Ein VPN macht aus einer Zertifikatswarnung kein Vertrauen

Hier werden zwei Dinge verglichen, und sie sind nicht von derselben Art: die Verschlüsselung eines Wegs und die Identität des Servers an seinem Ende. Ein VPN kann das erste stärker machen und das zweite völlig unbeantwortet lassen. Deshalb wird eine Warnung über einen Namenskonflikt oder ein abgelaufenes Zertifikat nicht harmlos, wenn ein Tunnel läuft. Das Schloss und die Warnung sprechen über verschiedene Eigenschaften.

Ein Tunnel beantwortet, wer den Verkehr trägt; das Zertifikat beantwortet, wer ihn empfängt.

Die Warnung betrifft die Identität, nicht den Transport

Der Browser meldet, dass das Zertifikat der Gegenstelle nach den Regeln, auf die er eingestellt war, nicht validiert wurde. Diese Regeln umfassen den Namen, die Kette, die Gültigkeitsdaten und die aktuelle Zeit. Ein VPN ändert nichts davon. Den Weg zu einem Server mit dem falschen Namen zu verschlüsseln, erzeugt eine verschlüsselte Verbindung zum falschen Server, was keine Verbesserung ist.

Falsche Geräteuhren verursachen dies häufiger, als Menschen erwarten, besonders nachdem ein Akku leer war oder eine Zeitzonenänderung schiefgegangen ist. Prüfen Sie die Uhr, bevor Sie irgendetwas über das Netzwerk schließen.

Welche Verbindung ist tatsächlich fehlgeschlagen?

Eine Portalseite, eine Zielseite und das VPN-Gateway führen jeweils ihre eigene Identitätsprüfung durch, und die Fehlermeldung nennt nur eine davon. Notieren Sie den tatsächlichen Hostnamen und die genaue Meldung, statt jedes Zertifikat als ein Objekt zu behandeln. In einem WLAN mit Anmeldeportal fängt das Portal üblicherweise den Datenverkehr ab und zeigt sein eigenes Zertifikat, weshalb der normale Anmeldeablauf des Betriebssystems existiert. Ein bekannter Netzwerkname löst nichts davon.

Verwenden Sie den dokumentierten Ablauf des Orts, statt eine fremde Identität zu akzeptieren, um eine Anmeldeseite zu erreichen.

Eine Root zu installieren ist eine andere Entscheidung

Wenn eine Organisation wirklich eine Vertrauenskonfiguration braucht, verteilt sie diese über verwaltete Profile oder einen Supportprozess, den Sie überprüfen können. Eine beliebige Seite, die Sie auffordert, ein Root-Zertifikat zu installieren, beschreibt eine Abhörmaßnahme, keine Reparatur. Wenn Sie zustimmen, kann der Installierende alles lesen, was der Browser an jede Seite sendet, die dieser Root vertraut. Das sind keine gleichwertigen Handlungen, und die zweite ist schwer rückgängig zu machen.

Verwenden Sie für das VPN-Gateway das verifizierte Profil des Betreibers oder eine von ihm ausgestellte Ersatzidentität. Die Überprüfung zu entfernen, um eine Warnung stumm zu schalten, kann eine Verbindung zu einem Endpunkt herstellen, den Sie nicht beabsichtigt haben.

Ein Tunnel schützt nur einen Weg

Ein korrekt aufgebauter Tunnel schützt den Weg, für den er gebaut wurde. Er authentifiziert nicht jede Seite, die Sie öffnen, und er holt keine Informationen zurück, die bereits über eine kompromittierte Verbindung gesendet wurden. Das sind Eigenschaften der Browser-Validierung und dessen, was früher geschah. Ein Tunnel ist ein Korridor, keine Charakterreferenz für alle an seinem Ende.

Wenn das Zertifikat einer Seite falsch ist, lautet die nützliche Frage, ob Sie die beabsichtigte Seite erreicht haben. Ein Tunnel beantwortet das nicht, und er kann es nicht.

Notieren Sie den Hostnamen, den Fehler und den beteiligten Resolver oder das Portal. Diese Aufzeichnung trennt ein schlechtes Zertifikat von einem schlechten Weg.