่านได้ว่ามีอะไรอยู่ข้างใน ค่าของ AuthPassword ในเทมเพลตจึงเป็นข้อมูลรับรองแบบข้อความธรรมดาที่มีนามสกุลไฟล์แปลก ๆ การลงนามเปลี่ยนความสมบูรณ์และที่มา ไม่ใช่ความสามารถในการอ่าน ระหว่างนั้น ส่วนที่คุณอยากแชร์จริง ๆ เช่น ที่อยู่เกตเวย์ ตัวตนเซิร์ฟเวอร์ที่คาดไว้ และนโยบายทราฟฟิก กลับเหมือนกันสำหรับทุกคน
จัดเรียงฟิลด์ก่อนแก้ไขอะไร เพราะเส้นแบ่งไม่ได้อยู่ที่คนคิด
แยกการตั้งค่าที่แชร์ออกจากข้อมูลรับรองของแต่ละคน
| Item | Shared profile | Individual record |
|---|---|---|
| Gateway address, expected server identity | yes | no |
Traffic policy, IncludeAllNetworks, exclusions | yes | no |
| User password or account token | no | yes |
| Device identity or certificate | no | yes |
เส้นทางแบบโต้ตอบคือละรหัสผ่านไว้ข้างนอกและให้กลไกการยืนยันตัวตนที่รองรับเป็นผู้ถาม อ่านให้ดี: การลบฟิลด์ที่เพียงดูคล้ายกันไม่ใช่การแปลงเป็นล็อกอินแบบโต้ตอบสำหรับทุกกรณี เพย์โหลด IKEv2 แยกความต่างระหว่าง AuthName กับ AuthPassword และวิธีรับรองความถูกต้องเป็นตัวตัดสินว่าเข้าถึงพรอมต์ได้หรือไม่ วิธีที่อิงใบรับรองจะไม่ถามรหัสผ่านเลย
ใบรับรองก็ไม่ต้องใช้คีย์ที่แชร์กัน
ถ้าเกตเวย์คาดหวังการยืนยันตัวตนด้วยใบรับรอง ให้ลงทะเบียนตัวตนของผู้ใช้หรืออุปกรณ์ที่ตั้งใจไว้ผ่านกลไกที่ได้รับอนุมัติ และเก็บคีย์ส่วนตัวไว้นอกเทมเพลต คีย์ส่วนตัวที่แชร์กันในทุกสำเนาจะให้ปัญหาเรื่องการเปลี่ยนรอบเดียวกันพร้อมรัศมีผลกระทบที่แย่กว่า เพราะคีย์ไม่สามารถเพิกถอนรายคนได้ถ้าไม่ได้ออกให้รายคน
บันทึกการออก การต่ออายุ และการเพิกถอนของตัวตนนั้นคู่กับการแก้ไขโปรไฟล์ เมื่อทั้งสองถูกติดตามไปด้วยกัน การต่ออายุก็เป็นงานที่วางแผนไว้ ไม่ใช่เหตุการณ์
เครื่องที่ไม่มีคนดูแลต้องการคำตอบที่สาม
เครื่องที่ต้องเชื่อมต่อก่อนที่ใครจะลงชื่อเข้าใช้ไม่สามารถตอบพรอมต์ได้ นี่เป็นข้อกำหนดที่ต่างจากการทำให้การตั้งค่าง่ายขึ้นสำหรับคนที่ลงชื่อเข้าใช้แล้ว และควรแก้ด้วยตัวตนที่จัดการได้หรือใบรับรองต่ออุปกรณ์ที่ตกลงกับเจ้าของเกตเวย์ ไม่ใช่ด้วยการเก็บรหัสผ่านของคนไว้ในโปรไฟล์
การเก็บรหัสผ่านก็ไม่ได้ลบปัจจัยที่สองออก ถ้าเกตเวย์กำหนดให้ใช้ MFA โปรไฟล์ที่บันทึกรหัสผ่านไว้ก็ยังล้มเหลวตอนบูต และความล้มเหลวดูเหมือนโปรไฟล์เสียมากกว่าปัจจัยที่หายไป
ตรวจสอบสิ่งประดิษฐ์ที่สร้างขึ้นจริง
เทมเพลตโกหกด้วยการละเว้น บริการจัดการหรือเครื่องมือส่งออกอาจฉีดข้อมูลรับรองลงในไฟล์ที่เสร็จแล้ว และเพย์โหลดตัวตนหรือสำเนาการวินิจฉัยที่แนบมาอาจมีเนื้อหาที่เทมเพลตไม่เคยแสดง เปิดสิ่งประดิษฐ์ที่สร้างขึ้นก่อนตัดสินว่าใครรับได้ และรักษาการตั้งค่าผู้ออกที่เชื่อถือได้กับตัวตนเซิร์ฟเวอร์ที่คาดไว้ให้คงเดิม การถอดรหัสผ่านออกไม่ใช่เหตุผลให้ลดความเชื่อถือในเกตเวย์
ถ้ารหัสผ่านจริงหรือตัวตนส่วนตัวเดินทางกว้างเกินไปแล้ว ให้เพิกถอนที่ผู้ออกและเปลี่ยนใหม่ การแก้เทมเพลตของพรุ่งนี้ไม่ได้ทำอะไรกับสำเนาที่ติดตั้งไว้แล้ว และสำเนาเหล่านั้นจะยังยืนยันตัวตนต่อไปจนกว่าข้อมูลรับรองเบื้องหลังจะถูกถอน
ยอมรับการส่งมอบด้วยตัวตนทดสอบ
ติดตั้งผ่านขั้นตอนที่ได้รับอนุมัติบนอุปกรณ์ที่ลงทะเบียนเป็นตัวตนทดสอบแยกต่างหาก ทำการยืนยันตัวตนตามที่ตั้งใจ และเข้าถึงทรัพยากรส่วนตัวแทนที่จะดูอุโมงค์ขึ้นอย่างเดียว ยืนยันว่าโปรไฟล์ไม่มีเนื้อหาข้อมูลรับรอง แล้วยืนยันว่าข้อมูลรับรองอยู่ในบันทึกตัวตนที่จะต่ออายุ การจับคู่นี้คือการทดสอบการยอมรับ
การแก้ไขหนึ่งครั้งสำหรับการตั้งค่าที่แชร์ บันทึกหนึ่งรายการต่อคน และเส้นทางการเพิกถอนที่คุณใช้จริงหนึ่งครั้ง