Чи може профіль VPN установити сертифікат на ваш пристрій?

Профіль VPN може нести сертифікати, і саме в цьому реченні починається більшість плутанини. Що він несе і чому він довіряє — це два різні питання, на які відповідають два різні механізми. Вбудований CA, яким один клієнт перевіряє сервер, — не той самий об'єкт, що кореневий сертифікат, якому довіряє вся операційна система. Порівняйте ці дві речі, перш ніж вирішувати, що пакет звичайний.

Відповідь на питання із заголовка — так, але з областю дії, яку потрібно перевірити.

Що може нести профіль VPN

Профіль OpenVPN може зберігати сертифікат CA, клієнтський сертифікат і клієнтський ключ просто між відповідними тегами, тож клієнт читає їх із самого профілю. Цей матеріал використовується для перевірки й автентифікації всередині одного цього клієнта. Він не потрапляє до системного сховища довіри лише тому, що лежить у файлі.

Профіль конфігурації платформи — інший контейнер. Він може нести корисне навантаження сертифіката поруч із керованими налаштуваннями: Wi-Fi, VPN, обмеженнями, а в керованих розгортаннях і багато чим іншим. Його встановлення передає ці налаштування операційній системі, а не одному застосунку. У цьому сенс формату, і тому область дії важлива.

Довіра в межах клієнта проти довіри платформи

Довіра в межах клієнта обмежена клієнтом. Якщо CA у профілі неправильний, цей тунель не працює, а інші застосунки залишаються недоторканими. Довіра платформи не обмежена нічим конкретним, бо кожен застосунок, що використовує системне сховище, успадковує це рішення.

На платформах Apple це видимо окремі кроки.

Встановлення завантаженого профілю й увімкнення довіри для сертифіката — різні дії, і друга має власний елемент керування в налаштуваннях довіри сертифікатів. Кероване розгортання може відрізнятися від ручного встановлення, зокрема тим, чи можна взагалі видалити профіль. Дотримуйтеся поточної документації платформи для вашої версії. Запит, що виглядає як частина налаштування VPN, може бути самим рішенням про довіру.

Чому ця різниця змінює вашу відповідь

Якщо хтось питає, чи встановлює профіль сертифікат, корисна відповідь називає область дії. Профіль VPN із власним CA змінює те, що приймає цей клієнт. Профіль, який установлює корисне навантаження сертифіката й має ввімкнену довіру, змінює те, що приймає пристрій. Лише другий може вплинути на банківський сайт у браузері, який ніколи не торкається тунелю.

Це все порівняння, і його варто чітко сказати перед будь-яким схваленням.

Що запитати перед схваленням

Запитайте, якій функції потрібен сертифікат і що ламається без нього. Запитайте, хто його видав і що він має автентифікувати. Запитайте, як його видаляють і чи доступне вам видалення взагалі за використовуваного способу розгортання. Питайте справжнім каналом оператора, а не сторінкою, що запропонувала завантаження.

Сторінка завантаження, яка називає пакет ремонтом VPN, нічого не сказала вам про область дії.

Відмова від неочікуваного кореневого сертифіката — не параноя; це те саме рішення, яке ухвалює браузер, показуючи попередження про сертифікат. Різниця в тому, що це рішення залишається і може більше не запитати.

Як насправді виглядає видалення

Видалення завантаженого файлу не видаляє встановлений профіль або його сертифікат. Профіль залишається в налаштуваннях керування пристроєм, доки його не видалять там, а контрольований або керований пристрій може відмовити. Перевірте стан встановлення після будь-якої схваленої зміни та підтвердьте, що сертифікат зник, а не припускайте, що файл був усім артефактом. Потім підключіться знову і подивіться, чи тунель ще працює, бо видалення CA при збереженому профілі — окремий режим відмови.

Ведіть запис про видавця, призначення, область дії та шлях видалення.

Цей запис корисніший за робочу іконку VPN, бо переживе наступну людину, якій доведеться вирішувати, чи схвалювати той самий запит на іншому пристрої.