Bạn đã gửi một hồ sơ VPN cho tất cả mọi người và trong đó có mật khẩu của bạn

Hồ sơ cài đặt gọn gàng, mọi người kết nối, và rồi mật khẩu tài khoản bị thay đổi. Mọi thiết bị đã nhận tệp đều ngừng xác thực trong cùng một phút, vì tất cả đều mang cùng một bí mật. Đó là dấu hiệu: một thông tin xác thực được sao chép vào một tạo tác dùng chung biến việc đổi mật khẩu thường lệ thành sự cố cho toàn bộ đội thiết bị. Giữ cấu hình dùng lại được và danh tính riêng biệt thành hai lần bàn giao tách biệt sẽ tránh được điều đó, và tài liệu quản lý thiết bị của chính Apple coi hồ sơ là cài đặt và sự cho phép, không phải kho bí mật.

Triệu chứng xuất hiện ở lần luân chuyển đầu tiên

Tệp mobileconfig là XML hoặc plist có chữ ký. Bất kỳ ai có bản sao đều có thể giải mã nội dung và đọc những gì bên trong, nên một giá trị AuthPassword trong mẫu là thông tin xác thực dạng văn bản thuần với phần mở rộng tệp khác thường. Việc ký thay đổi tính toàn vẹn và nguồn gốc, không thay đổi khả năng đọc. Trong khi đó, những phần bạn thực sự muốn chia sẻ, như địa chỉ cổng, danh tính máy chủ mong đợi và chính sách lưu lượng, lại giống nhau với mọi người.

Sắp xếp các trường trước khi sửa bất cứ thứ gì, vì ranh giới không nằm ở nơi người ta tưởng.

Tách cài đặt dùng chung khỏi thông tin xác thực riêng

Con đường tương tác là để mật khẩu ở ngoài và để cơ chế xác thực được hỗ trợ hỏi nó. Hãy đọc kỹ: xóa một trường chỉ trông giống nhau không phải là chuyển đổi phổ quát sang đăng nhập tương tác. Tải trọng IKEv2 phân biệt AuthName với AuthPassword, và phương thức xác thực quyết định liệu lời nhắc có thể tiếp cận được hay không; phương thức dựa trên chứng chỉ sẽ không hỏi mật khẩu chút nào.

Chứng chỉ cũng không cần khóa dùng chung

Nếu cổng mong đợi xác thực bằng chứng chỉ, hãy đăng ký danh tính người dùng hoặc thiết bị dự kiến thông qua cơ chế được phê duyệt và giữ khóa riêng ngoài mẫu. Một khóa riêng dùng chung trong mỗi bản sao cho bạn đúng vấn đề luân chuyển đó với bán kính ảnh hưởng tệ hơn, vì không thể thu hồi khóa theo từng người nếu nó không được cấp theo từng người.

Ghi lại việc cấp, gia hạn và thu hồi danh tính đó cùng với bản sửa đổi hồ sơ. Khi cả hai được theo dõi cùng nhau, gia hạn là một tác vụ đã lên lịch chứ không phải sự cố.

Máy không người trông coi cần câu trả lời thứ ba

Một máy phải kết nối trước khi ai đó đăng nhập không thể trả lời lời nhắc. Đây là yêu cầu khác với việc làm cho người đã đăng nhập dễ cài đặt hơn, và nên được giải quyết bằng danh tính được quản lý hoặc chứng chỉ theo từng thiết bị đã thống nhất với chủ sở hữu cổng, không phải bằng cách lưu mật khẩu của con người trong hồ sơ.

Lưu mật khẩu cũng không loại bỏ yếu tố thứ hai. Nếu cổng yêu cầu MFA, hồ sơ có mật khẩu đã lưu vẫn thất bại khi khởi động, và lỗi trông giống hồ sơ bị hỏng hơn là thiếu yếu tố.

Kiểm tra tạo tác thực sự được tạo ra

Mẫu nói dối bằng cách bỏ sót. Một dịch vụ quản lý hoặc công cụ xuất có thể chèn thông tin xác thực vào tệp hoàn chỉnh, và các tải trọng danh tính hoặc bản sao chẩn đoán đi kèm có thể mang vật liệu mà mẫu chưa bao giờ hiển thị. Mở tạo tác được tạo ra trước khi quyết định ai có thể nhận nó. Giữ nguyên các cài đặt nhà cấp tin cậy và danh tính máy chủ mong đợi; việc bỏ mật khẩu không phải lý do để làm yếu niềm tin vào cổng.

Nếu một mật khẩu thật hoặc danh tính riêng đã lan đi quá rộng, hãy thu hồi tại nơi cấp và thay thế. Sửa mẫu của ngày mai không làm gì với những bản sao đã cài đặt, và những bản sao đó sẽ tiếp tục xác thực cho đến khi thông tin xác thực phía sau bị thu hồi.

Chấp nhận bàn giao bằng một danh tính thử nghiệm

Cài đặt qua luồng được phê duyệt trên một thiết bị được đăng ký như danh tính thử nghiệm riêng, hoàn tất xác thực dự kiến và tiếp cận tài nguyên riêng thay vì chỉ xem đường hầm đi lên. Xác nhận hồ sơ không chứa vật liệu thông tin xác thực, rồi xác nhận thông tin xác thực tồn tại trong bản ghi danh tính sẽ được gia hạn. Cặp đó chính là bài kiểm tra chấp nhận.

Một bản sửa đổi cho cài đặt dùng chung, một bản ghi cho mỗi người, và một đường thu hồi mà bạn thực sự đã dùng một lần.