Oddělte přihlášení na Wi-Fi portál od přihlášení k VPN
Dva různé systémy po vás chtějí přihlášení: Wi-Fi místa a vaše VPN brána. Na obrazovce vypadají stejně, ale opravňují k něčemu úplně jinému. U každého okna se ptejte: kdo tenhle údaj skutečně může ověřit?
Dva různé systémy po vás chtějí přihlášení, než se na veřejné síti dostanete k něčemu užitečnému: Wi-Fi místa a vaše VPN brána. Na obrazovce vypadají stejně a opravňují k úplně jiným věcem. Portál rozhoduje, zda toto zařízení smí používat místní síť; VPN rozhoduje, zda se smíte dostat do soukromé sítě jinde. Držím je od sebe tak, že se u každého okna ptám na jednu věc: kdo tenhle údaj skutečně může ověřit? Následuje kontrolní seznam, který procházím v hotelech, na letištích a na konferencích, včetně míst, kde přestávám psát.
Přiřaďte každé přihlášení ke službě, která ho ověřuje
Jediné hotelové připojení může zahrnovat čtyři samostatné kontroly a jen některé chtějí váš vstup. Nejprve je seřaďte, protože obrazovka málokdy řekne, do které fáze patří.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Sítě 802.1X, běžné v kancelářích a na univerzitách, rozmazávají první dva řádky. Přihlášení k Wi-Fi je tam samo kontrolou identity vůči serveru RADIUS a klient může předložit směrovací identitu, zatímco skutečný účet cestuje uvnitř šifrované výměny. I tehdy jde o připojení k síti; tunel neopravňuje a VPN brána to nepřijímá jako důkaz čehokoli.
Pořadí je důležitější než označení. Captive portály existují proto, že přístup lze udělit až po přidružení, a proto může místo předat stránku specializovanému poskytovateli. RFC 8952 IETF pohlíží na portál jako na vlastní komponentu, takže neznámá doména je důvod k ověření, ne sama o sobě důkaz podvodu. Porovnejte doménu s písemnými pokyny místa a pole s tabulkou.
Ověřte, co portál smí chtít
Pole portálu se týkají nároku, ne identity: číslo pokoje, příjmení z rezervace, kód voucheru, kód vytištěný na obalu klíče, e-mail pro časově omezený průchod, souhlas s podmínkami. Místo už ví, kdo pokoj rezervoval, takže tyto údaje může porovnat, aniž by se dozvědělo něco, co by mu umožnilo jednat jinde jako vy.
Cokoli nad tento seznam si zaslouží pauzu. Stránka hotspotu nedokáže ověřit vaše doménové heslo, stejně tak nedokáže ověřit váš jednorázový kód k VPN, kód pro obnovení nebo soukromý klíč, a nemá důvod je chtít. Jedinou legitimní výjimkou je síť provozovaná organizací: hostovské SSID v kanceláři nebo konferenční Wi-Fi vás mohou předat poskytovateli identity, kterého už používáte pro práci. Přesto se to dá rozeznat: hostitel přihlášení je váš každodenní, obrazovka souhlasu jmenuje vašeho tenanta a tok se otevírá ve viditelné kartě prohlížeče.
Marketingový e-mail je samostatná věc: cestovní alias pole splní, aniž vydá vaši pracovní identitu.
Ověřte, že VPN klient chce vlastní přihlašovací údaje
Klient žádá přesně to, na co je nakonfigurován jeho profil, takže očekávané okno je vlastnost profilu, ne sítě, ve které se právě nacházíte. Profily s certifikátem obvykle nabídnou volbu profilu a pak se tiše připojí. Profily s uživatelským jménem a heslem chtějí obojí, často s jednorázovým kódem. Profily SSO otevřou váš prohlížeč u poskytovatele identity a vrátí se s tokenem. WireGuard je zase jiný: autentizuje zařízení veřejným klíčem a nemá uživatelské přihlášení, takže okno nabízející uživatelské jméno a heslo WireGuardu WireGuard nepopisuje.
Přečtěte si profil před cestou. V OpenVPN vám auth-user-pass říká, že se očekává výzva k heslu, zatímco cert, key nebo pkcs12 znamená, že práci má udělat certifikát. Pokud profil, který se obvykle připojuje bez výzvy, náhle chce heslo, podezřívejte profil, který nedokázal načíst certifikát nebo přešel na jinou metodu. Výzva není pozvánka napsat pracovní heslo do jakéhokoli okna, které se objevilo.
Žádný legitimní VPN klient nechce číslo pokoje, portálový voucher nebo Wi-Fi heslovou frázi jako vstup pro autentizaci. Když se to stane, buď klient není tím, za co se vydává, nebo captive portál zachytává provoz dřív, než vznikne tunel, a vy čtete HTML stránku upravenou tak, aby vypadala jako přihlášení.
Zastavte se u těchto pěti podmínek
To jsou místa, kde se zastavím, místo abych pokračoval s uvěřitelným obchvatem. Každé je levné zkontrolovat a drahé zkazit.
- Na portálu nebo na stránce SSO se objeví varování o certifikátu nebo TLS. Neprocházejte ho kliknutím, abyste se dostali do sítě.
- Stránka chce tajemství, které dokáže ověřit jen VPN brána nebo poskytovatel identity: doménové heslo, jednorázový kód, kód pro obnovení, soukromý klíč.
- Doména neodpovídá tištěným pokynům místa ani hostiteli přihlášení, který vaše organizace dokumentuje pro vlastní služby.
- Chce se po vás instalace kořenového certifikátu, konfiguračního profilu nebo pomocné aplikace, která nepochází ze správy vašich zařízení.
- Dorazí schválení MFA, které jste nespustili, nebo VPN klient chce hotelové údaje.
Náhradou není jiné heslo. Použijte hotspot z telefonu, požádejte recepci o přesný název sítě a způsob přístupu a nahlaste stránku tomu, kdo síť provozuje, nebo svému IT oddělení. Nic z toho nevyžaduje testovat přihlašovací údaj proti stránce, které nedokážete připsat původ.
Přiřaďte selhání správné fázi
Když obě fáze projdou, selhání přesto nastávají, a chyba obvykle pojmenuje fázi, čtete-li ji popořadě: přidružení, přidělení adresy, autorizace portálu, navázání tunelu, pak vnitřní zdroj. Změna hesla k VPN proto, že vypršel kód portálu, ztrácí čas a nechává skutečný problém na místě.
Několik sond fáze oddělí. Po přihlášení k portálu požádejte o běžnou veřejnou stránku HTTPS. Pokud se místo ní vrátí portál, autorizace v té vrstvě nikdy nedoběhla. Pokud VPN klient hlásí, že nedosáhne na bránu, problém je pod tunelem: relace portálu, překlad jmen, nebo síť, která blokuje port. Pokud tunel naskočí a jedno vnitřní jméno hostitele selže, překlad jmen nebo politika uvnitř soukromé sítě je lepší podezřelý.
Relace portálu také vyprší nezávisle na tunelu. Když místo odebere přístup, navázané VPN spojení spadne, i když jeho údaje nikdy nebyly špatné. Znovu autorizujte portál, pak znovu připojte VPN a nechte ji znovu vyjednat. Rotace hesla k VPN pak nic neopraví a může vás uzamknout.
Každý údaj dejte jen systému, který ho dokáže ověřit, a výzvu, která neodpovídá tabulce, berte jako stopku, ne jako krok k obchvatu. Pokud obě fáze projdou a tunel přesto odmítá, zachyťte přesnou chybu klienta dřív, než změníte jakýkoli údaj.