Dieser WLAN-Zertifikatshinweis ist keine neue Stammzertifizierungsstelle

Der Dialog erscheint, während Sie einem Campus- oder Firmennetz beitreten, er nennt ein Zertifikat und bietet eine Schaltfläche mit der Aufschrift „vertrauen“ oder „fortfahren“. Hinter dieser Schaltfläche verbergen sich zwei sehr unterschiedliche Änderungen. Die eine bringt dem WLAN-Client bei, welchen Authentifizierungsserver er für dieses eine Netz akzeptieren soll. Die andere installiert eine Zertifizierungsstelle, die andere Anwendungen anschließend nutzen können. Der Wortlaut auf dem Bildschirm ist der einzige Hinweis, den Sie bekommen, also lesen Sie ihn, bevor Sie tippen.

Schritt 1: Lesen, was der Dialog eigentlich verlangt

Achten Sie auf drei Dinge: den angezeigten Servernamen, den genannten Aussteller und ob die Aktion als Vertrauen in einen Server für diese Verbindung oder als Installieren eines Zertifikats auf dem Gerät beschrieben wird. Das sind unterschiedliche Objekte, und ein Hinweis, der Ihnen nicht sagt, welches davon Sie gerade genehmigen, ist ein Hinweis, bei dem man kurz innehalten sollte.

Genehmigen Sie keine der beiden Varianten, nur weil der Netzwerkname vertraut wirkt. SSIDs wählt, wer den Access Point betreibt, und der Name im Captive Portal ist kein Beleg für den dahinterliegenden Authentifizierungsserver. Jeder mit einem Access Point kann eine überzeugende SSID ausstrahlen. Genau deshalb gibt es die Zertifikatsprüfung überhaupt.

Was ein 802.1X-Serverzertifikat beweist

In einer 802.1X-Bereitstellung mit Zertifikaten validiert der Supplicant des Geräts während der Aushandlung den Authentifizierungsserver. Apples Leitfaden zur 802.1X-Bereitstellung beschreibt, dass der RADIUS-Server sein Zertifikat vorlegt und die Vertrauensentscheidung für diesen Dienst angemessen ist.

Der letzte Punkt ist der eigentliche Kern. Ein Zertifikat, das eine bekannte Zertifizierungsstelle ausgestellt hat, belegt, dass der Aussteller es signiert hat, nicht, dass dieser konkrete Server zu der Einrichtung gehört, der Sie beigetreten zu sein glauben. Zweckgebundenes Vertrauen gibt es gerade deshalb, weil die zweite Frage die entscheidende ist.

Unterstützte Konfigurationen können das Vertrauen auf ausgewählte Serverzertifikate oder erwartete Servernamen beschränken. Deshalb verteilen Einrichtungen ein geprüftes WLAN-Profil, statt Nutzer aufzufordern, einfach das erstbeste Zertifikat zu akzeptieren, und deshalb ist ein Dialog ohne erwarteten Namen ein schlechter Ort für diese Entscheidung.

Schritt 2: Prüfen, ob eine umfassendere Autorität hinzugekommen ist

Eine Zertifizierungsstelle, der ein Browser oder das Betriebssystem vertraut, reicht viel weiter als ein für ein einzelnes Netz akzeptiertes WLAN-Serverzertifikat. Bestimmen Sie das Objekt, den Speicher, in den es gelangt ist, den Zweck, für den es zugelassen ist, und welche Anwendungen diesen Speicher konsultieren.

Ein Konfigurationspaket kann mehrere Einstellungen auf einmal enthalten, prüfen Sie daher den Inhalt, statt dem WLAN-Etikett des Installers zu vertrauen. Das Etikett beschreibt den Auftrag, nicht zwangsläufig alles, was die Nutzlast tut.

Selbst eine umfassende Stammzertifizierungsstelle belegt nicht, dass jede HTTPS-Sitzung inspiziert wird. Für eine Inspektion braucht es einen geeigneten Verkehrsweg und ein Serverzertifikat, das die Anwendung nach ihrer echten Prüfrichtlinie akzeptiert, und Anwendungen können unterschiedliche Vertrauensspeicher mit zusätzlichen Prüfungen verwenden.

Schritt 3: Halten Sie das VPN aus der Vertrauensentscheidung heraus

Ein VPN schützt seinen abgedeckten Pfad, nachdem das Gerät den VPN-Peer erreicht hat. Es entfernt keine installierte Stammzertifizierungsstelle, ändert keine Vertrauensentscheidungen einer Anwendung und prüft nicht stellvertretend für Sie einen unerwarteten WLAN-Authentifizierungsserver.

Fragen Sie den Administrator getrennt nach Netzwerkauthentifizierung, Geräteverwaltung und autorisierter TLS-Inspektion. Das sind keine drei Namen für dieselbe Zertifikatsfunktion, und eine Support-Antwort, die sie vermischt, sagt Ihnen nicht, welche Änderung Sie genehmigt haben.

Schritt 4: Den Widerspruch beheben, ohne alles kaputtzumachen

Notieren Sie die nicht geheimen Angaben aus dem Dialog: den Servernamen, den Aussteller und, falls angezeigt, den Fingerabdruck. Vergleichen Sie sie mit den Werten, die die Einrichtung für ihr eigenes Netz veröffentlicht, und behandeln Sie eine Abweichung als Frage an den Eigentümer der Konfiguration, nicht als etwas zum Wegklicken.

Prüfen Sie die installierte Konfiguration über die unterstützten Einstellungen der Plattform, damit Sie wissen, was tatsächlich gilt. Alle Zertifikate auf dem Gerät zu löschen bricht unabhängige Zugänge, und ein unbekanntes Ersatzobjekt zu akzeptieren schwächt die Identitätsprüfung, die Sie erhalten wollten. Korrigieren Sie die konkrete Abweichung und lassen Sie den Rest des Vertrauensspeichers in Ruhe.