Збережений VPN на Android: який секрет можна відновити?
Телефон, який перепідключається, не питаючи пароля, не зберігає пароля, який можна скопіювати. Порівняйте чотири види облікових даних і відновлення, потрібне кожному з них.
Телефон щоранку знову підключається до VPN, нічого не питаючи. Це означає, що облікові дані десь усередині є. Зазвичай це не так, принаймні не у вигляді, який можна прочитати й ввести на новому пристрої.
У телефона є право підключатися. Вам потрібен секрет, який можна перенести, і це різні властивості, які випадково дають однакову поведінку на екрані.
Перш ніж щось скидати, визначте, якого з чотирьох видів секрету насправді бракує, бо кожен має іншого власника й інше відновлення.
Робоче підключення — це не збережений пароль
Застосунок, який тихо перепідключається, може тримати пароль, токен сесії, посилання на сертифікат або не більше ніж прив'язаний до пристрою ключ, який він не може експортувати. Усі чотири дають однаковий досвід користувача, і жоден не є взаємозамінним.
Ряд крапок у полі налаштувань — це рішення про відображення, а не доказ. Деякі застосунки справді зберігають відновлюваний пароль і пропонують показати або експортувати його; інші беруть токен із потоку єдиного входу й взагалі не бачать пароля.
Тож перше питання не в тому, де файл. А в тому, яке право отримав застосунок, і ця відповідь надходить від постачальника, а не від пристрою.
Чотири секрети, чотири відновлення
Зіставте свою ситуацію з одним рядком, перш ніж до когось звертатися, бо запит повністю змінюється залежно від того, який це випадок.
| What is missing | Who can restore it |
|---|---|
| Account password used with a username | The identity provider, through a reset |
| Password protecting a private key or PKCS#12 package | Nobody, if it is forgotten; a fresh profile and key are issued instead |
| Session token or SSO session | Nobody; sign in again to obtain a new session |
| Reference to a certificate or key held on the device | The administrator, by enrolling the new device |
Другий рядок найчастіше ловить людей. Пароль імпорту PKCS#12 захищає матеріал ключа й не пов'язаний із входом в акаунт, тому скидання пароля акаунта нічого не відновлює. Якщо пароль пакета справді втрачено, рішення — перевипуск.
Четвертий рядок пояснює багато заплутаних тем підтримки. Профіль може посилатися на облікові дані в сховищі ключів платформи, а не містити переносну копію, і в такому разі в профілі нема чого витягти навіть у принципі.
Чому копіювання даних застосунку зазвичай не працює
Старий рецепт — витягти каталог даних застосунку й прочитати з нього конфігурацію. На нинішньому Android рецепт має дві незалежні проблеми.
Перша — політика резервного копіювання. Android 12 обмежив дані застосунків, що експортуються старим шляхом adb backup, для застосунків із цільовим API 31 або новішим, а застосунки можуть повністю виключити дані з резервної копії. Процедура, написана для старого пристрою, не є універсальним методом відновлення для нинішнього.
Друга — сховище ключів. Створені там ключі можуть бути неекспортованими й прив'язаними до обладнання, як описує документація Android Keystore. Копіювання зашифрованого блоба не копіює ключ, який його розшифровує, тому відновлений каталог може містити облікові дані, які новий пристрій ніколи не зможе використати.
Жодна з двох проблем не є помилкою, яку треба обходити. Обидві — це платформа, що робить те, для чого створена, і ставлення до них як до перешкод зазвичай закінчується телефоном із root і без пароля.
Переходьте на замінювальний телефон свідомо
Спочатку зробіть підтримуване. Якщо постачальник пропонує експорт, який явно містить потрібні вам облікові дані, скористайтеся ним і перевірте результат на новому пристрої, перш ніж стирати старий. Якщо ні, запросіть новий профіль або реєстрацію — це звичайний шлях для сервісів на основі сертифікатів, і він зазвичай займає менше часу, ніж обхід.
Порядок важливий. Зареєструйте заміну, підключіть її, пропустіть тестовий запит через тунель і лише потім виведіть оригінал з експлуатації. Збереження робочого телефона, доки новий не доведено, — це найдешевша доступна страховка, і вона коштує лише терпіння.
Плануйте й побічні ефекти скидання. Якщо пароль акаунта скинуто або ідентичність пристрою відкликано, інші сеанси можуть стати недійсними, зокрема клієнт на ноутбуці й планшет, про який ніхто не пам'ятав. Розбирайтеся з ними в тому самому вікні, а не виявляйте по одному.
Чого не робити
Не рутуйте єдиний робочий пристрій у пошуках простого текстового файлу. Ви перетворюєте проблему відновлення доступу на проблему цілісності пристрою, можете зламати власні перевірки цілісності застосунку, і все одно не маєте гарантії, що шукане значення існує в читабельній формі.
Не вставляйте приватні ключі, експортовані профілі чи паролі в тікет підтримки, щоб довести реальність проблеми. Постачальнику потрібні назва профілю, версія застосунку, ідентифікатор акаунта й помилка, і ніщо з цього не є секретом.
І не вимикайте перевірку сертифікатів, щоб отримати підключення, поки чекаєте. Це міняє тимчасову незручність на постійне ослаблення єдиної перевірки, яка каже, з яким сервером ви розмовляєте. Запишіть чотири факти, поставте конкретне питання й використайте виданий шлях.