Verkkoympäristön valmistelu tiukempia suojausvaatimuksia varten

Applen käyttöjärjestelmät edellyttävät tiukempaa verkkoturvaa järjestelmäprosesseille. Tarkista, täyttävätkö palvelinyhteydet uudet vaatimukset.

Jo seuraavasta merkittävästä ohjelmistopäivityksestä alkaen Applen käyttöjärjestelmät (iOS, iPadOS, macOS, watchOS, tvOS ja visionOS) saattavat hylätä yhteydet palvelimiin, joiden TLS-kokoonpano on vanhentunut tai ei-vaatimusten mukainen uusien verkkoturvavaatimusten vuoksi.

Suorita ympäristön tarkastus tunnistaaksesi palvelimet, jotka eivät täytä näitä vaatimuksia. Palvelinkokoonpanojen päivittäminen näiden vaatimusten täyttämiseksi voi viedä merkittävästi aikaa, erityisesti ulkopuolisten toimittajien ylläpitämien palvelimien osalta.

Yhteydet ja määritysvaatimukset, joihin muutokset vaikuttavat

Uudet vaatimukset koskevat verkkoyhteyksiä, jotka liittyvät suoraan seuraaviin toimintoihin:

• Mobiililaitteiden hallinta (MDM)

• Määrittelevä laitteiden hallinta (DDM)

• Automaattinen laiterekisteröinti

• Määritysprofiilin asennus

• Sovellusten asennus, mukaan lukien yrityssovellusten jakelu

• Ohjelmistopäivitykset

Poikkeukset: verkkoyhteydet SCEP-palvelimeen (määritysprofiilin asennuksen tai DDM-resurssin ratkaisemisen aikana) ja sisältövälimuistipalvelimiin (vaikka pyydettäisiin appien asennukseen tai ohjelmistopäivityksiin liittyviä resursseja) eivät liity näihin vaatimuksiin.

Vaatimukset: Palvelimien on tuettava TLS 1.2 -versiota tai uudempaa, käytettävä ATS-yhteensopivia salauspaketteja ja esitettävä kelvolliset varmenteet, jotka täyttävät ATS-standardit. Kattavat verkkoturvavaatimukset ovat saatavana kehittäjädokumentaatiosta:

• App Transport Security

• Transport Layer Security -paketin versio 2.1

Tarkasta ympäristö ei-yhteensopivien yhteyksien varalta

Käytä testilaitteita tunnistaaksesi ympäristösi palvelinyhteydet, jotka eivät täytä uusia TLS-vaatimuksia.

Suunnittele testauksen kattavuus

Eri laitemääritykset voivat edellyttää yhdistämistä eri palvelimiin. Varmista, että tarkastus kattaa kaikki ympäristöösi sovellettavat kokoonpanot testaamalla ne kaikki.

• Ympäristö: tuotanto, välitysympäristö, testaus

• Laitetyyppi: iPhone, iPad, Mac, Apple Watch, Apple TV, Apple Vision Pro

• Rooli: käyttäjäryhmä (myynti, tekninen osasto, talousosasto), kioskilaitteet, jaetut laitteet

• Rekisteröintityyppi: automaattinen laiterekisteröinti, tiliin perustuva rekisteröinti, profiiliin perustuva laiterekisteröinti, jaettu iPad

Toista seuraavat tarkastusvaiheet jokaiselle kokoonpanolle, joka muodostaa yhteyden eri palvelimiin.

Asenna verkon diagnostiikan lokiprofiili

Lataa ja asenna verkon diagnostiikan lokiprofiili edustavaan testilaitteeseen, jossa on iOS 26.4, iPadOS 26.4, macOS 26.4, watchOS 26.4, tvOS 26.4 tai visionOS 26.4 tai uudempi, jotta loki voidaan ottaa käyttöön. Asennettuasi profiilin käynnistä testilaite uudelleen.

Jotta lokitapahtumat sisältäisivät tarvittavat tiedot ei-yhteensopivien yhteyksien tunnistamiseksi, tämä profiili on asennettava ennen testauksen aloittamista. Jos testaat automatisoitua laiterekisteröintiä iPhonessa tai iPadissa, asenna profiili Macin Apple Configuratorilla ennen kuin laite siirtyy Asetusavustajan Laitteen hallinta -paneeliin.

Suorita normaalit työnkulut

Käytä testilaitetta normaalisti ympäristössäsi. Rekisteröi laite laitehallintaan, asenna appeja ja profiileja sekä suorita muut työnkulut, jotka muodostavat yhteyden organisaatiosi palvelimiin.

Tavoitteena on luoda verkkoliikennettä kaikille palvelimille, joihin uudet TLS-vaatimukset saattavat vaikuttaa.

Kerää sysdiagnose-tietoja

Kerää työnkulkujen suorittamisen jälkeen testilaitteesta sysdiagnose-tiedot. Tämä diagnostiikka-arkisto sisältää lokitapahtumat, joiden avulla voit tunnistaa ei-yhteensopivat yhteydet.

Laitekohtaiset ohjeet sysdiagnose-tietojen keräämiseen

Tarkista lokit

Siirrä sysdiagnose-tiedot Macille ja pura .tar.gz-tiedosto. Siirry päätteellä laajennetun sysdiagnosen juurihakemistoon ja suodata asiaankuuluvat lokitapahtumat tällä komennolla:

log show --archive system_logs.logarchive --info -P "p=appstoreagent|appstored|managedappdistributionagent|managedappdistributiond|ManagedClient|ManagedClientAgent|mdmclient|mdmd|mdmuserd|MuseBuddyApp|NanoSettings|Preferences|profiled|profiles|RemoteManagementAgent|remotemanagementd|Setup|'Setup Assistant'|'System Settings'|teslad|TVSettings|TVSetup|XPCAcmeService AND s=com.apple.network AND m:'ATS Violation'|'ATS FCPv2.1 violation'"

Jokainen lokitapahtuma sisältää kolme keskeistä tietoa:

• Verkkotunnus: yhteystapahtuman palvelimen verkkotunnus.

• Prosessi: yhteyden muodostanut prosessi, jonka avulla voit määrittää verkkoyhteyden tarkoituksen kyseiseen verkkotunnukseen.

• Varoitus: yhteyden rikkomus ja tieto siitä, miten palvelin ei ole yhteensopiva (yksi yhteys voi aiheuttaa useita varoituksia, jos palvelin ei täytä useita vaatimuksia).

Varoituslokien tulkinta

Seuraavat lokiviestit osoittavat palvelimet, jotka eivät täytä uusia TLS-vaatimuksia. Rikkomukset merkitään joko yleisiksi ATS-käytäntörikkomuksiksi ("Varoitus [ATS-rikkomus]") tai tietyiksi FCP v2.1 -standardin rikkomuksiksi ("Varoitus [ATS FCPv2.1 -rikkomus]").

Jos nämä lokit ovat peräisin prosessista, joka muodostaa yhteyden yrityksesi palvelimeen, kyseiset palvelimet on päivitettävä vastaamaan uusia vaatimuksia.

Vahvista yksittäiset palvelimet

Kun tarkistuksessa on tunnistettu vaatimustenmukaisuutta rikkovia palvelimia, voit testata niitä yksitellen varmistaaksesi tiettyjen rikkomusten olemassaolon tai korjausten onnistumisen.

Suorita seuraava komento ja korvaa ”https://example.com:8000” palvelimellasi tai päätepisteelläsi.

nscurl --ats-diagnostics https://example.com:8000/

Tämä komento testaa, täyttääkö palvelin ATS-käytäntöjen eri yhdistelmien vaatimukset. Etsi testitulokset ATS:stä, jonka FCP_v2.1-tila on käytössä:

Jos tulos on PASS, palvelin täyttää kaikki vaatimukset.

Lue lisätietoja estettyjen yhteyksien lähteen tunnistamisesta

Korjaustoimenpide

Päivitä TLS-määritykset yhteistyössä asianomaisten palvelimien omistajien kanssa. Palvelimen omistajat voivat olla sisäisiä, laitehallintapalvelu tai kolmannen osapuolen toimittajia.

Kun otat yhteyttä palvelimen omistajaan korjaustoimenpiteitä varten, jaa tämä artikkeli ja kerro tarkasti havaitsemasi varoitusviestit.

Korjaustoimenpiteisiin saattaa kuulua seuraavaa:

• Palvelimien päivittäminen tukemaan TLS 1.2:tä tai uudempaa (suositellaan TLS 1.3:ää)

• Pelkästään TLS 1.2:ta tukevien palvelimien on tuettava vähintään avainvaihtoalgoritmeja, jotka tarjoavat täydellisen salauksen eteenpäin (ECDHE), AES-GCM:ään perustuvia AEAD-salauspaketteja, joissa käytetään SHA-256:ta, SHA-384:ää tai SHA-512:ta, sekä laajennettua pääsalaisuuden laajennusta (RFC 7627).

• Päivitä varmenteet ATS:n vaatimusten mukaisiksi avaimen koon, allekirjoitusalgoritmin ja voimassaoloajan osalta.

Lisäresurssit

• Lue lisätietoja suojaamattomien verkkoyhteyksien estämisestä ja App Transport Securitystä

• Lue ohjeita Applen alustan turvallisuudesta

• Ota yhteyttä asiakkuuspäällikköösi tai AppleCare-yritystukeen saadaksesi lisäapua.