Sophos Mobile: połączenia i certyfikaty w Android Enterprise

Ten artykuł pomaga ustalić, jakich zasad Android Enterprise i certyfikatów wymaga dane połączenie. Opisuje udokumentowane ustawienia, a nie zmianę przetestowaną w docelowej dzierżawie. Przed przypisaniem zmienionych zasad w środowisku produkcyjnym potrzebny jest pilotaż i sprawdzona droga dostępu niezależna od objętych zmianą sieci Wi-Fi, VPN lub serwera proxy. Sam opis nie potwierdza skutecznego wdrożenia ani wycofania zmiany we własnej dzierżawie.

Nazewnictwo: Angielskie nazwy Sophos w nawiasach odnoszą się do anglojęzycznej dokumentacji źródłowej; niemieckie odpowiedniki pochodzą z niemieckojęzycznej pomocy Sophos. Nie sprawdzono, w jakim języku ani pod jakimi nazwami wyświetlane są elementy interfejsu w docelowej dzierżawie.

Najpierw ustalić tryb i zakres zmiany

Który rodzaj połączenia ma się zmienić: sieć EAP Wi-Fi (w tym zmiana CA lub nazwy serwera), SCEP/certyfikat klienta, aplikacja VPN czy serwer proxy HTTP? Najpierw trzeba ustalić tryb zarządzania, typ zasad, licencję i wersję Androida na docelowym urządzeniu. Sophos osobno opisuje zasady Android Enterprise dla całego urządzenia (full device) i zasady dla profilu służbowego (work profile). Ustawienie w profilu służbowym nie dowodzi ani dostępu aplikacji prywatnych do jego certyfikatów, ani działania VPN lub Wi-Fi w całym urządzeniu.

Rozróżnić trzy role certyfikatów

• CA serwera SCEP: kotwica zaufania dla serwera SCEP; przed konfiguracją SCEP należy dodać ją jako Stammzertifikat (angielska pomoc Sophos: Root certificate) w tych samych zasadach.
• Wystawiony certyfikat klienta: tożsamość przeznaczonej aplikacji lub połączenia. Przesłany Client-Zertifikat (angielska pomoc Sophos: Client certificate, .pfx) i certyfikat wystawiony przez SCEP to dwa różne sposoby konfiguracji.
• CA serwera EAP: kotwica zaufania służąca do weryfikacji serwera Wi-Fi; należy sprawdzić ją razem z oczekiwaną nazwą serwera. Nie musi to być ta sama CA co CA serwera SCEP. Dla każdego zastosowania trzeba osobno zweryfikować właściwy łańcuch, zamiast ufać nieznanej CA.

Zasady Android Enterprise dla całego urządzenia (full device)

Konfiguracja Client-Zertifikat (Client certificate w angielskiej pomocy Sophos) umożliwia przesłanie certyfikatu PKCS #12 (.pfx). Mogą z niego korzystać inne konfiguracje w ramach tych samych zasad; dla innych zasad trzeba przesłać go ponownie. Stammzertifikat (Root certificate w angielskiej pomocy Sophos) dodaje certyfikat główny X.509 w formacie PEM lub DER i instaluje go po przypisaniu zasad; mogą go wybierać tylko konfiguracje w ramach tych samych zasad.

SCEP wymaga wcześniejszego dodania CA serwera SCEP jako konfiguracji Stammzertifikat w tych samych zasadach. Adres URL serwera SCEP, adres URL usługi challenge i uprawnienia do niej, podmiot (Subject w angielskiej pomocy Sophos) i ewentualnie SAN, CA, długość klucza oraz przeznaczenie muszą odpowiadać własnej infrastrukturze PKI; po podstawieniu wartości za symbole zastępcze podmiot musi być prawidłową nazwą X.500. Sama obecność ustawienia nie dowodzi ani wystawienia, ani odnowienia certyfikatu.

Zasady Android Enterprise dla profilu służbowego (work profile)

Client-Zertifikat (Client certificate w angielskiej pomocy Sophos) również umożliwia przesłanie certyfikatu PKCS #12 (.pfx); jest on dostępny dla aplikacji z zarządzanego Google Play w profilu służbowym oraz dla innych konfiguracji w ramach tych samych zasad, ale nie ma potwierdzenia jego dostępności dla aplikacji prywatnych. W innych zasadach wymagane jest ponowne przesłanie certyfikatu. Stammzertifikat (Root certificate w angielskiej pomocy Sophos) instaluje certyfikat główny X.509 w formacie PEM lub DER po przypisaniu zasad w profilu służbowym i udostępnia go konfiguracjom w ramach tych samych zasad.

SCEP także tutaj wymaga wcześniejszego dodania CA serwera SCEP jako Stammzertifikat w tych samych zasadach. Wystawione certyfikaty opisano jako dostępne dla aplikacji w profilu służbowym; nie wynika z tego ani ich dostępność w całym urządzeniu, ani automatyczne odnawianie. Osobno należy sprawdzić adres URL, challenge, podmiot/X.500, CA, długość klucza i przeznaczenie.

Ograniczenie dotyczące obu trybów: W ustawieniu Sophos Wi-Fi (Wi-Fi w angielskiej pomocy) pole Identitätszertifikat (Identity certificate) zawiera listę konfiguracji Client-Zertifikat z tych samych zasad. Nie potwierdzono możliwości bezpośredniego wyboru w tym polu certyfikatu wystawionego przez SCEP. Ten artykuł nie obejmuje konfiguracji serwera SCEP w dzierżawie, jego osiągalności ani uprawnień CA i challenge.

Osobno sprawdzić każdy rodzaj połączenia

Sieć EAP Wi-Fi: Przy EAP/PEAP, EAP/TLS i EAP/TTLS identyfikator SSID musi być jawnie rozgłaszany; zasad WEP nie można przypisywać urządzeniom z systemem Android 12 lub nowszym. Certyfikat tożsamości EAP (pole pomocy Identitätszertifikat, ang. Identity certificate) i zaufana kotwica główna (pole pomocy Vertrauenswürdiges Zertifikat, ang. Trusted certificate) są wybierane z konfiguracji w ramach tych samych zasad. Do sprawdzania oczekiwanej nazwy serwera Sophos zaleca Domänen-Prüfung (Domain suffix match w angielskiej pomocy), czyli porównanie sufiksu z dNSName w subjectAltName (SAN) certyfikatu serwera, zamiast mniej ścisłej SAN-Prüfung (Subject alternative name match w angielskiej pomocy), która sprawdza podciąg znaków. Sufiks nie oznacza dokładnego dopasowania nazwy hosta: example.com pasuje także do server.example.com; kilka wartości rozdzielonych średnikami działa jako alternatywy, a symbole wieloznaczne są niedozwolone. Przed przypisaniem zasad trzeba więc porównać faktycznie oczekiwane nazwy serwerów RADIUS/EAP, możliwie wąski sufiks i łańcuch CA. Bez testu na urządzeniu nie wiadomo, jak zasady profilu służbowego wpływają na Wi-Fi całego urządzenia.

Aplikacja VPN: W obu trybach wybiera się wcześniej zainstalowanego klienta VPN z zarządzanego Google Play. Połączenie konfiguruje się przez zarządzaną konfigurację aplikacji; opisuje to konfigurację wewnątrz aplikacji, a nie zweryfikowaną tutaj klikalną opcję Sophos o nazwie Managed Configuration. Samo ustawienie zasad nie dowodzi działania tunelu, używanego protokołu, trybu Always-on ani funkcji «Block without VPN», a w profilu służbowym — tunelowania całego ruchu urządzenia.

Globaler HTTP-Proxy (Global HTTP proxy w angielskiej pomocy Sophos): W sprawdzonym tu zakresie udokumentowany tylko dla zasad obejmujących całe urządzenie: firmowy serwer proxy z nazwą serwera i portem albo adres URL pliku PAC. Nie wynika z tego ani istnienie odpowiedniego ustawienia dla profilu służbowego, ani wpływ na cały ruch inny niż HTTP. Nieosiągalny serwer proxy lub błędny plik PAC mogą zakłócić dostęp do systemu zarządzania i aplikacji.

Sprawdzić przed przypisaniem zasad w środowisku produkcyjnym

1. Przed zmianą: W docelowej dzierżawie sprawdzić licencję, wersję Androida i rzeczywiście dostępne zasady. Zachować działające dotychczas zasady i łańcuchy CA. Wcześniej przetestować dostęp do systemu zarządzania i sieci bez korzystania z objętych zmianą sieci Wi-Fi, VPN lub serwera proxy. Nie umieszczać kluczy prywatnych, sekretów ani wartości challenge w zgłoszeniach lub artykułach.
2. Osobne urządzenia lub grupy pilotażowe dla każdego trybu: Obserwować obowiązujące zasady i dostępność certyfikatów we właściwym profilu, oczekiwaną tożsamość serwera EAP i łańcuch zaufania oraz faktyczne wystawienie, wygaśnięcie i odnowienie certyfikatów SCEP. Zależnie od rodzaju zmiany sprawdzić aplikację VPN i tunel, osiągalność serwera proxy/pliku PAC, dostęp aplikacji i zgłaszanie się urządzenia do systemu zarządzania. Przy zmianie CA usunąć starą CA dopiero po sprawdzeniu wszystkich zależnych od niej połączeń.
3. Warunki wstrzymania i droga powrotu: Jeśli nie można potwierdzić działania weryfikacji tożsamości serwera, użycia lub odnawiania certyfikatów, połączenia, dostępu aplikacji albo zgłaszania się urządzenia do systemu zarządzania, wstrzymać przypisywanie zasad kolejnym urządzeniom. Wyłącznie przez wcześniej przetestowaną niezależną drogę dostępu zaktualizować lub ponownie przypisać działające zasady, a następnie sprawdzić ponowne nawiązanie połączenia i stan certyfikatów/VPN. Urządzenie, które przeszło w tryb offline, nie jest niezawodnie osiągalne przez zmianę zasad w chmurze; nie ma gwarancji natychmiastowego zdalnego wycofania zmiany. Angielska pomoc Sophos opisuje odinstalowanie zasad dla pojedynczych urządzeń (Uninstall policy), ale nie dla tych typów zasad Android Enterprise; nie jest to tutaj zweryfikowana nazwa przycisku w docelowej dzierżawie.

Dopóki nie potwierdzono oczekiwanego działania w pilotażu lub niezależnej drogi powrotu, nie należy przypisywać zmienionych zasad w środowisku produkcyjnym. Opisane ustawienia nie zastępują tych sprawdzeń.