VPN ที่บันทึกไว้บน Android: คุณกู้คืนความลับใดได้บ้าง
โทรศัพท์ที่เชื่อมต่อใหม่โดยไม่ถามรหัสผ่านไม่ได้เก็บรหัสผ่านที่คุณคัดลอกได้ เปรียบเทียบข้อมูลรับรองทั้งสี่ประเภทและการกู้คืนที่แต่ละประเภทต้องใช้
โทรศัพท์เชื่อมต่อ VPN ใหม่ทุกเช้าโดยไม่ถามอะไรเลย นั่นหมายความว่าข้อมูลรับรองอยู่ข้างในที่ใดที่หนึ่ง โดยปกติแล้วไม่ใช่ อย่างน้อยก็ไม่ใช่ในรูปแบบที่คุณอ่านออกและพิมพ์ลงในอุปกรณ์ใหม่ได้
สิ่งที่โทรศัพท์มีคืออำนาจในการเชื่อมต่อ สิ่งที่คุณต้องการคือความลับที่พกพาไปได้ และสิ่งเหล่านี้เป็นคุณสมบัติที่แตกต่างกันซึ่งบังเอิญให้พฤติกรรมเดียวกันบนหน้าจอ
ก่อนรีเซ็ตอะไร ให้ระบุว่าความลับประเภทใดในสี่ประเภทที่หายไปจริง เพราะแต่ละประเภทมีเจ้าของและการกู้คืนต่างกัน
การเชื่อมต่อที่ใช้งานได้ไม่ใช่รหัสผ่านที่บันทึกไว้
แอปที่เชื่อมต่อใหม่อย่างเงียบ ๆ อาจเก็บรหัสผ่าน โทเค็นเซสชัน การอ้างอิงใบรับรอง หรือไม่มีอะไรเลยนอกจากคีย์ที่ผูกกับอุปกรณ์ซึ่งส่งออกไม่ได้ ทั้งสี่แบบให้ประสบการณ์ผู้ใช้เหมือนกัน และไม่มีแบบใดใช้แทนกันได้
แถวจุดในช่องการตั้งค่าเป็นการตัดสินใจด้านการแสดงผล ไม่ใช่หลักฐาน แอปบางตัวเก็บรหัสผ่านที่กู้คืนได้จริงและเสนอให้เปิดเผยหรือส่งออก บางตัวรับโทเค็นจากกระบวนการลงชื่อเข้าใช้แบบครั้งเดียวและไม่เคยเห็นรหัสผ่านเลย
ดังนั้นคำถามแรกไม่ใช่ว่าไฟล์อยู่ที่ไหน แต่เป็นว่าแอปได้รับอำนาจประเภทใด และคำตอบนั้นมาจากผู้ให้บริการ ไม่ใช่อุปกรณ์
สี่ความลับ สี่การกู้คืน
จับคู่สถานการณ์ของคุณกับแถวเดียว ก่อนติดต่อใคร เพราะคำขอเปลี่ยนไปโดยสิ้นเชิงขึ้นอยู่กับว่าเป็นกรณีใด
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
แถวที่สองจับคนได้บ่อยที่สุด รหัสผ่านนำเข้า PKCS#12 ปกป้องวัสดุกุญแจและไม่เกี่ยวข้องกับการเข้าสู่ระบบบัญชี ดังนั้นการรีเซ็ตรหัสผ่านบัญชีจึงไม่กู้คืนอะไรเลย หากรหัสผ่านของแพ็กเกจหายจริง การออกใหม่คือทางแก้
แถวที่สี่อธิบายกระทู้สนับสนุนที่สับสนหลายกระทู้ โปรไฟล์อาจอ้างอิงข้อมูลรับรองในที่เก็บคีย์ของแพลตฟอร์มแทนที่จะมีสำเนาที่พกพาได้ และในกรณีนั้นไม่มีอะไรในโปรไฟล์ให้ดึงออกมาแม้แต่ในหลักการ
ทำไมการคัดลอกข้อมูลแอปจึงมักล้มเหลว
สูตรเก่าคือดึงไดเรกทอรีข้อมูลของแอปออกมาและอ่านการกำหนดค่าจากที่นั่น บน Android ปัจจุบันสูตรนี้มีปัญหาอิสระสองประการ
ประการแรกคือนโยบายการสำรองข้อมูล Android 12 จำกัดข้อมูลแอปที่ส่งออกผ่านเส้นทาง adb backup แบบเก่าสำหรับแอปที่กำหนดเป้าหมาย API 31 หรือใหม่กว่า และแอปสามารถยกเว้นข้อมูลจากการสำรองข้อมูลได้ทั้งหมด ขั้นตอนที่เขียนสำหรับอุปกรณ์รุ่นเก่าไม่ใช่วิธีกู้คืนสากลสำหรับอุปกรณ์รุ่นปัจจุบัน
ประการที่สองคือที่เก็บคีย์ คีย์ที่สร้างขึ้นที่นั่นอาจส่งออกไม่ได้และผูกกับฮาร์ดแวร์ ตามที่ เอกสารประกอบ Android Keystore อธิบาย การคัดลอกบล็อบที่เข้ารหัสไม่ได้คัดลอกคีย์ที่ถอดรหัสมัน ดังนั้นไดเรกทอรีที่กู้คืนอาจมีข้อมูลรับรองที่อุปกรณ์ใหม่ไม่มีวันใช้งานได้
ไม่มีปัญหาใดในสองข้อนี้เป็นบั๊กที่ต้องหลบเลี่ยง ทั้งคู่คือแพลตฟอร์มที่ทำในสิ่งที่ออกแบบมาให้ทำ และการปฏิบัติต่อสิ่งเหล่านี้เป็นอุปสรรคมักจบลงด้วยโทรศัพท์ที่รูทและไม่มีรหัสผ่าน
ย้ายไปโทรศัพท์ทดแทนอย่างตั้งใจ
ทำสิ่งที่ได้รับการสนับสนุนก่อน หากผู้ให้บริการเสนอการส่งออกที่รวมข้อมูลรับรองที่คุณต้องการไว้อย่างชัดเจน ให้ใช้และตรวจสอบผลลัพธ์บนอุปกรณ์ใหม่ก่อนลบเครื่องเก่า หากไม่เสนอ ให้ขอโปรไฟล์หรือการลงทะเบียนใหม่ ซึ่งเป็นเส้นทางปกติสำหรับบริการที่ใช้ใบรับรองและมักใช้เวลาน้อยกว่าการหลบเลี่ยง
ลำดับสำคัญ ลงทะเบียนเครื่องทดแทน เชื่อมต่อ ส่งคำขอทดสอบผ่านอุโมงค์ แล้วจึงปลดระวางเครื่องเดิม การเก็บโทรศัพท์ที่ใช้งานได้ไว้จนกว่าเครื่องใหม่จะพิสูจน์ได้คือประกันที่ถูกที่สุดที่มีอยู่ และมีค่าใช้จ่ายเพียงความอดทน
วางแผนผลข้างเคียงของการรีเซ็ตด้วย หากรีเซ็ตรหัสผ่านบัญชีหรือเพิกถอนตัวตนของอุปกรณ์ เซสชันอื่นอาจใช้ไม่ได้ รวมถึงไคลเอนต์แล็ปท็อปและแท็บเล็ตที่ไม่มีใครนึกถึง จัดการทั้งหมดในช่วงเวลาเดียวกันแทนที่จะค้นพบทีละอย่าง
สิ่งที่ไม่ควรทำ
อย่ารูทอุปกรณ์ที่ใช้งานได้เครื่องเดียวเพื่อตามหาไฟล์ข้อความธรรมดา คุณเปลี่ยนปัญหาการกู้คืนการเข้าถึงเป็นปัญหาความสมบูรณ์ของอุปกรณ์ คุณอาจทำให้การตรวจสอบความสมบูรณ์ของแอปเองเสียหาย และยังไม่มีการรับประกันว่าค่าที่คุณตามหาอยู่ในรูปแบบที่อ่านได้
อย่าวางคีย์ส่วนตัว โปรไฟล์ที่ส่งออก หรือรหัสผ่านลงในตั๋วสนับสนุนเพื่อพิสูจน์ว่าปัญหาเป็นจริง ผู้ให้บริการต้องการชื่อโปรไฟล์ เวอร์ชันแอป ตัวระบุบัญชี และข้อผิดพลาด ซึ่งไม่มีสิ่งใดเป็นความลับ
และอย่าปิดการตรวจสอบใบรับรองเพื่อให้ได้การเชื่อมต่อระหว่างรอ นั่นแลกความไม่สะดวกชั่วคราวกับการอ่อนแอถาวรของการตรวจสอบเดียวที่บอกคุณว่ากำลังคุยกับเซิร์ฟเวอร์ใด บันทึกข้อเท็จจริงทั้งสี่ ถามคำถามเฉพาะ และใช้เส้นทางที่ออกให้