Διαχωρίστε τις συνδέσεις της πύλης Wi-Fi από τις συνδέσεις VPN
Δύο διαφορετικά συστήματα ζητούν σύνδεση: το Wi-Fi του χώρου και η πύλη VPN σας. Μοιάζουν στην οθόνη και εξουσιοδοτούν εντελώς διαφορετικά πράγματα. Ρωτήστε σε κάθε παράθυρο: ποιος μπορεί πραγματικά να επαληθεύσει αυτό το μυστικό;
Δύο διαφορετικά συστήματα σας ζητούν να συνδεθείτε πριν φτάσετε σε κάτι χρήσιμο σε ένα δημόσιο δίκτυο: το Wi-Fi του χώρου και η πύλη VPN σας. Μοιάζουν στην οθόνη και εξουσιοδοτούν εντελώς διαφορετικά πράγματα. Η πύλη αποφασίζει αν αυτή η συσκευή μπορεί να χρησιμοποιήσει το τοπικό δίκτυο· το VPN αποφασίζει αν μπορείτε να φτάσετε σε ένα ιδιωτικό δίκτυο αλλού. Τα κρατώ χωριστά κάνοντας σε κάθε παράθυρο μία ερώτηση: ποιος μπορεί πραγματικά να επαληθεύσει αυτό το μυστικό; Ακολουθεί η λίστα ελέγχου που εφαρμόζω σε ξενοδοχεία, αεροδρόμια και συνεδριακούς χώρους, μαζί με τα σημεία όπου σταματώ να πληκτρολογώ.
Αντιστοιχίστε κάθε σύνδεση με την υπηρεσία που την ελέγχει
Μία μόνο ξενοδοχειακή σύνδεση μπορεί να περιλαμβάνει τέσσερις ξεχωριστούς ελέγχους, και μόνο μερικοί ζητούν δική σας εισαγωγή. Βάλτε τους πρώτα σε σειρά, γιατί η οθόνη σπάνια λέει σε ποιο στάδιο ανήκει.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Τα δίκτυα 802.1X, κοινά σε γραφεία και πανεπιστήμια, θολώνουν τις δύο πρώτες γραμμές. Εκεί η σύνδεση στο Wi-Fi είναι η ίδια έλεγχος ταυτότητας σε διακομιστή RADIUS, και ο πελάτης μπορεί να παρουσιάσει ταυτότητα δρομολόγησης ενώ ο πραγματικός λογαριασμός ταξιδεύει μέσα στην κρυπτογραφημένη ανταλλαγή. Ακόμη και τότε ο έλεγχος αφορά τη σύνδεση στο δίκτυο· δεν εξουσιοδοτεί το τούνελ, και η πύλη VPN δεν τον δέχεται ως απόδειξη τίποτα.
Η σειρά μετράει περισσότερο από τις ετικέτες. Οι πύλες αιχμαλώτισης υπάρχουν επειδή η πρόσβαση μπορεί να δοθεί μετά τη σύνδεση, γι’ αυτό ένας χώρος μπορεί να αναθέσει τη σελίδα σε εξειδικευμένο πάροχο. Το RFC 8952 του IETF αντιμετωπίζει την πύλη ως δικό του στοιχείο, οπότε ένα άγνωστο domain είναι λόγος ελέγχου, όχι απόδειξη απάτης από μόνο του. Ελέγξτε το domain με τις γραπτές οδηγίες του χώρου και τα πεδία με τον πίνακα.
Ελέγξτε τι επιτρέπεται να ζητά μια πύλη
Τα πεδία της πύλης αφορούν το δικαίωμα, όχι την ταυτότητα: αριθμός δωματίου, επώνυμο κράτησης, κωδικός κουπονιού, ο κωδικός που είναι τυπωμένος στο κάλυμμα του κλειδιού, email για προσωρινή άδεια, αποδοχή όρων. Ο χώρος ξέρει ήδη ποιος έκλεισε το δωμάτιο, οπότε μπορεί να αντιστοιχίσει αυτά τα στοιχεία χωρίς να μάθει τίποτα που θα του επέτρεπε να ενεργήσει ως εσείς αλλού.
Οτιδήποτε πέρα από αυτή τη λίστα αξίζει μια παύση. Μια σελίδα hotspot δεν μπορεί να επαληθεύσει τον κωδικό πρόσβασης τομέα σας, και δεν μπορεί επίσης να επαληθεύσει τον κωδικό μίας χρήσης του VPN, έναν κωδικό ανάκτησης ή ένα ιδιωτικό κλειδί, και δεν έχει λόγο να τα θέλει. Η μόνη νόμιμη εξαίρεση είναι ένα δίκτυο που διαχειρίζεται οργανισμός: ένα guest SSID γραφείου ή ένα Wi-Fi συνεδρίου μπορεί να σας παραπέμψει στον πάροχο ταυτότητας που χρησιμοποιείτε ήδη για τη δουλειά. Παραμένει διακριτό: ο host σύνδεσης είναι ο καθημερινός σας, η οθόνη συγκατάθεσης ονομάζει τον tenant σας, και η ροή ανοίγει σε ορατή καρτέλα του browser.
Το email μάρκετινγκ είναι ξεχωριστό: ένα ταξιδιωτικό alias ικανοποιεί το πεδίο χωρίς να παραδώσει την ταυτότητα εργασίας σας.
Ελέγξτε ότι ο πελάτης VPN θέλει τα δικά του διαπιστευτήρια
Ο πελάτης ζητά ακριβώς ό,τι έχει ρυθμιστεί στο προφίλ του, οπότε το αναμενόμενο παράθυρο είναι ιδιότητα του προφίλ και όχι του δικτύου στο οποίο τυχαίνει να βρίσκεστε. Τα προφίλ πιστοποιητικών συνήθως δείχνουν επιλογή προφίλ και μετά συνδέονται σιωπηλά. Τα προφίλ ονόματος χρήστη και κωδικού ζητούν και τα δύο, συχνά με κωδικό μίας χρήσης. Τα προφίλ SSO ανοίγουν τον browser σας στον πάροχο ταυτότητας και επιστρέφουν με token. Το WireGuard είναι ξανά διαφορετικό: επαληθεύει συσκευές με δημόσιο κλειδί και δεν έχει σύνδεση χρήστη, οπότε ένα παράθυρο που προσφέρει όνομα χρήστη και κωδικό WireGuard δεν περιγράφει το WireGuard.
Διαβάστε το προφίλ πριν ταξιδέψετε. Στο OpenVPN, το auth-user-pass σας λέει ότι αναμένεται ερώτηση κωδικού, ενώ το cert, το key ή το pkcs12 σημαίνει ότι ένα πιστοποιητικό πρέπει να κάνει τη δουλειά. Αν ένα προφίλ που συνήθως συνδέεται χωρίς ερώτηση ζητήσει ξαφνικά κωδικό, υποψιαστείτε ένα προφίλ που δεν μπόρεσε να φορτώσει το πιστοποιητικό του ή έπεσε σε άλλη μέθοδο. Η ερώτηση δεν είναι πρόσκληση να πληκτρολογήσετε τον κωδικό εργασίας σας σε όποιο παράθυρο εμφανίστηκε.
Κανένας νόμιμος πελάτης VPN δεν ζητά τον αριθμό δωματίου, το κουπόνι της πύλης ή τη φράση πρόσβασης Wi-Fi ως είσοδο ταυτοποίησης. Όταν συμβαίνει αυτό, είτε ο πελάτης δεν είναι αυτό που ισχυρίζεται, είτε μια πύλη αιχμαλώτισης υποκλέπτει την κίνηση πριν σχηματιστεί το τούνελ και διαβάζετε μια σελίδα HTML στημένη να μοιάζει με σύνδεση.
Σταματήστε σε αυτές τις πέντε συνθήκες
Αυτά είναι τα σημεία όπου σταματώ αντί να συνεχίσω με μια εύλογη παράκαμψη. Καθένα είναι φθηνό στον έλεγχο και ακριβό στο λάθος.
- Εμφανίζεται προειδοποίηση πιστοποιητικού ή TLS στην πύλη ή στη σελίδα SSO. Μην την προσπεράσετε με κλικ για να φτάσετε στο δίκτυο.
- Η σελίδα ζητά ένα μυστικό που μόνο η πύλη VPN ή ο πάροχος ταυτότητας μπορεί να επαληθεύσει: κωδικό τομέα, κωδικό μίας χρήσης, κωδικό ανάκτησης, ιδιωτικό κλειδί.
- Το domain δεν ταιριάζει με τις έντυπες οδηγίες του χώρου ή με τον host σύνδεσης που τεκμηριώνει ο οργανισμός σας για τις υπηρεσίες του.
- Σας ζητούν να εγκαταστήσετε πιστοποιητικό ρίζας, προφίλ διαμόρφωσης ή βοηθητική εφαρμογή που δεν προέρχεται από τη διαχείριση των συσκευών σας.
- Φτάνει έγκριση MFA που δεν ξεκινήσατε, ή ο πελάτης VPN ζητά διαπιστευτήρια ξενοδοχείου.
Η εναλλακτική δεν είναι άλλος κωδικός. Χρησιμοποιήστε hotspot τηλεφώνου, ρωτήστε στη ρεσεψιόν το ακριβές όνομα δικτύου και τη μέθοδο πρόσβασης, και αναφέρετε τη σελίδα σε όποιον διαχειρίζεται το δίκτυο ή στο τμήμα IT σας. Τίποτα από αυτά δεν απαιτεί να δοκιμάσετε διαπιστευτήριο σε μια σελίδα που δεν μπορείτε να αποδώσετε.
Αποδώστε μια αποτυχία στο σωστό στάδιο
Όταν περάσουν και τα δύο στάδια, οι αποτυχίες εξακολουθούν να συμβαίνουν, και το σφάλμα συνήθως ονομάζει το στάδιο αν το διαβάσετε με σειρά: σύνδεση, ανάθεση διεύθυνσης, εξουσιοδότηση πύλης, εγκατάσταση τούνελ, μετά ο εσωτερικός πόρος. Η αλλαγή κωδικού VPN επειδή έληξε ένας κωδικός πύλης χάνει χρόνο και αφήνει το πραγματικό πρόβλημα στη θέση του.
Λίγες δοκιμές χωρίζουν τα στάδια. Μετά τη σύνδεση στην πύλη, ζητήστε μια συνηθισμένη δημόσια σελίδα HTTPS. Αν επιστρέψει η πύλη αντί γι’ αυτήν, η εξουσιοδότηση δεν ολοκληρώθηκε ποτέ σε εκείνο το επίπεδο. Αν ο πελάτης VPN αναφέρει ότι δεν φτάνει την πύλη, το πρόβλημα βρίσκεται κάτω από το τούνελ: η συνεδρία της πύλης, η επίλυση ονομάτων ή ένα δίκτυο που μπλοκάρει τη θύρα. Αν το τούνελ σηκωθεί και αποτύχει ένα εσωτερικό hostname, η επίλυση ονομάτων ή η πολιτική μέσα στο ιδιωτικό δίκτυο είναι ο καλύτερος ύποπτος.
Οι συνεδρίες της πύλης λήγουν επίσης ανεξάρτητα από το τούνελ. Όταν ο χώρος ανακαλέσει την πρόσβαση, μια εγκατεστημένη σύνδεση VPN πέφτει παρόλο που τα διαπιστευτήριά της δεν ήταν ποτέ λάθος. Εξουσιοδοτήστε ξανά την πύλη, μετά επανασυνδέστε το VPN και αφήστε το να επαναδιαπραγματευτεί. Η εναλλαγή του κωδικού VPN τότε δεν διορθώνει τίποτα και μπορεί να σας κλειδώσει έξω.
Δώστε κάθε μυστικό μόνο στο σύστημα που μπορεί να το επαληθεύσει, και αντιμετωπίστε μια ερώτηση που δεν ταιριάζει στον πίνακα ως πινακίδα στοπ και όχι ως βήμα προς παράκαμψη. Αν περάσουν και τα δύο στάδια και το τούνελ αρνείται ακόμη, καταγράψτε το ακριβές σφάλμα του πελάτη πριν αλλάξετε οποιοδήποτε διαπιστευτήριο.