iOS MDM的.mobileconfig配置文件是否可公开？相关安全问题咨询

你提供的示例MDM profile.mobileconfig文件内容如下：

<plist version="1.0">
<dict>
<key>PayloadContent</key>
<array>
    <dict>
        <key>AccessRights</key>
        <integer>8191</integer>
        <key>CheckInURL</key>
        <string> [my url] </string>
        <key>CheckOutWhenRemoved</key>
        <true/>
        <key>PayloadDescription</key>
        <string>Configures Mobile Device Management</string>
        <key>PayloadDisplayName</key>
        <string>Mobile Device Management</string>
        <key>PayloadIdentifier</key>
        <string>com.mytests.mdm</string>
        <key>PayloadOrganization</key>
        <string> [my organisation] </string>
        <key>PayloadType</key>
        <string>com.apple.mdm</string>
        <key>PayloadUUID</key>
        <string> [my payload] </string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>ServerURL</key>
        <string> [my url] </string>
        <key>SignMessage</key>
        <true/>
        <key>Topic</key>
        <string>com.novabase.mdm.pushcert</string>
        <key>UseDevelopmentAPNS</key>
        <true/>
    </dict>
</array>
<key>PayloadDescription</key>
<string>Profile description.</string>
<key>PayloadDisplayName</key>
<string>MDM test</string>
<key>PayloadIdentifier</key>
<string>com.mytests.mdm</string>
<key>PayloadOrganization</key>
<string> [my organisation] </string>
<key>PayloadRemovalDisallowed</key>
<false/>
<key>PayloadType</key>
<string>Configuration</string>
<key>PayloadUUID</key>
<string>11-22-33-44</string>
<key>PayloadVersion</key>
<integer>1</integer>
<key>Password</key>
<string>123456</string>
<key>PayloadCertificateFileName</key>
<string>mdmkey.p12</string>
<key>PayloadContent</key>
<data>MY SIGNING KEY HERE
</data>
<key>PayloadDescription</key>
<string>Adds a PKCS-12 certificate</string>
<key>PayloadDisplayName</key>
<string>mdmkey.p12</string>
</dict>
</plist>

首先明确：你提供的包含p12签名密钥、证书密码、MDM服务地址的配置文件属于高度敏感文件，绝对不可以公开。 #

1. 保障文件私密性与安全性的可行措施 #

• 本地存储时将文件放在加密文件夹/加密磁盘分区中，仅给需要使用的管理员账号开放读取权限，不要存放在公共电脑、公共云盘、公开代码仓库中
• 对外交流需要贴配置示例时，必须完整替换/删除四类信息：Password字段的明文密码、PayloadContent里的p12证书内容、ServerURL/CheckInURL等内部服务地址、PayloadUUID等唯一标识
• 配置文件分发只能走定向的MDM设备注册流程，不要把文件放在公开下载链接、公开聊天群组里传播
• 定期轮换配置文件对应的p12证书和密码，降低长期泄露的风险

2. 文件被黑客获取后的风险 #

你配置的AccessRights值为8191，代表该MDM拥有苹果设备的最高控制权限，文件泄露后会产生以下风险：

• 黑客可以通过你明文存储的密码直接导出p12证书里的APNs推送私钥，伪造你的MDM服务端向所有已接入该MDM的苹果设备下发恶意指令
• 可以远程锁死设备、批量抹除所有设备数据、静默安装恶意软件、读取设备所有隐私数据（通讯录、相册、定位、聊天记录等）、修改设备安全限制
• 可以拿到你的MDM服务地址，针对性攻击你的MDM服务后台，窃取所有托管设备的管理权限和数据
• 可以伪造你的MDM配置诱导普通用户安装，实现对受害者设备的完全控制

3. 文件泄露后的应急处理步骤 #

• 第一时间到苹果开发者后台吊销该配置对应的MDM推送证书，生成新的p12证书和复杂密码，重新制作MDM配置文件
• 排查MDM服务的访问日志，确认是否有未知IP发起异常请求、是否有异常的配置下发记录，如有异常立刻暂停MDM服务的下发功能
• 通知所有安装了旧配置的用户立刻删除原有MDM配置，引导安装新的合法配置
• 如果已经有设备被恶意控制，指导用户备份个人数据后抹除设备恢复出厂设置，避免残留恶意配置
• 修改MDM服务所有管理员账号的密码，强制开启二次验证，全面排查服务端是否存在被入侵的痕迹

内容的提问来源于stack exchange，提问作者Hacker621