Εγγραφή Android Enterprise μέσω κωδικού QR: τι περιέχει και πώς να τον προστατεύσετε

Η εγγραφή μέσω κωδικού QR είναι ένας συνήθης τρόπος ένταξης μιας εταιρικής συσκευής Android υπό διαχείριση. Επαναφέρετε το τηλέφωνο στις εργοστασιακές ρυθμίσεις, πατάτε στην οθόνη υποδοχής, στρέφετε την κάμερα σε ένα εκτυπωμένο τετράγωνο και λίγα λεπτά αργότερα η συσκευή έχει εγγραφεί, διαμορφωθεί και λάβει τις εφαρμογές της. Χωρίς πληκτρολόγηση λογαριασμού, χωρίς μακρά λίστα ελέγχου ρυθμίσεων, χωρίς καλώδιο.

Αυτή η ευκολία πηγάζει από το τι περιέχει ο κώδικας. Ένας κωδικός QR του Android Enterprise δεν είναι απλώς ένας σύνδεσμος προς μια ιστοσελίδα. Είναι ένα μικρό αρχείο διαμόρφωσης που υποδεικνύει στη συσκευή ποια εφαρμογή διαχείρισης να εγκαταστήσει, σε ποιον οργανισμό ανήκει και, ορισμένες φορές, σε ποιο δίκτυο Wi-Fi να συνδεθεί και με ποιον κωδικό πρόσβασης. Οποιοσδήποτε μπορεί να φωτογραφήσει τον κώδικα μπορεί να διαβάσει αυτό το αρχείο, και οποιοσδήποτε διαθέτει ένα έγκυρο αντίγραφο μπορεί να εγγράψει μια συσκευή στον στόλο σας.

Αυτός ο οδηγός απευθύνεται σε επικεφαλής IT που εγγράφουν εταιρικές συσκευές Android με κωδικούς QR, στο γραφείο ή στο πεδίο, και οι οποίοι ενδέχεται να χρειαστεί να εξηγήσουν τη διαδικασία και τους κινδύνους της στη διοίκηση. Ξεκινά με τα δεδομένα που περιέχει ο κώδικας, καλύπτει την επιλογή μεταξύ εταιρικής και προσωπικής χρήσης, το Wi-Fi εντός του κώδικα, την πρόσβαση στον κώδικα και το τι πρέπει να κάνετε σε περίπτωση διαρροής του. Ολοκληρώνεται με τη σύγκριση της εγγραφής QR με το zero-touch και το Knox Mobile Enrollment, καθώς και με μια σύντομη ενότητα αντιμετώπισης προβλημάτων που καλύπτει το σφάλμα «enrollment token expired» (το διακριτικό εγγραφής έληξε).

Τα βασικά: Τι ακριβώς κάνει η εγγραφή μέσω κωδικού QR

Αρχικά, λίγο λεξιλόγιο, καθώς το υπόλοιπο άρθρο βασίζεται σε αυτό.

• Εγγραφή (ή provisioning): η διαδικασία που μετατρέπει μια νέα συσκευή ή μια συσκευή μετά από επαναφορά εργοστασιακών ρυθμίσεων σε διαχειριζόμενη συσκευή. Κατά το provisioning, εγκαθίσταται μια εφαρμογή διαχείρισης και της εκχωρούνται δικαιώματα διαχειριστή στη συσκευή ή σε ένα μέρος της.
• Device policy controller (DPC): η εφαρμογή διαχείρισης στη συσκευή που εφαρμόζει τους κανόνες του οργανισμού σας. Με το Android Management API, το API της Google για τη διαχείριση συσκευών Android Enterprise, το DPC είναι η εφαρμογή Android Device Policy της Google.
• Διακριτικό εγγραφής (Enrollment token): μια συμβολοσειρά που εκδίδεται από την πλατφόρμα διαχείρισής σας και προσδιορίζει σε ποιον οργανισμό και σε ποια πολιτική θα ενταχθεί μια νέα συσκευή. Λειτουργεί σαν κωδικός πρόσκλησης.
• Οδηγός εγκατάστασης (Setup wizard): οι οθόνες της πρώτης εκτέλεσης που εμφανίζει το Android μετά από επαναφορά εργοστασιακών ρυθμίσεων (γλώσσα, δίκτυο, λογαριασμοί).
• Πολιτική (Policy): το σύνολο κανόνων, εφαρμογών και ρυθμίσεων που εφαρμόζει η πλατφόρμα διαχείρισης σε μια συσκευή: απαιτήσεις κωδικού πρόσβασης, επιτρεπόμενες εφαρμογές, δίκτυα Wi-Fi, λειτουργία kiosk και ούτω καθεξής.

Η διαδικασία των έξι πατημάτων (six-tap flow)

Σε μια συσκευή με Android 7 ή νεότερο που έχει επαναφερθεί στις εργοστασιακές ρυθμίσεις, πατώντας έξι φορές στο ίδιο σημείο στην οθόνη υποδοχής ανοίγει ένας σαρωτής κωδικών QR. Σε ορισμένες παλαιότερες εκδόσεις Android, η συσκευή ζητά πρώτα να συνδεθεί σε ένα δίκτυο ώστε να κατεβάσει μια εφαρμογή ανάγνωσης QR. Οι νεότερες εκδόσεις διαθέτουν ενσωματωμένο σαρωτή. Μόλις σαρωθεί ο κώδικας, η συσκευή:

1. Διαβάζει το φορτίο προετοιμασίας (provisioning payload) που είναι αποθηκευμένο στον κώδικα.
2. Συνδέεται στο δίκτυο, χρησιμοποιώντας τα στοιχεία Wi-Fi που περιέχονται στον κώδικα, εφόσον υπάρχουν.
3. Κατεβάζει το DPC και επαληθεύει την υπογραφή του βάσει ενός αθροίσματος ελέγχου (checksum) στο payload, ώστε να απορριφθεί τυχόν παραποιημένη εφαρμογή.
4. Παραδίδει το διακριτικό εγγραφής στο DPC, το οποίο το παρουσιάζει στην υπηρεσία διαχείρισης.
5. Λαμβάνει την πολιτική που συνδέεται με αυτό το διακριτικό και την εφαρμόζει: περιορισμούς, εφαρμογές, δίκτυα, ρυθμίσεις kiosk.

Πού κολλάει το «afw#setup»

Η μέθοδος afw#setup και ο κωδικός QR αναφέρονται συχνά μαζί. Πρόκειται για διαφορετικά σημεία εισόδου που οδηγούν στο ίδιο αποτέλεσμα. Το afw#setup είναι ένα αναγνωριστικό DPC: το πληκτρολογείτε στο πεδίο λογαριασμού Google του οδηγού εγκατάστασης αντί για μια διεύθυνση email, και η συσκευή κατεβάζει το Android Device Policy. Αυτή η εφαρμογή ζητά στη συνέχεια το διακριτικό εγγραφής, συνήθως σαρώνοντας έναν κωδικό QR ή πληκτρολογώντας τον κωδικό. Η μέθοδος των έξι πατημάτων λαμβάνει τις ίδιες πληροφορίες με μία μόνο σάρωση. Σε κάθε περίπτωση, το διακριτικό εγγραφής είναι το στοιχείο που καθορίζει σε ποιον οργανισμό θα ενταχθεί η συσκευή.

Τι περιέχει ο κώδικας

Ένας κωδικός QR είναι ένας τρόπος κωδικοποίησης κειμένου σε εικόνα. Δεν κρυπτογραφεί τίποτα. Οποιαδήποτε εφαρμογή ανάγνωσης QR, συμπεριλαμβανομένης της κάμερας στα περισσότερα τηλέφωνα, μπορεί να μετατρέψει την εικόνα πίσω στο αρχικό κείμενο. Για το provisioning του Android Enterprise, αυτό το κείμενο είναι ένα έγγραφο JSON. Το JSON είναι μια απλή, αναγνώσιμη από τον άνθρωπο μορφή κλειδιών και τιμών.

Παρακάτω παρατίθεται ένα ενδεικτικό payload που χρησιμοποιεί τα κλειδιά που τεκμηριώνει η Google για το provisioning του Android Management API. Η πλατφόρμα διαχείρισής σας δημιουργεί το πραγματικό, και τα ακριβή πεδία εξαρτώνται από τις ρυθμίσεις σας.

{
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":
      "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":
      "<published checksum of the DPC>",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION":
      "https://play.google.com/managed/downloadManagingApp?identifier=setup",
  "android.app.extra.PROVISIONING_WIFI_SSID": "Staging-Net",
  "android.app.extra.PROVISIONING_WIFI_PASSWORD": "example-password",
  "android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE": "WPA",
  "android.app.extra.PROVISIONING_TIME_ZONE": "America/Sao_Paulo",
  "android.app.extra.PROVISIONING_LEAVE_ALL_SYSTEM_APPS_ENABLED": false,
  "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE": {
    "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "<enrollment token>"
  }
}

Ακολουθεί η λειτουργία κάθε ομάδας πεδίων και ο βαθμός ευαισθησίας της.

Δύο πεδία έχουν τη μεγαλύτερη σημασία: το διακριτικό και ο κωδικός πρόσβασης Wi-Fi. Το υπόλοιπο αυτού του άρθρου αφορά τη διαχείρισή τους.

Εταιρική ιδιοκτησία ή προσωπική χρήση: Γιατί αποφασίζεται κατά την εγγραφή

Το Android Enterprise διαθέτει διάφορες λειτουργίες διαχείρισης (management modes), οι οποίες καθορίζουν πόσο μέρος της συσκευής ελέγχει ο οργανισμός.

• Πλήρως διαχειριζόμενη (εταιρικής ιδιοκτησίας): το DPC γίνεται device owner και διαχειρίζεται ολόκληρη τη συσκευή. Αυτό ταιριάζει σε κοινόχρηστες συσκευές, ανθεκτικά scanners, kiosks και ειδικά τηλέφωνα εργασίας.
• Εταιρικής ιδιοκτησίας με δυνατότητα προσωπικής χρήσης: ο οργανισμός κατέχει τη συσκευή και ελέγχει τη συνολική της ασφάλεια, ενώ ο χρήστης αποκτά επίσης έναν ξεχωριστό προσωπικό χώρο. Οι εφαρμογές και τα δεδομένα εργασίας βρίσκονται σε ένα επαγγελματικό προφίλ (work profile), ένα απομονωμένο περιβάλλον (sandbox) με δικές του εφαρμογές και δεδομένα που διαχειρίζεται το IT. Η προσωπική πλευρά παραμένει ιδιωτική.
• Επαγγελματικό προφίλ σε προσωπική συσκευή (BYOD): ο εργαζόμενος κατέχει τη συσκευή. Ο οργανισμός διαχειρίζεται μόνο το επαγγελματικό προφίλ και δεν μπορεί να δει ή να διαγράψει προσωπικά δεδομένα.

Γιατί δεν μπορείτε απλώς να αλλάξετε λειτουργία αργότερα

Εκτός από δοκιμαστικές ρυθμίσεις προγραμματιστών, το Android παραχωρεί τον ρόλο του device owner μόνο κατά την αρχική εγκατάσταση, μετά από επαναφορά εργοστασιακών ρυθμίσεων. Γι' αυτόν τον λόγο η εγγραφή συσκευών εταιρικής ιδιοκτησίας ξεκινά από την οθόνη υποδοχής. Για τον ίδιο λόγο, η λειτουργία είναι ουσιαστικά οριστική από τη στιγμή που η συσκευή εγγραφεί. Η μεταφορά μιας συσκευής από πλήρως διαχειριζόμενη σε διάταξη επαγγελματικού προφίλ, ή το αντίστροφο, απαιτεί συνήθως επαναφορά εργοστασιακών ρυθμίσεων και νέα εγγραφή. Αυτό κοστίζει σε χρόνο, και σε μια προσωπική συσκευή είναι απαράδεκτο για τον κάτοχό της.

Λάβετε την απόφαση πριν σαρωθεί η πρώτη συσκευή. Μερικοί πρακτικοί κανόνες:

• Εάν η συσκευή είναι κοινόχρηστη, χρησιμοποιείται ως kiosk ή εκτελεί μία μόνο επιχειρησιακή εφαρμογή, επιλέξτε πλήρη διαχείριση.
• Εάν η εταιρεία αγοράζει το τηλέφωνο αλλά είναι εύλογο ότι οι εργαζόμενοι θα το χρησιμοποιούν για προσωπικές κλήσεις και εφαρμογές, εξετάστε την επιλογή εταιρικής ιδιοκτησίας με δυνατότητα προσωπικής χρήσης, ώστε τα όρια να είναι σαφή από την πρώτη ημέρα.
• Εάν οι εργαζόμενοι φέρνουν τα δικά τους τηλέφωνα, χρησιμοποιήστε επαγγελματικό προφίλ. Εγγράφεται από την ήδη ρυθμισμένη συσκευή μέσω ενός συνδέσμου ή κωδικού, και όχι μέσω της διαδικασίας των έξι πατημάτων στην οθόνη υποδοχής.

Ο κωδικός QR φέρει αυτή την απόφαση μαζί του. Ένας κωδικός που έχει δημιουργηθεί για πλήρη διαχείριση θα ρυθμίσει πλήρως διαχειριζόμενες συσκευές για οποιονδήποτε τον σαρώσει. Ονομάστε και αρχειοθετήστε τους εκτυπωμένους κωδικούς σας με τρόπο ώστε ένας τεχνικός προετοιμασίας να μην πάρει κατά λάθος τον λάθος κωδικό.

Wi-Fi στον κώδικα: Πότε βοηθά και τι πρέπει να αποφεύγετε

Μια συσκευή δεν μπορεί να κατεβάσει το DPC της χωρίς σύνδεση δικτύου. Μπορείτε είτε να αφήσετε τον τεχνικό να επιλέξει ένα δίκτυο στη συσκευή, είτε να συμπεριλάβετε το δίκτυο στον κωδικό QR.

Πότε βοηθά

Η συμπερίληψη του Wi-Fi εγκατάστασης στον κώδικα είναι χρήσιμη στο πεδίο και σε μαζικές εγκαταστάσεις. Ένας τεχνικός που εγγράφει είκοσι φορητές συσκευές σε μια αποθήκη, ή ένας υπεύθυνος καταστήματος που ρυθμίζει ένα tablet αντικατάστασης, δεν χρειάζεται να πληκτρολογήσει έναν μακροσκελή κωδικό πρόσβασης σε ένα μικρό πληκτρολόγιο είκοσι φορές. Αυτό εξαλείφει τα τυπογραφικά λάθη, αποτρέπει το να ζητούν οι υπάλληλοι τον κωδικό από συναδέλφους και καθιστά τη διαδικασία αρκετά επαναλήψιμη ώστε να ανατεθεί σε προσωπικό εκτός IT. Σε συσκευές χωρίς βολικό πληκτρολόγιο, όπως ανθεκτικές μονάδες σε περιβάλλοντα όπου απαιτείται η χρήση γαντιών, μπορεί να κρίνει εάν η εγγραφή είναι πρακτικά εφικτή.

Τι πρέπει να αποφεύγετε

Ο κωδικός πρόσβασης περιέχεται στον κώδικα ως απλό κείμενο. Οποιοσδήποτε σαρώσει τον κώδικα με μια συνηθισμένη κάμερα τηλεφώνου μπορεί να διαβάσει το SSID και τον κωδικό πρόσβασης, χωρίς να εγγράψει τίποτα. Επομένως, ο κωδικός πρόσβασης Wi-Fi παραμένει ασφαλής μόνο όσο διαρκεί το λιγότερο προσεγμένο αντίγραφο του κώδικα. Επικίνδυνες πρακτικές περιλαμβάνουν:

• Έναν μεμονωμένο κώδικα που περιέχει εταιρικό κωδικό πρόσβασης Wi-Fi, εκτυπωμένο σε αφίσα σε αποθήκη, χώρο διαλειμμάτων ή γραφεία υποστήριξης. Επισκέπτες, εξωτερικοί συνεργάτες και οδηγοί διανομών μπορούν να τον φωτογραφήσουν.
• Επαναχρησιμοποίηση του κύριου εταιρικού σας δικτύου ως δικτύου εγκατάστασης. Η διαρροή του κώδικα σημαίνει τότε διαρροή πρόσβασης σε οτιδήποτε υπάρχει σε αυτό το δίκτυο.
• Κωδικούς που επιβιώνουν της πολιτικής αλλαγής κωδικών πρόσβασης. Εάν ο κωδικός πρόσβασης του δικτύου ανανεωθεί αλλά παραμείνουν παλιές εκτυπώσεις, το αποτέλεσμα είναι σύγχυση και, αργά ή γρήγορα, κάποιος θα το «διορθώσει» εκτυπώνοντας έναν νέο κώδικα με τον νέο κωδικό πρόσβασης.

Βέλτιστες πρακτικές

• Χρησιμοποιήστε ένα αποκλειστικό δίκτυο provisioning: διαχωρισμένο, με πρόσβαση στο διαδίκτυο μόνο σε ό,τι απαιτεί η εγγραφή και με κωδικό πρόσβασης που είστε διατεθειμένοι να αλλάζετε τακτικά.
• Προτιμήστε έναν κώδικα του οποίου το Wi-Fi προέρχεται από ένα δίκτυο που έχει ήδη οριστεί στην πολιτική, ώστε τα διαπιστευτήρια να διαχειρίζονται σε ένα σημείο και όχι να πληκτρολογούνται σε ad-hoc κωδικούς.
• Όπου χρειάζεστε μια εφάπαξ εξαίρεση, όπως σε εγκατάσταση πελάτη με δικό της δίκτυο επισκεπτών, χρησιμοποιήστε έναν κώδικα που δεν αποθηκεύετε και καταστρέψτε τον μετά τη χρήση.
• Διατηρήστε το εταιρικό Wi-Fi βάσει πιστοποιητικών (802.1X) για την πολιτική που εφαρμόζεται μετά την εγγραφή, και όχι για το αρχικό payload εγκατάστασης. Ένα απλούστερο, απομονωμένο δίκτυο προετοιμασίας είναι ευκολότερο στην υποστήριξη κατά την εγκατάσταση.
• Εάν μια τοποθεσία διαθέτει δεδομένα κινητής τηλεφωνίας ή Ethernet, εξετάστε το ενδεχόμενο να παραλείψετε εντελώς το Wi-Fi από τον κώδικα.

Η οθόνη εγγραφής του Nomid ακολουθεί αυτόν τον διαχωρισμό. Ο τυπικός κωδικός QR για μια πολιτική λαμβάνει το Wi-Fi εγκατάστασης από ένα δίκτυο που ανήκει ήδη στην πολιτική, με τον κωδικό πρόσβασης να αντλείται από την πολιτική. Μια ξεχωριστή επιλογή «Use a different Wi-Fi once» (Χρήση διαφορετικού Wi-Fi μία φορά) δημιουργεί έναν εφάπαξ κώδικα που δεν αποθηκεύεται, και η πύλη προειδοποιεί ότι οποιοσδήποτε διαθέτει τον κωδικό QR μπορεί να διαβάσει τον κωδικό πρόσβασης.

Αντιμετωπίστε τον κώδικα σαν κλειδί

Η μεταφορά του «αντικλειδιού» είναι χρήσιμη, αλλά αξίζει να είμαστε ακριβείς σχετικά με το τι ανοίγει αυτό το κλειδί, ώστε ο κίνδυνος ούτε να διογκώνεται ούτε να υποτιμάται.

Τι μπορεί και τι δεν μπορεί να κάνει ένας κώδικας που έχει διαρρεύσει

Ένα έγκυρο διακριτικό εγγραφής επιτρέπει σε κάποιον να προσθέσει μια συσκευή στον στόλο σας υπό την πολιτική που συνδέεται με αυτό το διακριτικό. Αυτή η συσκευή μπορεί στη συνέχεια να λάβει οτιδήποτε παρέχει η πολιτική, το οποίο μπορεί να περιλαμβάνει:

• Τις ιδιωτικές ή εσωτερικές σας εφαρμογές, που διανέμονται μέσω του διαχειριζόμενου Google Play ή ενός ιδιωτικού καταστήματος εφαρμογών.
• Διαμορφώσεις δικτύου, συμπεριλαμβανομένων των διαπιστευτηρίων Wi-Fi που προωθεί η πολιτική μετά την εγγραφή.
• Διαδικτυακούς συνδέσμους, αρχεία και περιεχόμενο που προορίζονται για το προσωπικό.
• Τυχόν ρυθμίσεις VPN ή πιστοποιητικών που περιέχει η πολιτική.

Επίσης, προσθέτει μια άγνωστη συσκευή στο μητρώο σας, γεγονός που αλλοιώνει τις αναφορές και μπορεί να καταναλώσει άδειες χρήσης.

Αυτό που δεν κάνει το διακριτικό είναι να παρέχει πρόσβαση στην κονσόλα διαχείρισής σας, σε υπάρχουσες συσκευές ή στα δεδομένα τους. Είναι ένα κλειδί για την εξώπορτα της εγγραφής, όχι για το δωμάτιο ελέγχου. Αυτή η διάκριση έχει σημασία όταν εξηγείτε ένα περιστατικό στη διοίκηση. Η έκθεση περιορίζεται σε «ό,τι λαμβάνει οποιαδήποτε εγγεγραμμένη συσκευή σε αυτήν την πολιτική», συν τον κωδικό πρόσβασης Wi-Fi εάν υπήρχε εντός του κώδικα.

Ποιος μπορεί να τον δημιουργήσει και να τον εκτυπώσει

Αντιμετωπίστε τους κωδικούς εγγραφής όπως τα υπόλοιπα διαπιστευτήρια, με πρόσβαση ελάχιστων προνομίων (least privilege). Αναρωτηθείτε:

• Ποιοι διαχειριστές της κονσόλας έχουν τη δυνατότητα να δουν τον κωδικό εγγραφής μιας πολιτικής;
• Ποιος μπορεί να τον αναγεννήσει;
• Χρειάζονται οι περιφερειακοί διαχειριστές ή οι διαχειριστές τοποθεσιών κωδικούς για κάθε πολιτική ή μόνο για τις πολιτικές που χρησιμοποιούν οι εγκαταστάσεις τους;

Στο Nomid, οι διαχειριστές χωρίς δικαίωμα provisioning σε μια πολιτική δεν μπορούν να δουν τους κωδικούς εγγραφής της, και η αναγέννηση ενός κώδικα απαιτεί δικαίωμα επεξεργασίας της πολιτικής. Ο σχεδιασμός των ρόλων είναι επομένως ο πρώτος μηχανισμός ελέγχου. Εκχωρήστε στους υπεύθυνους καταστημάτων ή πεδίου δικαιώματα provisioning μόνο για τις πολιτικές στις οποίες πραγματοποιούν εγγραφές.

Πού καταλήγει

Μια διαρροή δεν χρειάζεται επιτιθέμενο. Συχνά ο κώδικας απλώς ταξιδεύει πιο μακριά από ό,τι προβλεπόταν. Συνήθεις διαδρομές:

• Φωτογραφίες. Ένας τεχνικός φωτογραφίζει τον κώδικα «για να τον έχει πρόχειρο», και αυτός καταλήγει σε αντίγραφο ασφαλείας στο cloud ή σε κοινόχρηστο άλμπουμ.
• Ομάδες συνομιλίας (chat groups). Ένας κώδικας που κοινοποιείται σε έναν συνάδελφο προωθείται σε μια περιφερειακή ομάδα και στη συνέχεια σε μια ομάδα προμηθευτών.
• Αφίσες και εκτυπώσεις. Κώδικες κολλημένοι σε τοίχους, αφημένοι σε χώρους προετοιμασίας ή αρχειοθετημένοι μαζί με έγγραφα αποστολής.
• Στιγμιότυπα οθόνης σε αιτήματα υποστήριξης (tickets) και τεκμηρίωση. Άρθρα help-desk, παρουσιάσεις και οδηγοί ένταξης προσωπικού που περιλαμβάνουν έναν ενεργό κώδικα.
• Προσκλήσεις μέσω email. Προωθούνται πέρα από τον προβλεπόμενο παραλήπτη.

Πρακτικές συνήθειες:

• Κοινοποιείτε κωδικούς σε συγκεκριμένα άτομα, όχι σε ομάδες, και προτιμάτε την προβολή του κώδικα σε πλήρη οθόνη σε φορητό υπολογιστή κατά τη διάρκεια μιας συνεδρίας προετοιμασίας αντί για τη διανομή χαρτιού. Κάθε άλλος τρόπος κοινοποίησης αφήνει πίσω του ένα αντίγραφο: στο Nomid, αυτό σημαίνει μια εικόνα που έχει ληφθεί, μια εκτύπωση, έναν αντιγραμμένο σύνδεσμο, ένα μήνυμα WhatsApp ή μια πρόσκληση μέσω email.
• Συλλέγετε και καταστρέφετε με καταστροφέα εγγράφων τα εκτυπωμένα αντίγραφα μετά από μια υλοποίηση.
• Χρησιμοποιείτε ενδεικτικές εικόνες (placeholders) στην τεκμηρίωση, ποτέ έναν ενεργό κώδικα.
• Διατηρείτε ένα σύντομο αρχείο καταγραφής των σημείων όπου έχει κοινοποιηθεί ο κώδικας κάθε πολιτικής, ώστε να γνωρίζετε το εύρος επιπτώσεων εάν χρειαστεί να τον αναγεννήσετε.

Λήξη

Τα διακριτικά εγγραφής έχουν περίοδο ισχύος. Μετά τη λήξη της, οι κώδικες και οι σύνδεσμοι που βασίζονται στο διακριτικό παύουν να εγγράφουν συσκευές. Αυτό περιορίζει το χρονικό διάστημα κατά το οποίο μια ξεχασμένη εκτύπωση παραμένει επικίνδυνη, αλλά εξηγεί επίσης γιατί ένας κώδικας που λειτουργούσε το προηγούμενο τρίμηνο μπορεί να αποτυγχάνει σήμερα. Το χρονικό διάστημα ισχύος ενός διακριτικού εξαρτάται από τον τρόπο έκδοσής του από την πλατφόρμα σας. Αντί να βασίζεστε σε εκτιμήσεις μνήμης, ελέγχετε την ημερομηνία λήξης που εμφανίζει η κονσόλα σας και προγραμματίζετε τις υλοποιήσεις βάσει αυτής. Η οθόνη εγγραφής του Nomid εμφανίζει τις ενδείξεις «Valid until <date>» και «Last regenerated» για το διακριτικό κάθε πολιτικής.

Η λήξη αποτελεί δικλείδα ασφαλείας, όχι υποκατάστατο της αναγέννησης. Εάν γνωρίζετε ότι ένας κώδικας έχει διαρρεύσει, μην περιμένετε να λήξει.

Ένας κώδικας που διέρρευσε: Αναγέννηση και τι συμβαίνει στη συνέχεια

Ας υποθέσουμε ότι ένας κώδικας προετοιμασίας δημοσιεύτηκε σε μια ομάδα συνομιλίας με εξωτερικούς συνεργάτες ή ότι μια αφίσα παρέμεινε σε έναν τοίχο μετά την ανακαίνιση ενός καταστήματος. Ακολουθήστε τα παρακάτω βήματα.

1. Αναγεννήστε το διακριτικό

Η αναγέννηση εκδίδει ένα νέο διακριτικό εγγραφής για την πολιτική και ακυρώνει το παλιό. Στο Nomid, η επιλογή «Regenerate QR code» στην οθόνη Enroll devices της πολιτικής απαιτεί δικαίωμα επεξεργασίας της πολιτικής. Ο διαχειριστής πρέπει να επιβεβαιώσει το μήνυμα «I understand that old QR codes and links stop working» προτού προχωρήσει η διαδικασία.

2. Κατανοήστε τι παύει να λειτουργεί

Επειδή κάθε κωδικός QR και σύνδεσμος εγγραφής μιας πολιτικής φέρει το ίδιο διακριτικό, η αναγέννηση τα επηρεάζει όλα ταυτόχρονα. Μετά την αναγέννηση στο Nomid:

• Κάθε κωδικός QR αυτής της πολιτικής παύει να λειτουργεί, συμπεριλαμβανομένων των εκτυπωμένων, των ληφθεισών εικόνων και των στιγμιότυπων οθόνης.
• Κάθε σύνδεσμος εγγραφής παύει να λειτουργεί, συμπεριλαμβανομένων των συνδέσμων που κοινοποιήθηκαν μέσω συνομιλίας ή αντιγράφηκαν σε έγγραφα.
• Κάθε πρόσκληση μέσω email για αυτήν την πολιτική παύει να λειτουργεί.

Αυτό είναι σκόπιμο, αλλά έχει επιχειρησιακό κόστος. Οποιαδήποτε εγκατάσταση διαθέτει μια νόμιμη εκτύπωση θα χρειαστεί τον νέο κώδικα. Ενημερώστε τις ομάδες πεδίου πριν από την αναγέννηση ή αμέσως μετά, και στείλτε τα νέα αντίγραφα μέσω ενός πιο περιορισμένου καναλιού από εκείνο στο οποίο σημειώθηκε η διαρροή.

3. Γιατί οι εγγεγραμμένες συσκευές συνεχίζουν να λειτουργούν

Οι διαχειριστές συχνά ανησυχούν ότι η αναγέννηση θα αποσυνδέσει τις υπάρχουσες συσκευές από τη διαχείριση. Αυτό δεν συμβαίνει. Κάθε συσκευή παρουσιάζει το διακριτικό εγγραφής μία φορά, τη στιγμή που εντάσσεται (το ίδιο διακριτικό μπορεί να δεχθεί και άλλες συσκευές μέχρι να λήξει ή να αναγεννηθεί). Μετά από αυτό, η συσκευή αποκτά τη δική της ταυτότητα και σχέση με την υπηρεσία διαχείρισης και δεν ανατρέχει ξανά στο διακριτικό. Η αναγέννηση αλλάζει την πρόσκληση, όχι την ιδιότητα μέλους. Στο Nomid, οι εγγεγραμμένες συσκευές δεν επηρεάζονται από την αναγέννηση.

4. Ελέγξτε για εξαρτήσεις zero-touch

Εάν μια διαμόρφωση zero-touch χρησιμοποιεί το διακριτικό της πολιτικής, η αναγέννηση θα διέκοπτε αθόρυβα τη λειτουργία κάθε μελλοντικής συσκευής zero-touch που έχει αντιστοιχιστεί σε αυτή τη διαμόρφωση. Το Nomid το αποτρέπει αυτό: η πύλη αρνείται να προχωρήσει σε αναγέννηση έως ότου η διαμόρφωση zero-touch ανακατευθυνθεί αλλού. Αναθέστε εκ νέου αυτή τη διαμόρφωση πρώτα και, στη συνέχεια, πραγματοποιήστε αναγέννηση.

5. Αποκατάσταση μετά τη διαρροή

Η αναγέννηση σταματά τις νέες εγγραφές. Δεν αναιρεί όσες έχουν ήδη πραγματοποιηθεί. Προχωρήστε στα εξής:

• Ελέγξτε τις συσκευές που εγγράφηκαν σε αυτήν την πολιτική από τη στιγμή που ενδέχεται να συνέβη η διαρροή, αναζητώντας ονόματα, μοντέλα ή τοποθεσίες που δεν αναγνωρίζετε.
• Καταργήστε ή διαγράψτε εξ αποστάσεως (wipe) οποιαδήποτε συσκευή δεν μπορείτε να επιβεβαιώσετε.
• Ανανεώστε τον κωδικό πρόσβασης Wi-Fi εάν ο κώδικας που διέρρευσε περιείχε κάποιον, επειδή η αναγέννηση του διακριτικού δεν προσφέρει καμία προστασία για έναν κωδικό πρόσβασης που έχει ήδη διαβαστεί.
• Επανεξετάστε τι διανέμει η πολιτική. Εάν παρέχει ευαίσθητες διαμορφώσεις, εξετάστε εάν αυτές θα έπρεπε να ανήκουν σε μια πιο περιορισμένη πολιτική.

Για τη διοίκηση, η συνοπτική ενημέρωση είναι: «Ανακαλέσαμε τον κώδικα, οι υπάρχουσες συσκευές δεν επηρεάστηκαν, ελέγξαμε για τυχόν συσκευές που δεν θα έπρεπε να βρίσκονται εκεί και αλλάξαμε τον κωδικό πρόσβασης του δικτύου».

QR έναντι Zero-Touch έναντι Knox Mobile Enrollment

Οι κωδικοί QR αποτελούν μία από τις πολλές μεθόδους εγγραφής, και καθεμία έχει τη θέση της. Το Android zero-touch enrollment συνδέει τις συσκευές με τον οργανισμό σας κατά την αγορά μέσω ενός συμμετέχοντος μεταπωλητή. Η συσκευή εγγράφεται μόνη της κατά την πρώτη εκκίνηση χωρίς καμία σάρωση και δεν υπάρχει εκτυπωμένος κώδικας που μπορεί να διαρρεύσει, αλλά προϋποθέτει την αγορά μέσω μεταπωλητή zero-touch. Το Samsung Knox Mobile Enrollment προσφέρει παρόμοια αυτόματη εγγραφή για συσκευές Samsung, με τις συσκευές να καταχωρούνται μέσω της πύλης της Samsung ή συμμετέχοντος μεταπωλητή. Η εγγραφή μέσω QR λειτουργεί σχεδόν σε οποιαδήποτε συσκευή Android 7+ που διαθέτετε ήδη, από οποιαδήποτε πηγή. Αυτό την καθιστά την πρακτική επιλογή για μεικτούς στόλους, επανεγγραφή μετά από επισκευή και μικρές παρτίδες, με τίμημα την ανάγκη προσεκτικής διαχείρισης του κώδικα. Ένας λογικός διαχωρισμός είναι το zero-touch ή το Knox για νέες αγορές και το QR για οτιδήποτε άλλο.

Αντιμετώπιση συνήθων προβλημάτων εγγραφής μέσω QR

«Enrollment token expired» ή «invalid token»

Το διακριτικό έχει ξεπεράσει την περίοδο ισχύος του ή έχει αναγεννηθεί, επομένως ο κώδικας δεν είναι πλέον έγκυρος. Αυτό είναι το πρώτο που πρέπει να υποψιαστείτε όταν αποτυγχάνει μια παλιά εκτύπωση ή ένα αποθηκευμένο στιγμιότυπο οθόνης. Λάβετε τον τρέχοντα κώδικα από την κονσόλα και ελέγξτε την ημερομηνία λήξης του. Εάν ο κώδικας έχει αναγεννηθεί πρόσφατα, τυχόν αντίγραφα που δημιουργήθηκαν πριν από αυτήν την ημερομηνία θα αποτύχουν βάσει σχεδιασμού.

Το πάτημα στην οθόνη υποδοχής δεν κάνει τίποτα

Βεβαιωθείτε ότι η συσκευή έχει επανέλθει πλήρως στις εργοστασιακές ρυθμίσεις και βρίσκεται στην πρώτη οθόνη υποδοχής, και πατήστε έξι φορές στο ίδιο σημείο. Ορισμένες παλαιότερες εκδόσεις Android χρειάζονται σύνδεση δικτύου για να κατεβάσουν πρώτα μια εφαρμογή ανάγνωσης QR. Εάν η συσκευή έχει ήδη προσπεράσει την οθόνη υποδοχής, η εγγραφή υπό εταιρική ιδιοκτησία απαιτεί νέα επαναφορά.

Η συσκευή σαρώνει τον κώδικα αλλά δεν μπορεί να συνδεθεί

Ελέγξτε ότι το δίκτυο εγκατάστασης βρίσκεται εντός εμβέλειας και ότι ο κωδικός πρόσβασής του δεν έχει αλλάξει από τη δημιουργία του κώδικα. Ελέγξτε επίσης ότι ο τύπος ασφάλειας υποστηρίζεται από το payload εγκατάστασης. Τα captive portals (οι σελίδες σύνδεσης που είναι συνήθεις σε δίκτυα επισκεπτών) εμποδίζουν το provisioning. Χρησιμοποιήστε ένα δίκτυο χωρίς captive portal.

Η συσκευή εγγράφηκε με λάθος λειτουργία

Η συσκευή σαρώθηκε με κώδικα που είχε δημιουργηθεί για διαφορετικό τύπο χρήσης ή πολιτική. Επειδή η λειτουργία ορίζεται κατά την εγγραφή, η λύση είναι να αφαιρέσετε τη συσκευή, να την επαναφέρετε στις εργοστασιακές ρυθμίσεις και να την εγγράψετε με τον σωστό κώδικα. Επισημαίνετε με σαφήνεια τους εκτυπωμένους κώδικες για να αποφύγετε επαναλήψεις του σφάλματος.

Η εγγραφή ολοκληρώνεται με επιτυχία αλλά λείπουν εφαρμογές

Η λήψη των εφαρμογών μπορεί να διαρκέσει κάποιο χρόνο μετά την εγγραφή, ιδιαίτερα σε αργά δίκτυα. Επιβεβαιώστε ότι η συσκευή διαθέτει σταθερή σύνδεση και ότι οι εφαρμογές έχουν ανατεθεί στην πολιτική. Σε συσκευές που διαχειρίζεται το Nomid, η εφαρμογή Nomid Settings περιλαμβάνει μια οθόνη Check-up, εφόσον η πολιτική εμφανίζει το αντίστοιχο κουμπί της. Ελέγχει ότι οι εφαρμογές του Nomid Store της πολιτικής είναι εγκατεστημένες, ότι η συσκευή μπορεί να επικοινωνήσει με το API του Nomid και τους διακομιστές απομακρυσμένης πρόσβασης, καθώς και ότι το Play Store, οι υπηρεσίες Google Play, οι υπηρεσίες τοποθεσίας και τα δικαιώματα του agent λειτουργούν σωστά. Οι αποτυχημένοι έλεγχοι προσφέρουν επιλογή διόρθωσης, και η εκτέλεση καταγράφεται στο ιστορικό εντολών της συσκευής.

Συνοψίζοντας

Ένας κωδικός QR του Android Enterprise είναι ένα αναγνώσιμο αρχείο διαμόρφωσης εκτυπωμένο ως εικόνα. Κατονομάζει την εφαρμογή διαχείρισης, περιέχει ένα διακριτικό εγγραφής που εισάγει συσκευές σε μια συγκεκριμένη πολιτική και μπορεί να περιλαμβάνει Wi-Fi εγκατάστασης με τον κωδικό πρόσβασής του σε απλό κείμενο. Γι' αυτό επιταχύνει την εγγραφή, και γι' αυτό απαιτεί την ίδια προσοχή με οποιοδήποτε διαπιστευτήριο.

Βασικά σημεία:

• Γνωρίζετε τι περιέχουν οι κωδικοί σας. Το διακριτικό εγγραφής και τυχόν κωδικός πρόσβασης Wi-Fi είναι τα ευαίσθητα μέρη.
• Επιλέξτε τη λειτουργία διαχείρισης (πλήρως διαχειριζόμενη, εταιρικής ιδιοκτησίας με προσωπική χρήση ή επαγγελματικό προφίλ) πριν από την εγγραφή. Η αλλαγή της αργότερα απαιτεί συνήθως επαναφορά.
• Συμπεριλάβετε το Wi-Fi στον κώδικα για να αποφύγετε την πληκτρολόγηση στην τοποθεσία, αλλά χρησιμοποιήστε ένα αποκλειστικό, διαχωρισμένο δίκτυο provisioning και μην αναρτάτε εφάπαξ κωδικούς που περιέχουν κωδικούς πρόσβασης.
• Περιορίστε το ποιος μπορεί να βλέπει και να αναγεννά κωδικούς, κοινοποιείτε τους σε συγκεκριμένα άτομα και όχι σε ομάδες, και συλλέγετε τις εκτυπώσεις μετά τις υλοποιήσεις.
• Παρακολουθείτε την ημερομηνία ισχύος του διακριτικού και μην περιμένετε τη λήξη μόλις αντιληφθείτε ότι ένας κώδικας έχει διαρρεύσει.
• Όταν διαρρέει ένας κώδικας: αναγεννήστε τον, επανεκδώστε κωδικούς μέσω ενός πιο περιορισμένου καναλιού, ελέγξτε για άγνωστες συσκευές και αλλάξτε τυχόν εκτεθειμένο κωδικό πρόσβασης Wi-Fi. Οι ήδη εγγεγραμμένες συσκευές συνεχίζουν να λειτουργούν.
• Χρησιμοποιήστε zero-touch ή Knox Mobile Enrollment όπου το υποστηρίζουν οι αγορές σας, και QR για οτιδήποτε άλλο.

Επόμενα βήματα: καταγράψτε κάθε κωδικό εγγραφής που βρίσκεται αυτή τη στιγμή σε κυκλοφορία: εκτυπώσεις, στιγμιότυπα οθόνης, μηνύματα συνομιλίας και τεκμηρίωση. Για καθέναν από αυτούς, σημειώστε την πολιτική στην οποία ανήκει και αν περιέχει κωδικό πρόσβασης Wi-Fi. Στη συνέχεια, αποφασίστε ποιους κωδικούς θα αναγεννήσετε άμεσα και ποιους θα αφήσετε μέχρι να λήξουν.

Εάν αξιολογείτε πλατφόρμες, το Nomid MDM παρέχει αυτούς τους μηχανισμούς ελέγχου στην οθόνη Enroll devices κάθε πολιτικής:

• Έναν κωδικό QR ανά πολιτική, δομημένο από τις αποθηκευμένες προεπιλογές της πολιτικής (τύπος χρήσης, ζώνη ώρας, δίκτυο Wi-Fi πολιτικής και επιλογές provisioning).
• Μια σαφώς επισημασμένη εφάπαξ επιλογή για διαφορετικό δίκτυο Wi-Fi.
• Συνδέσμους επαγγελματικού προφίλ για προσωπικές συσκευές, όπου το επιτρέπει η πολιτική.
• Εμφανείς πληροφορίες «Valid until» και «Last regenerated».
• Μια ενέργεια αναγέννησης που απαιτεί επιβεβαίωση και ελέγχει πρώτα τις εξαρτήσεις zero-touch.

Το zero-touch, το Knox Mobile Enrollment και το ίδιο το διακριτικό εγγραφής προσφέρονται ως εναλλακτικές διαδρομές. Ένα δωρεάν πρόγραμμα καλύπτει έως και 10 συσκευές χωρίς χρονικό περιορισμό, αριθμός επαρκής για να δοκιμάσετε τη διαδικασία εγγραφής και τη διαχείριση κωδικών πριν από μια ευρύτερη υλοποίηση.