工作原因必须连接公司 wifi，要求安装根证书

[moonfarmer]

第一个，公司的一些工作比如 oa, 订餐，流程处理需要连接公司 wifi，当第一次接入时提示安装根证书。无法拒绝
第二个，公司为方便员工出差联网，为手机提供了 v pn,安装的 app 是企业应用，不在 appstore 下载，而是提供信任的描述文件。

手机为 iphone12 未越狱，想请教大牛：

1 第一个植入的根证书，是不是只有在连接公司 wifi 时才有可能解密手机流量？不联网使用 sim 卡 5g 就没有问题吧？根证书不能实时监控其他操作吧？比如手机截图？
2 v pn 只要不起用连接，也无法监控手机流量吧？

[jinhan13789991]

买个备用机放公司用

[Xushet]

这不简单搞个备用机不就得了

[thtznet]

你们公司都要求证书签名了，安全性要求这么高了，怎么会允许企业数据跑在个人手机上？这不是 2 相矛盾么？

[xuboying]

做全套 的公司一般能提供 phone 和 sim

[tankren]

这种公司不是一般配手机？

[FS1P7dJz]

两套手机咯

我连工作手机的 apple id 都不是一个

[gps949]

其实根本不用考虑那么复杂。只问自己两个问题就行：
1 、自己公司规模大不大，是几十几百人的小公司，还是成千上万人的大公司。
2 、大多数同事是按公司要求连 wifi 、vpn 了，还是不连想别的办法进行工作。

问这些的目的其实就一个，不管技术手段能不能监控操纵，总归还是需要投入人去做的，如果是上万人的公司且大多数同事都这么连这么用的，那他想全部实时监控投入的成本就过高而不会搞了（不过不排除要是有矛盾了会查库翻旧账）。
如果是个几十几百人的巴掌大点的公司还这么搞，除非你们做的工作就是涉及国家秘密的，否则就别折腾了

[Lemeng]

要求公司提供手机，哪有自己手机弄这些的，实在不行，我会安在备用机上

[Hardrain]

安装了根证书后,任何拥有这个证书对应的私钥者都可以监听你的 TLS 通讯.
除非客户端的应用有某些反制机制, 如 HPKP 或 App 自行实现的公钥固定.

解决:要求公司提供工作专用手机

[mahone3297]

证书有这么大权限？这个从技术上是如何理解的？不是应该安装 app 风险更大？向大家请教。

[whasyt]

@pupboss #25 求教这个怎么看？

[pupboss]

@whasyt 在关于本机里面的证书

[Tumblr]

@pupboss #52 说错了吧？应该是在设置 -> 通用 -> 配置文件和设备管理里面，关于本机里只是信任。

[efaun]

@justrand #36 公司 wifi 都需要账号登录，换马甲没用

[shutongxinq]

公司想在公司的手机上怎么折腾你就不要管了。