رسالة شهادة Wi-Fi هذه ليست سلطة جذر جديدة

يظهر مربع الحوار أثناء انضمامك إلى شبكة حرم جامعي أو مكتب، ويذكر شهادة ويعرض زرًا مكتوبًا عليه ثق أو تابع. خلف ذلك الزر تغييران مختلفان تمامًا. أحدهما يعلّم عميل Wi-Fi أي خادم مصادقة يقبل لهذه الشبكة الواحدة. والآخر يثبّت سلطة شهادة قد تستخدمها تطبيقات أخرى بعد ذلك. الصياغة على الشاشة هي الدليل الوحيد الذي تحصل عليه، لذا اقرأها قبل أن تنقر.

الخطوة 1: اقرأ ما يطلبه مربع الحوار فعليًا

ابحث عن ثلاثة أشياء: اسم الخادم المعروض، والجهة المصدرة المذكورة، وما إذا كان الإجراء موصوفًا بالثقة بخادم لهذا الاتصال أو بتثبيت شهادة على الجهاز. هذه كائنات مختلفة، والمطالبة التي لا تخبرك أيها توافق عليه تستحق التوقف.

لا توافق على أي من النسختين لمجرد أن اسم الشبكة يبدو مألوفًا. يختار SSID من يدير نقطة الوصول، والاسم على بوابة captive ليس دليلًا على خادم المصادقة الذي يقف خلفها. يمكن لأي شخص لديه نقطة وصول بث SSID مقنع. لهذا السبب يوجد فحص الشهادة أصلًا.

ما الذي تثبته شهادة خادم 802.1X

في نشر 802.1X يستخدم الشهادات، يتحقق supplicant الجهاز من خادم المصادقة أثناء التفاوض. يصف دليل Apple لنشر 802.1X خادم RADIUS وهو يقدم شهادته وقرار الثقة المناسب لتلك الخدمة.

هذا الجزء الأخير هو بيت القصيد. الشهادة الصادرة عن سلطة شهادة معروفة تثبت أن الجهة المصدرة وقعتها، لا أن هذا الخادم بعينه يتبع المؤسسة التي تعتقد أنك انضممت إليها. الثقة المحدودة بالغرض موجودة تحديدًا لأن السؤال الثاني هو المهم.

يمكن للتكوينات المدعومة تقييد الثقة بشهادات خادم مختارة أو بأسماء خادم متوقعة. لهذا توزع المؤسسات ملف تعريف Wi-Fi موثّقًا بدلًا من إخبار المستخدمين بقبول أول شهادة تظهر، ولهذا فإن مطالبة بلا اسم متوقع مكان سيئ لاتخاذ القرار.

الخطوة 2: تحقق مما إذا كانت سلطة أوسع قد وصلت

سلطة الشهادة التي يثق بها متصفح أو نظام التشغيل تصل إلى أبعد بكثير من شهادة خادم Wi-Fi مقبولة لشبكة واحدة. حدّد الكائن، والمخزن الذي دخل إليه، والغرض المسموح به، ثم أي التطبيقات تستشير ذلك المخزن.

قد تحتوي حزمة تكوين على عدة إعدادات في وقت واحد، لذا افحص المحتوى بدلًا من الوثوق بملصق Wi-Fi على المثبّت. يصف الملصق المهمة، وليس بالضرورة كل ما تفعله الحمولة.

حتى الجذر الواسع لا يثبت أن كل جلسة HTTPS يجري فحصها. يحتاج الفحص إلى مسار مرور مناسب وشهادة خادم يقبلها التطبيق وفق سياسة التحقق الحقيقية لديه، ويمكن للتطبيقات أن تستخدم مخازن ثقة مختلفة مع فحوص إضافية.

الخطوة 3: أبقِ VPN خارج قرار الثقة

يحمي VPN المسار الذي يغطيه بعد أن يصل الجهاز إلى نظير VPN. وهو لا يزيل جذرًا مثبتًا، ولا يغيّر قرارات الثقة لتطبيق، ولا يتحقق نيابة عنك من خادم مصادقة Wi-Fi غير متوقع.

اسأل المسؤول عن مصادقة الشبكة وإدارة الأجهزة وفحص TLS المصرح به كثلاثة أسئلة منفصلة. هذه ليست ثلاثة أسماء لميزة شهادة واحدة، وإجابة الدعم التي تدمجها لن تخبرك أي تغيير وافقت عليه.

الخطوة 4: حل عدم التطابق دون كسر كل شيء

سجّل التفاصيل غير السرية من المطالبة: اسم الخادم، والجهة المصدرة، والبصمة إن ظهرت. قارنها بالقيم التي تنشرها المؤسسة لشبكتها، وتعامل مع عدم التطابق كسؤال لمالك التكوين، لا كشيء يُتجاوز بالنقر.

راجع التكوين المثبت عبر الإعدادات المدعومة للمنصة لتعرف ما هو سارٍ فعلًا. حذف كل الشهادات على الجهاز يكسر وصولًا غير ذي صلة، وقبول بديل غير معروف يضعف فحص الهوية الذي أردت الحفاظ عليه. صحح عدم التطابق المحدد واترك بقية مخزن الثقة وشأنها.