iPhone‘da imzolangan VPN profilini o‘rnatmoqchimisiz? Payloadlarni o‘qing

Profillar Settings bo‘limiga nom, imzolovchi va Install tugmasi bilan keladi, va ko‘pchilik o‘qiydigan qism — imzolovchi satri. Bu satr bitta savolga javob beradi: imzo tekshirish qoidalariga ko‘ra bu sozlamalarni kim paketlagan. U VPN payloadi ish beruvchingizning shlyuziga ishora qilishini yoki ichiga joylangan ildiz sertifikati TLS ishonch omboringizga tegishli ekanini aytmaydi. Quyidagi ko‘rib chiqish paketni qurilma qo‘llaydigan tartibda ochadi.

Konvertdan boshlang: bu profilni kim imzolagan

iOS‘da profil Settings, General, VPN va Device Management bo‘limlarida ko‘rinadi, imzolovchi esa Install tugmasi ustida turadi. Biror narsaga bosishdan oldin bu nomni o‘qing va bu siz kutgan tashkilotmi, deb so‘rang. Tanimagan tomonning haqiqiy imzosi baribir haqiqiy imzo bo‘lib qoladi va u sizning emas, ularning konfiguratsiyasini tasdiqlaydi. Xuddi shu ekran profil umuman imzolanganmi yoki yo‘qmi, shuni ham aytadi.

Agar fayl Mac‘da bo‘lsa, u telefonga yetib borishidan oldin tekshiring. Xavfsizlik vositasi CMS konvertini ochadi va qurilma o‘qiydigan plistni chop etadi, ya‘ni bu yo‘lda Install tugmasisiz xuddi shu tarkib. Apple‘ning konfiguratsiyani majburiy qo‘llash haqidagi hujjatlari imzoni manbani tasdiqlash deb ta‘riflaydi, va bu aynan shu yerda gapirilgan qamrov.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

Agar imzolovchi siz kutgan tomon bo‘lmasa yoki fayl imzosiz bo‘lsa va uni kafolatlay olmaydigan kanal orqali kelgan bo‘lsa, shu yerda to‘xtang. Bu ko‘rib chiqishning keyingi hech bir qadami ishonchsiz konvertni ishonchli qilib qo‘ymaydi.

Har bir payloadni oching va u nima o‘rnatishini ayting

Profil — bu konteyner, va qiziq joyi uning ichidagi PayloadContent massividir. Har bir yozuvda qurilma nima o‘rnatishini aytadigan PayloadType bo‘ladi: boshqariladigan VPN konfiguratsiyasi, PKCS#12 identifikatori, ildiz sertifikati yoki boshqaruv ro‘yxatga olishi. Har qanday sozlamani o‘qishdan oldin turlarini chop eting.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

VPN payloadi bitta ulanishni nomlaydi: server manzili, autentifikatsiya usuli va ehtimol har bir ilova uchun yoki talab bo‘yicha qoida. Identifikatsiya payloadi shu ulanish taqdim etadigan mijoz hisob ma‘lumotlarini beradi. Ildiz sertifikati payloadi ishonch tayanchini qo‘shadi, boshqaruv payloadi esa doimiy nazoratni serverga topshiradi. Bu to‘rt xil majburiyat, va imzo har birini alohida kafolatlash o‘rniga paketni qamrab oladi. Ularni shu tartibda o‘qing, chunki VPN identifikatsiyasiz foydasiz, identifikatsiya esa kim berganini bilmasangiz kam ma‘no beradi.

Fayldagi parol himoyasi yana alohida xususiyat. Shifrlangan paket tarkibni parolga ega bo‘lmagan odamdan yashiradi; u ichidagi narsaga ruxsat berish kerakmi yoki yo‘qmi, buni hal qilmaydi. Parolni tekshirish emas, yetkazib berish usuli deb biling.

Sertifikatlarni ularni ishlatadigan ulanishgacha kuzatib boring

Paketdagi sertifikatlarni sanang va har birini bir vazifaga moslang. Mijoz sertifikati bu qurilmani shlyuzga tanitadi, uni bergan CA shu ulanishning ishonch zanjiriga kiradi, proksi yoki ichki xizmat uchun o‘rnatilgan ildiz esa avtomatik ravishda har bir HTTPS saytning tayanchi emas. iOS‘da qo‘lda o‘rnatilgan ildiz TLS uchun ishonchsiz bo‘lib qoladi, toki uni Settings, About, Certificate Trust Settings bo‘limida yoqmagsiz, boshqaruv orqali yetkazilgan ildiz esa bu qadamsiz ishonchli hisoblanadi. Aynan shu farq payload maqsadi nima uchun muhimligini ko‘rsatadi.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Trafikingizni o‘tkazuvchi provayder shu sababli siz tashrif buyuradigan har bir saytning TLS oxirgi nuqtasi emas. Tutib olish uchun trafik yo‘li va ilova qabul qiladigan ishonch tayanchi kerak, bitta sertifikat olib yurgan profil esa ikkalasini ham isbotlamaydi. Profilni o‘rnatish hammasini shifrdan chiqaradi deb o‘ylash o‘rniga, sertifikatni qaysi ulanish ishlatishini va qaysi ilovalar uni qabul qilishini so‘rang.

O‘rnatishdan keyin: tekshiring va olib tashlash nima qilishini biling

Profil o‘rnatilgach, uni yuklab olingan fayldan emas, qurilmadan tasdiqlang. Sozlamalar ekrani o‘rnatilgan profilni, imzolovchisini va payloadlarini sanaydi, VPN ekrani esa ulanish ko‘zda tutilganidek sozlanganmi-yo‘qmi ko‘rsatadi. Yuklab olingan faylni o‘chirish hech narsani olib tashlamaydi; o‘rnatilgan konfiguratsiya alohida obyekt.

profiles show -type configuration
scutil --nc list

Agar profil boshqaruv ro‘yxatga olishini o‘z ichiga olsa, olib tashlash oqibatlarini o‘rnatishdan keyin emas, oldin o‘qing. O‘sha ro‘yxatga olishni olib tashlash unga bog‘liq konfiguratsiyalarni ham olib ketadi va qurilma qanday ro‘yxatga olinganiga qarab boshqariladigan ilovalarni ham o‘chirishi mumkin. Bu sertifikat noto‘g‘ri ko‘ringanda sinab ko‘riladigan tuzatish qadami emas. Biror narsani olib tashlashdan oldin administratorga muammo qaysi payloadga tegishli ekanini so‘rang.

Ko‘rib chiqish to‘rt alohida javob bilan tugaydi: paketni kim imzolagan, u qaysi payloadlarni o‘rnatadi, har bir ulanish qaysi identifikatsiya va ishonchni ishlatadi va olib tashlash nimalarni birga olib ketadi. Ularni alohida saqlang, shunda imzolangan profil yashil belgi emas, ko‘rib chiqilgan qaror bo‘lib qoladi.