Tato výzva k certifikátu Wi-Fi není nová kořenová certifikační autorita

Dialogové okno se objeví, když se připojujete k univerzitní nebo kancelářské síti, zmiňuje certifikát a nabízí tlačítko s nápisem důvěřovat nebo pokračovat. Za tímto tlačítkem se skrývají dvě velmi odlišné změny. Jedna naučí klienta Wi-Fi, který autentizační server má v této jedné síti přijímat. Druhá nainstaluje certifikační autoritu, kterou pak mohou používat jiné aplikace. Formulace na obrazovce je jediná stopa, kterou máte, tak si ji přečtěte, než se dotknete.

Krok 1: přečtěte si, na co se okno skutečně ptá

Hledejte tři věci: zobrazený název serveru, uvedeného vydavatele a zda je akce popsána jako důvěra serveru pro toto připojení, nebo jako instalace certifikátu do zařízení. To jsou různé objekty a výzva, která neříká, který z nich schvalujete, si zaslouží pauzu.

Neschvalujte žádnou verzi jen proto, že název sítě vypadá povědomě. SSID volí ten, kdo provozuje přístupový bod, a název v captive portálu není důkazem o autentizačním serveru za ním. Kdokoli s přístupovým bodem může vysílat přesvědčivé SSID. Právě proto kontrola certifikátu existuje.

Co dokazuje certifikát serveru 802.1X

V nasazení 802.1X s certifikáty ověřuje supplicant zařízení během vyjednávání autentizační server. Průvodce Applu pro nasazení 802.1X popisuje server RADIUS, který předkládá svůj certifikát, a rozhodnutí o důvěře, které k této službě patří.

Poslední část je celý smysl. Certifikát vydaný známou certifikační autoritou dokazuje, že jej vydavatel podepsal, ne že tento konkrétní server patří instituci, ke které jste se podle svého přesvědčení připojili. Důvěra omezená na účel existuje právě proto, že druhá otázka je ta, na které záleží.

Podporované konfigurace mohou omezit důvěru na vybrané certifikáty serveru nebo očekávané názvy serveru. Proto instituce rozdávají ověřený profil Wi-Fi místo toho, aby uživatelům říkaly, ať přijmou první certifikát, který se objeví, a proto je výzva bez očekávaného názvu špatným místem pro takové rozhodnutí.

Krok 2: zkontrolujte, zda se nenainstalovala širší autorita

Certifikační autorita, které důvěřuje prohlížeč nebo operační systém, dosáhne mnohem dál než certifikát serveru Wi-Fi přijatý pro jednu síť. Určete objekt, úložiště, do kterého se dostal, účel, pro který je povolen, a které aplikace toto úložiště používají.

Konfigurační balíček může obsahovat několik nastavení najednou, proto prohlédněte obsah, místo abyste věřili štítku Wi-Fi v instalátoru. Štítek popisuje úkol, ne nutně vše, co náklad dělá.

Ani široký kořen nedokazuje, že je každé připojení HTTPS kontrolováno. Kontrola vyžaduje vhodnou cestu provozu a certifikát serveru, který aplikace přijímá podle své skutečné validační politiky, a aplikace mohou používat různá úložiště důvěry s dalšími kontrolami.

Krok 3: držte VPN mimo rozhodnutí o důvěře

VPN chrání svou pokrytou cestu poté, co zařízení dosáhne protějšku VPN. Neodstraňuje nainstalovaný kořen, nemění rozhodnutí aplikace o důvěře a neověřuje za vás neočekávaný autentizační server Wi-Fi.

Ptejte se správce na autentizaci sítě, správu zařízení a autorizovanou kontrolu TLS jako na tři samostatné otázky. Nejsou to tři názvy téže certifikační funkce a odpověď podpory, která je sloučí, vám neřekne, kterou změnu jste schválili.

Krok 4: vyřešte nesoulad, aniž byste všechno rozbili

Zapište si ne-tajné údaje z výzvy: název serveru, vydavatele a otisk, pokud se zobrazuje. Porovnejte je s hodnotami, které instituce zveřejňuje pro svou síť, a nesoulad berte jako otázku pro vlastníka konfigurace, ne jako něco, co se má odklikat.

Projděte nainstalovanou konfiguraci v podporovaných nastaveních platformy, abyste věděli, co skutečně platí. Smazání všech certifikátů v zařízení rozbije nesouvisející přístup a přijetí neznámé náhrady oslabí kontrolu identity, kterou jste chtěli zachovat. Opravte konkrétní nesoulad a zbytek úložiště důvěry nechte být.