Android'de VPN sertifikası nasıl içe aktarılır ve anahtar nasıl doğrulanır

Android'de bir VPN istemci sertifikasını içe aktarmak birkaç dakika sürer. Doğru yere indiğini doğrulamak daha uzun sürer ve kurulum iletişim kutusu başarı dediğinde çoğu insanın atladığı kısım tam olarak burasıdır. Başarı mesajı yalnızca dosyanın ayrıştırıldığı anlamına gelir. Özel anahtarı hangi sağlayıcının tuttuğu veya Downloads klasörünüzde hâlâ bir kopya olup olmadığı hakkında hiçbir şey söylemez.

Adım 1: P12'yi makinenizden çıkmadan önce okuyun

Dosyanın kendisiyle başlayın. İçindeki konuyu, vereni ve son kullanma tarihini adlandıramıyorsanız, sonradan doğrulayamayacağınız bir şeyi içe aktarıyorsunuz.

Bir PKCS#12 paketi genellikle bir istemci sertifikası, özel anahtarı ve veren zincirini taşır. openssl pkcs12 -in client.p12 -info -noout anahtar malzemesini dökmeden MAC'i ve şifreleme algoritmalarını yazdırır, böylece paketin parolayla korunup korunmadığını ve hangi şifreyle korunduğunu görürsünüz. Ardından keytool -list -v -keystore client.p12 -storetype PKCS12 çalıştırın; takma adı, SHA-256 parmak izini ve telefonla karşılaştıracağınız geçerlilik aralığını alın.

Parolayı dosyadan farklı bir kanaldan gönderin veya dosyayı kopya bırakmayan yönetilen bir dağıtım akışı içinde teslim edin. Arşivle aynı sohbet mesajına yapıştırılan bir parola iki kontrolü bire indirir.

Adım 2: VPN uygulamasının gerçekten okuduğu yuvaya kurun

Stok Android 11 ile 14 arasında yol Ayarlar, Güvenlik, Şifreleme ve kimlik bilgileri, Sertifika yükle, ardından VPN ve uygulama kullanıcı sertifikası üzerinden geçer. İfadeler ve iç içe geçme sürümler ile üretici kaplamaları arasında değişir, bu yüzden ezberlenmiş bir menü konumu yerine kimlik bilgisi türü etiketini izleyin. Bir iş profilinde iş tarafının içinden kurun, çünkü kimlik bilgileri profil sınırını geçmez.

Bir istemci kimliğini CA sertifikası yuvasına koymayın. O yuva kullanıcının güven deposunu besler ve Android 7'den beri uygulamalar, ağ güvenliği yapılandırmaları izin vermediği sürece kullanıcının eklediği CA'ları yok sayar, bu yüzden oraya bırakılan bir istemci sertifikası VPN anahtar seçicide asla görünmez.

Bazı VPN istemcileri sistem deposuna hiç dokunmaz ve P12'yi kendi uygulama dizinlerine aktarır. Bu meşru bir tasarımdır, ancak sonraki her adımı değiştirir: anahtar artık uygulamanın korumalı alanında yaşar ve o uygulamanın kendi depolamasını yönetmesi kadar güçlüdür. KeyChain'in işin içinde olduğunu varsaymadan önce istemci belgelerine bakın.

Adım 3: Anahtarı hangi sağlayıcının tuttuğunu kanıtlayın

İçe aktarma ayrıştırmayı doğrular, donanım desteğini değil. Android 12 ve sonrasında KeyInfo.getSecurityLevel(), bir anahtarın Güvenilir Yürütme Ortamında, StrongBox'ta mı yoksa yazılımda mı olduğunu bildirir ve eski isInsideSecureHardware() çağrısının yerini alır. VPN istemcisi bu değeri göstermiyorsa, 1. adımdaki parmak izi sizin yedeğinizdir. İçe aktarma sırasında yeniden kodlanan sertifika bayt bayt eşleşmez, ancak açık anahtar ve konu yine de eşleşir.

Dışa aktarılamaz olmak kullanılamaz olmak değildir. Cihazdan çıkamayan bir anahtar, kullanıcının o takma adı seçmesine izin verdiği herhangi bir uygulama tarafından yine de kullanılabilir, bu yüzden takma ad istemi formalite değil gerçek bir kontroldür. Android Keystore belgeleri bu tasarım kararını veriyorsanız bir kez okumaya değer.

Sonra oluşturduğunuz kopyaları hesaba katın. Dizüstü bilgisayarınızdaki P12, bilet ekindeki ve geçen ayın yedeğindeki kopyalar, veren bunları iptal edene kadar hâlâ geçerli kimliklerdir. Telefondaki örneğin donanım koruması onlar için hiçbir şey yapmaz.

Adım 4: Ekran kilidi gereksiniminin kime ait olduğunu bulun

Burada üç sır karışır: cihazın kilit açma PIN'i, özel anahtarın parolası ve VPN hesabının parolası. Birine yönelik istem asla diğerlerini sıfırlama talebi değildir ve yanlış olanı sıfırlamak, insanların iyi çalışan bir profilden kendilerini kilitleme biçimidir.

Bir cihaz yöneticisi veya yönetilen profil ilkesi kilit istediğinde, gereksinim sertifikaya değil o ilkeye aittir. adb shell dumpsys device_policy etkin yöneticileri ve uyguladıkları parola kalitesini listeler; PIN kurallarınızın değişmesinin nedeninin bir MDM aracısı olup olmadığını görmenin en hızlı yolu budur. Sertifikayı kaldırmak ilkeyi gevşetmez ve ilkeyi kaldırmak bir ayar düzeltmesi değil yönetsel bir karardır.

Bir kullanılabilirlik ödünleşimi de bekleyin. Anahtar kullanıcı yetkilendirmesi gerektiriyorsa tünel ilk kilit açmadan önce yükselemez, bu yüzden zamanlanmış eşitlemeler ve uzaktan uyandırmalar tasarım gereği başarısız olur. Bunu dağıtımdan önce kararlaştırın, sonra değil.

locksettings.db dosyasını düzenleme veya unutulmuş bir desen için eski bir geçici çözümü yeniden oynatma kısayolundan kaçının. O rutinler belirli derlemeler için yazıldı, kimlik bilgisi deposunu çerçevenin artık beklemediği bir durumda bırakabilirler ve kilidi başlangıçta isteyen ilkeyi asla değiştirmezler.

Adım 5: Kimliği devreden çıkarın ve reddi doğrulayın

Devre dışı bırakmanın üç bölümü vardır ve yalnızca ilki yereldir. VPN profilini kaldırın, kullanıcı sertifikasını Ayarlar, Güvenlik, Şifreleme ve kimlik bilgileri, Kullanıcı kimlik bilgileri altında silin, ardından verenin sertifikanın seri numarasını iptal etmesini sağlayın. Yalnızca yerel silme, biri P12'yi sakladıysa sunucunun hâlâ kabul ettiği bir kimlik bilgisi bırakır.

Sonucu varsaymak yerine doğrulayın. Devreden çıkarılan profille bir bağlantı deneyin ve sunucunun bunu reddettiğini doğrulayın. Hâlâ yükselen bir tünel, yanlış seri numarasını iptal ettiğiniz veya istemcinin sessizce başka bir kurulu kimliğe düştüğü anlamına gelir.

Başarısız bir içe aktarmayı geri alıyorsanız, diskte bıraktığınız şifresi çözülmüş anahtar dosyasını yeniden kullanmak yerine özgün şifreli paketten yeniden içe aktarın ve parmak izini yeniden kontrol edin.