Hierdie Wi-Fi-sertifikaatboodskap is nie ’n nuwe wortelsertifiseringsowerheid nie

Die dialoog verskyn terwyl jy by ’n kampus- of kantoornetwerk aansluit, dit noem ’n sertifikaat en bied ’n knoppie met die woorde vertrou of gaan voort. Agter daardie knoppie skuil twee baie verskillende veranderinge. Die een leer die Wi-Fi-kliënt watter verifikasiebediener om vir hierdie een netwerk te aanvaar. Die ander installeer ’n sertifiseringsowerheid wat ander toepassings daarna kan gebruik. Die bewoording op die skerm is die enigste leidraad wat jy kry, so lees dit voordat jy tik.

Stap 1: lees wat die dialoog eintlik vra

Kyk na drie dinge: die bedienernaam wat gewys word, die uitreiker wat genoem word en of die aksie beskryf word as om ’n bediener vir hierdie verbinding te vertrou of as om ’n sertifikaat op die toestel te installeer. Dit is verskillende objekte, en ’n opdrag wat nie sê watter een jy goedkeur nie, verdien ’n pouse.

Moenie een van die twee weergawes goedkeur net omdat die netwerknaam bekend lyk nie. SSID's word gekies deur wie die toegangspunt bedryf, en die naam op die captive-portaal is geen bewys oor die verifikasiebediener daaragter nie. Enigiemand met ’n toegangspunt kan ’n oortuigende SSID uitsaai. Dit is juis hoekom die sertifikaatkontrole bestaan.

Wat ’n 802.1X-bedienergesertifikaat bewys

In ’n 802.1X-ontplooiing met sertifikate valideer die toestel se supplicant die verifikasiebediener tydens onderhandeling. Apple se 802.1X-ontplooiingsgids beskryf dat die RADIUS-bediener sy sertifikaat voorlê en dat die vertrouensbesluit by daardie diens pas.

Daardie laaste deel is die hele punt. ’n Sertifikaat wat deur ’n bekende sertifiseringsowerheid uitgereik is, bewys dat die uitreiker dit onderteken het, nie dat hierdie spesifieke bediener aan die instelling behoort waarby jy dink jy aangesluit het nie. Doelgerigte vertroue bestaan juis omdat die tweede vraag die een is wat saak maak.

Ondersteunde konfigurasies kan vertroue beperk tot geselekteerde bedienersertifikate of verwagte bedienername. Daarom deel instellings ’n geverifieerde Wi-Fi-profiel in plaas daarvan om gebruikers te sê om die eerste sertifikaat wat verskyn te aanvaar, en daarom is ’n opdrag sonder ’n verwagte naam ’n swak plek om die besluit te neem.

Stap 2: kyk of ’n breër owerheid geïnstalleer is

’n Sertifiseringsowerheid wat ’n blaaier of die bedryfstelsel vertrou, reik baie verder as ’n Wi-Fi-bedienergesertifikaat wat vir een netwerk aanvaar is. Identifiseer die objek, die stoor waarin dit beland het, die doel waarvoor dit toegelaat word en watter toepassings daardie stoor raadpleeg.

’n Konfigurasiepakket kan verskeie instellings tegelyk bevat, so ondersoek die inhoud eerder as om die Wi-Fi-etiket op die installeerder te vertrou. Die etiket beskryf die opdrag, nie noodwendig alles wat die vrag doen nie.

Selfs ’n breë wortel bewys nie dat elke HTTPS-sessie ondersoek word nie. Ondersoek vereis ’n gepaste verkeersroete en ’n bedienersertifikaat wat die toepassing volgens sy werklike valideringsbeleid aanvaar, en toepassings kan verskillende vertrouensstore met bykomende kontroles gebruik.

Stap 3: hou die VPN buite die vertrouensbesluit

’n VPN beskerm die roete wat dit dek nadat die toestel die VPN-eweknie bereik. Dit verwyder nie ’n geïnstalleerde wortel nie, verander nie ’n toepassing se vertrouensbesluite nie en verifieer nie namens jou ’n onverwagte Wi-Fi-verifikasiebediener nie.

Vra die administrateur oor netwerkverifikasie, toestelbestuur en gemagtigde TLS-ondersoek as drie afsonderlike vrae. Dit is nie drie name vir dieselfde sertifikaatfunksie nie, en ’n ondersteuningsantwoord wat hulle saamsmelt, sal jou nie sê watter verandering jy goedgekeur het nie.

Stap 4: los die wanverhouding op sonder om alles te breek

Skryf die nie-geheime besonderhede uit die opdrag neer: die bedienernaam, die uitreiker en die vingerafdruk as dit gewys word. Vergelyk dit met die waardes wat die instelling vir sy eie netwerk publiseer, en hanteer ’n wanverhouding as ’n vraag vir die eienaar van die konfigurasie, nie as iets om weg te klik nie.

Gaan die geïnstalleerde konfigurasie na deur die platform se ondersteunde instellings, sodat jy weet wat werklik van krag is. Om alle sertifikate op die toestel te skrap breek onverwante toegang, en om ’n onbekende vervanging te aanvaar verswak die identiteitskontrole wat jy wou behou. Korrigeer die spesifieke wanverhouding en laat die res van die vertrouensstoor met rus.