Този Wi-Fi сертификатен диалог не е нов коренов сертификационен орган

Диалогът се появява, докато се присъединявате към университетска или офис мрежа, споменава сертификат и предлага бутон с надпис довери или продължи. Зад този бутон се крият две много различни промени. Едната учи Wi-Fi клиента кой сървър за удостоверяване да приеме за тази една мрежа. Другата инсталира сертификационен орган, който други приложения после могат да използват. Текстът на екрана е единствената следа, която получавате, затова го прочетете, преди да докоснете.

Стъпка 1: прочетете какво всъщност иска диалогът

Търсете три неща: показаното име на сървъра, посочения издател и дали действието е описано като доверие на сървър за тази връзка или като инсталиране на сертификат на устройството. Това са различни обекти и подкана, която не казва кое от тях одобрявате, заслужава пауза.

Не одобрявайте нито една от версиите само защото името на мрежата изглежда познато. SSID се избира от този, който управлява точката за достъп, а името на captive портала не е доказателство за сървъра за удостоверяване зад него. Всеки с точка за достъп може да излъчва убедителен SSID. Точно затова проверката на сертификата съществува.

Какво доказва сертификат на сървър 802.1X

При внедряване на 802.1X със сертификати supplicant на устройството проверява сървъра за удостоверяване по време на преговорите. Ръководството на Apple за внедряване на 802.1X описва RADIUS сървъра, който представя своя сертификат, и решението за доверие, което принадлежи на тази услуга.

Последната част е целият смисъл. Сертификат, издаден от известен сертификационен орган, доказва, че издателят го е подписал, а не че този конкретен сървър принадлежи на институцията, към която смятате, че сте се присъединили. Доверието, ограничено до предназначение, съществува именно защото вторият въпрос е този, който има значение.

Поддържаните конфигурации могат да ограничат доверието до избрани сертификати на сървъра или очаквани имена на сървъра. Затова институциите разпространяват проверен Wi-Fi профил, вместо да казват на потребителите да приемат първия появил се сертификат, и затова подкана без очаквано име е лошо място за вземане на решението.

Стъпка 2: проверете дали е инсталиран по-широк орган

Сертификационен орган, на който вярва браузър или операционната система, стига много по-далеч от сертификат на Wi-Fi сървър, приет за една мрежа. Определете обекта, хранилището, в което е влязъл, предназначението, за което е разрешен, и кои приложения се обръщат към това хранилище.

Конфигурационен пакет може да съдържа няколко настройки наведнъж, затова прегледайте съдържанието, вместо да вярвате на Wi-Fi етикета на инсталатора. Етикетът описва задачата, не непременно всичко, което прави полезният товар.

Дори широк корен не доказва, че всяка HTTPS сесия се проверява. Проверката изисква подходящ път на трафика и сертификат на сървъра, който приложението приема според реалната си политика за валидиране, а приложенията могат да използват различни хранилища за доверие с допълнителни проверки.

Стъпка 3: дръжте VPN извън решението за доверие

VPN защитава пътя, който покрива, след като устройството достигне партньора на VPN. Той не премахва инсталиран корен, не променя решенията за доверие на приложението и не проверява вместо вас неочакван Wi-Fi сървър за удостоверяване.

Питайте администратора за мрежово удостоверяване, управление на устройства и разрешена TLS проверка като три отделни въпроса. Това не са три имена на една и съща сертификатна функция и отговор от поддръжката, който ги слива, няма да ви каже коя промяна сте одобрили.

Стъпка 4: решете несъответствието, без да разбивате всичко

Запишете не-тайните данни от подканата: името на сървъра, издателя и отпечатъка, ако е показан. Сравнете ги със стойностите, които институцията публикува за собствената си мрежа, и третирайте несъответствието като въпрос към собственика на конфигурацията, а не като нещо за прескачане с клик.

Прегледайте инсталираната конфигурация през поддържаните настройки на платформата, за да знаете какво наистина е в сила. Изтриването на всички сертификати на устройството разваля несвързан достъп, а приемането на неизвестна замяна отслабва проверката на идентичността, която сте искали да запазите. Коригирайте конкретното несъответствие и оставете останалата част от хранилището за доверие на мира.