Den Wi-Fi-certifikatmeddelelse er ikke en ny rodcertifikatmyndighed

Dialogen vises, mens du tilslutter dig et campus- eller kontornetværk, den nævner et certifikat og tilbyder en knap, hvor der står stol på eller fortsæt. Bag den knap skjuler der sig to meget forskellige ændringer. Den ene lærer Wi-Fi-klienten, hvilken godkendelsesserver den skal acceptere for netop dette netværk. Den anden installerer en certificeringsmyndighed, som andre programmer derefter kan bruge. Ordlyden på skærmen er det eneste spor, du får, så læs den, før du trykker.

Trin 1: læs, hvad dialogen egentlig spørger om

Se efter tre ting: det viste servernavn, den nævnte udsteder og om handlingen beskrives som at stole på en server for denne forbindelse eller som at installere et certifikat på enheden. Det er forskellige objekter, og en meddelelse, der ikke fortæller, hvilken af dem du godkender, fortjener en pause.

Godkend ikke nogen af de to versioner, blot fordi netværksnavnet ser bekendt ud. SSID'er vælges af den, der driver adgangspunktet, og navnet på den captive portal er ikke bevis for den godkendelsesserver, der ligger bag. Enhver med et adgangspunkt kan udsende et overbevisende SSID. Det er netop derfor, certifikatkontrollen findes.

Hvad et 802.1X-servercertifikat beviser

I en 802.1X-udrulning med certifikater validerer enhedens supplicant godkendelsesserveren under forhandlingen. Apples vejledning til 802.1X-udrulning beskriver, at RADIUS-serveren fremviser sit certifikat, og at tillidsbeslutningen hører til den tjeneste.

Den sidste del er hele pointen. Et certifikat udstedt af en kendt CA beviser, at udstederen har signeret det, ikke at netop denne server tilhører den institution, du tror, du er tilsluttet. Formålsafgrænset tillid findes netop, fordi det andet spørgsmål er det, der betyder noget.

Understøttede konfigurationer kan begrænse tilliden til udvalgte servercertifikater eller forventede servernavne. Derfor udleverer institutioner en verificeret Wi-Fi-profil i stedet for at bede brugerne acceptere det første certifikat, der dukker op, og derfor er en dialog uden forventet navn et dårligt sted at træffe beslutningen.

Trin 2: kontrollér, om en bredere myndighed er blevet installeret

En CA, som en browser eller styresystemet stoler på, rækker meget længere end et Wi-Fi-servercertifikat, der er accepteret for ét netværk. Fastslå objektet, det lager det kom i, det formål det er tilladt for, og hvilke programmer der konsulterer det lager.

En konfigurationspakke kan indeholde flere indstillinger på én gang, så undersøg indholdet i stedet for at stole på Wi-Fi-etiketten på installationsprogrammet. Etiketten beskriver ærindet, ikke nødvendigvis alt, hvad pakken gør.

Selv en bred rod beviser ikke, at hver HTTPS-session bliver inspiceret. Inspektion kræver en passende trafikvej og et servercertifikat, som programmet accepterer efter sin reelle valideringspolitik, og programmer kan bruge forskellige tillidslagre med ekstra kontroller oveni.

Trin 3: hold VPN'en ude af tillidsbeslutningen

En VPN beskytter den vej, den dækker, efter at enheden når VPN-peer'en. Den fjerner ikke en installeret rod, ændrer ikke et programs tillidsbeslutninger og verificerer ikke en uventet Wi-Fi-godkendelsesserver på dine vegne.

Spørg administratoren om netværksgodkendelse, enhedsstyring og autoriseret TLS-inspektion som tre separate spørgsmål. Det er ikke tre navne for den samme certifikatfunktion, og et supportssvar, der smelter dem sammen, fortæller dig ikke, hvilken ændring du godkendte.

Trin 4: løs uoverensstemmelsen uden at ødelægge alt

Notér de ikke-hemmelige oplysninger fra dialogen: servernavnet, udstederen og fingeraftrykket, hvis det vises. Sammenlign dem med de værdier, institutionen offentliggør for sit eget netværk, og behandl en uoverensstemmelse som et spørgsmål til konfigurationens ejer, ikke som noget, du klikker væk.

Gennemgå den installerede konfiguration via platforms understøttede indstillinger, så du ved, hvad der faktisk gælder. At slette alle certifikater på enheden ødelægger urelateret adgang, og at acceptere en ukendt erstatning svækker den identitetskontrol, du ville beholde. Ret den konkrete uoverensstemmelse, og lad resten af tillidslageret være.