Гэта паведамленне пра сертыфікат Wi-Fi не з’яўляецца новым каранёвым цэнтрам сертыфікацыі

Дыялог з’яўляецца, калі вы далучаецеся да ўніверсітэцкай або офіснай сеткі, згадвае сертыфікат і прапануе кнопку з надпісам давяраць або працягнуць. За гэтай кнопкай хаваюцца два вельмі розныя змяненні. Адно вучыць кліент Wi-Fi, які сервер аўтэнтыфікацыі прымаць для гэтай адной сеткі. Другое ўсталёўвае цэнтр сертыфікацыі, які іншыя праграмы потым могуць выкарыстоўваць. Тэкст на экране — адзіная падказка, якую вы атрымліваеце, таму прачытайце яго, перш чым дакрануцца.

Крок 1: прачытайце, што насамрэч запытвае дыялог

Шукайце тры рэчы: паказанае імя сервера, названага выдаўца і ці дзеянне апісана як давер серверу для гэтага злучэння ці як усталяванне сертыфіката на прыладзе. Гэта розныя аб’екты, і падказка, якая не кажа, які з іх вы ўхваляеце, вартая паўзы.

Не ўхваляйце ніводны варыянт толькі таму, што назва сеткі здаецца знаёмай. SSID выбірае той, хто кіруе пунктам доступу, а назва на captive партале не з’яўляецца доказам пра сервер аўтэнтыфікацыі за ім. Любы з пунктам доступу можа трансляваць пераканаўчы SSID. Менавіта таму праверка сертыфіката і існуе.

Што даказвае сертыфікат сервера 802.1X

У разгортванні 802.1X з сертыфікатамі supplicant прылады падчас перамоваў правярае сервер аўтэнтыфікацыі. Дапаможнік Apple па разгортванні 802.1X апісвае сервер RADIUS, які прадстаўляе свой сертыфікат, і рашэнне пра давер, што належыць гэтай службе.

Апошняя частка — гэта ўвесь сэнс. Сертыфікат, выдадзены вядомым цэнтрам сертыфікацыі, даказвае, што выдавец яго падпісаў, а не тое, што гэты канкрэтны сервер належыць установе, да якой вы, як вам здаецца, далучыліся. Давер, абмежаваны прызначэннем, існуе менавіта таму, што другое пытанне і ёсць важнае.

Падтрымліваныя канфігурацыі могуць абмяжоўваць давер выбранымі сертыфікатамі сервера або чаканымі імёнамі сервера. Таму ўстановы распаўсюджваюць правераны профіль Wi-Fi замест таго, каб казаць карыстальнікам прымаць першы-лепшы сертыфікат, і таму падказка без чаканага імя — дрэннае месца для такога рашэння.

Крок 2: праверце, ці не ўсталяваны шырэйшы цэнтр

Цэнтр сертыфікацыі, якому давярае браўзер або аперацыйная сістэма, сягае значна далей, чым сертыфікат сервера Wi-Fi, прыняты для адной сеткі. Вызначце аб’ект, сховішча, у якое ён трапіў, прызначэнне, для якога ён дазволены, і якія праграмы звяртаюцца да гэтага сховішча.

Пакет канфігурацыі можа змяшчаць некалькі налад адначасова, таму прагледзьце змесціва, а не давярайце Wi-Fi этыкетцы ўсталёўшчыка. Этыкетка апісвае задачу, не абавязкова ўсё, што робіць змесціва.

Нават шырокі корань не даказвае, што кожная сесія HTTPS правяраецца. Праверка патрабуе адпаведнага шляху трафіку і сертыфіката сервера, які праграма прымае паводле сваёй рэальнай палітыкі валідацыі, а праграмы могуць выкарыстоўваць розныя сховішчы даверу з дадатковымі праверкамі.

Крок 3: трымайце VPN па-за рашэннем пра давер

VPN абараняе свой ахоплены шлях пасля таго, як прылада дасягае партнёра VPN. Ён не выдаляе ўсталяваны корань, не змяняе рашэнні праграмы пра давер і не правярае за вас нечаканы сервер аўтэнтыфікацыі Wi-Fi.

Спытайце адміністратара пра сеткавую аўтэнтыфікацыю, кіраванне прыладамі і дазволеную праверку TLS як тры асобныя пытанні. Гэта не тры назвы адной і той жа функцыі сертыфіката, і адказ падтрымкі, які іх злівае, не скажа вам, якое змяненне вы ўхвалілі.

Крок 4: ухіліце неадпаведнасць, не зламаўшы ўсё

Запішыце не-сакрэтныя даныя з падказкі: імя сервера, выдаўца і адбітак, калі ён паказаны. Параўнайце іх са значэннямі, якія ўстанова публікуе для сваёй сеткі, і неадпаведнасць успрымайце як пытанне да ўладальніка канфігурацыі, а не як тое, што трэба праклікаць.

Прагледзьце ўсталяваную канфігурацыю праз падтрымліваныя налады платформы, каб ведаць, што насамрэч дзейнічае. Выдаленне ўсіх сертыфікатаў на прыладзе ламае незвязаны доступ, а прыняцце невядомай замены паслабляе праверку асобы, якую вы хацелі захаваць. Выпраўце канкрэтную неадпаведнасць і пакіньце астатняе сховішча даверу ў спакоі.