Aquest avís de certificat Wi-Fi no és una nova AC arrel

El diàleg apareix mentre t’uneixes a una xarxa de campus o d’oficina, esmenta un certificat i ofereix un botó que diu confia o continua. Darrere d’aquest botó s’amaguen dos canvis molt diferents. Un ensenya al client Wi-Fi quin servidor d’autenticació acceptar per a aquesta única xarxa. L’altre instal·la una autoritat de certificació que altres aplicacions podran fer servir després. El text a la pantalla és l’únic indici que tens, així que llegeix-lo abans de tocar.

Pas 1: llegeix què demana realment el diàleg

Busca tres coses: el nom del servidor mostrat, l’emissor indicat i si l’acció es descriu com a confiar en un servidor per a aquesta connexió o com a instal·lar un certificat al dispositiu. Són objectes diferents, i un avís que no et diu quin estàs aprovant mereix una pausa.

No aprovis cap de les dues versions només perquè el nom de la xarxa et sembli familiar. Els SSID els tria qui opera el punt d’accés, i el nom del portal captiu no és cap prova sobre el servidor d’autenticació que hi ha darrere. Qualsevol que tingui un punt d’accés pot emetre un SSID convincent. És precisament per això que existeix la comprovació del certificat.

Què demostra un certificat de servidor 802.1X

En un desplegament 802.1X amb certificats, el suplicant del dispositiu valida el servidor d’autenticació durant la negociació. La guia de desplegament 802.1X d’Apple descriu el servidor RADIUS presentant el seu certificat i la decisió de confiança adequada per a aquest servei.

Aquesta darrera part és tot l’assumpte. Un certificat emès per una AC coneguda demostra que l’emissor el va signar, no que aquest servidor concret pertanyi a la institució a la qual creus que t’has unit. La confiança limitada a un propòsit existeix justament perquè la segona pregunta és la que importa.

Les configuracions compatibles poden restringir la confiança a certificats de servidor seleccionats o a noms de servidor esperats. Per això les institucions distribueixen un perfil Wi-Fi verificat en lloc de dir als usuaris que acceptin el primer certificat que aparegui, i per això un avís sense nom esperat és un mal lloc per prendre la decisió.

Pas 2: comprova si s’hi ha instal·lat una autoritat més àmplia

Una AC en què confia un navegador o el sistema operatiu arriba molt més lluny que un certificat de servidor Wi-Fi acceptat per a una xarxa. Identifica l’objecte, el magatzem on va entrar, la finalitat per a la qual està permès i quines aplicacions consulten aquest magatzem.

Un paquet de configuració pot contenir diverses opcions alhora, així que inspecciona el contingut en lloc de confiar en l’etiqueta Wi-Fi de l’instal·lador. L’etiqueta descriu l’encàrrec, no necessàriament tot el que fa la càrrega útil.

Ni una arrel àmplia demostra que cada sessió HTTPS s’estigui inspeccionant. La inspecció necessita un camí de trànsit adequat i un certificat de servidor que l’aplicació accepti segons la seva política real de validació, i les aplicacions poden fer servir magatzems de confiança diferents amb comprovacions addicionals.

Pas 3: mantén la VPN fora de la decisió de confiança

Una VPN protegeix el tram que cobreix després que el dispositiu arribi al parell VPN. No elimina una arrel instal·lada, no canvia les decisions de confiança d’una aplicació i no verifica en nom teu un servidor d’autenticació Wi-Fi inesperat.

Pregunta a l’administrador per l’autenticació de xarxa, la gestió de dispositius i la inspecció TLS autoritzada com a tres preguntes separades. No són tres noms de la mateixa funció de certificat, i una resposta de suport que les fusioni no et dirà quina modificació has aprovat.

Pas 4: resol la discrepància sense trencar-ho tot

Anota les dades no secretes de l’avís: el nom del servidor, l’emissor i l’empremta si es mostra. Compara-les amb els valors que la institució publica per a la seva pròpia xarxa, i tracta una discrepància com una pregunta per al propietari de la configuració, no com una cosa per clicar i passar.

Revisa la configuració instal·lada mitjançant els ajustos compatibles de la plataforma per saber què està realment en vigor. Esborrar tots els certificats del dispositiu trenca accessos no relacionats, i acceptar una substitució desconeguda debilita la comprovació d’identitat que volies mantenir. Corregeix la discrepància concreta i deixa la resta del magatzem de confiança en pau.