See Wi-Fi-sertifikaadi viip ei ole uus juursertifitseerimisasutus

Dialoog ilmub, kui liitute ülikooli- või kontorivõrku, see mainib sertifikaati ja pakub nuppu, millel on kirjas usalda või jätka. Selle nupu taga peitub kaks väga erinevat muudatust. Üks õpetab Wi-Fi-kliendile, millist autentimisserverit ta selle ühe võrgu jaoks aktsepteerib. Teine paigaldab sertifitseerimisasutuse, mida teised rakendused saavad seejärel kasutada. Ekraanil olev sõnastus on ainus vihje, mille saate, seega lugege seda enne puudutamist.

1. samm: lugege, mida dialoog tegelikult küsib

Otsige kolme asja: kuvatud serverinime, nimetatud väljaandjat ja seda, kas tegevust kirjeldatakse serveri usaldamisena selle ühenduse jaoks või sertifikaadi paigaldamisena seadmele. Need on eri objektid ja viip, mis ei ütle, millist neist te kinnitate, väärib pausi.

Ärge kinnitage kumbagi versiooni lihtsalt sellepärast, et võrgu nimi tundub tuttav. SSID-d valib see, kes haldab juurdepääsupunkti, ja captive-portaali nimi ei ole tõestus selle taga oleva autentimisserveri kohta. Igaüks, kellel on juurdepääsupunkt, võib levitada veenvat SSID-d. Just seetõttu on sertifikaadi kontroll olemas.

Mida 802.1X-serverisertifikaat tõestab

Sertifikaate kasutavas 802.1X juurutuses valideerib seadme supplikant läbirääkimiste ajal autentimisserverit. Apple'i 802.1X juurutamise juhend kirjeldab, et RADIUS-server esitab oma sertifikaadi ja usaldusotsus kuulub selle teenuse juurde.

Viimane punkt on kogu asja mõte. Tuntud sertifitseerimisasutuse välja antud sertifikaat tõestab, et väljaandja allkirjastas selle, mitte et see konkreetne server kuulub asutusele, kuhu arvate end liitunud olevat. Eesmärgipõhine usaldus on olemas just sellepärast, et teine küsimus on see, mis loeb.

Toetatud konfiguratsioonid võivad piirata usaldust valitud serverisertifikaatide või oodatud serverinimedega. Seetõttu jagavad asutused kinnitatud Wi-Fi-profiili, selle asemel et käskida kasutajatel aktsepteerida esimest ettejuhtuvat sertifikaati, ja seetõttu on oodatud nimeta viip halb koht otsuse tegemiseks.

2. samm: kontrollige, kas laiem asutus on paigaldatud

Sertifitseerimisasutus, mida brauser või operatsioonisüsteem usaldab, ulatub palju kaugemale kui ühe võrgu jaoks aktsepteeritud Wi-Fi-serverisertifikaat. Tehke kindlaks objekt, hoidla, kuhu see sattus, otstarve, milleks see on lubatud, ja millised rakendused seda hoidlat küsivad.

Konfiguratsioonipakett võib sisaldada mitut seadet korraga, seega uurige sisu, selle asemel et usaldada paigaldaja Wi-Fi-silti. Silt kirjeldab ülesannet, mitte tingimata kõike, mida kandev osa teeb.

Isegi lai juur ei tõesta, et iga HTTPS-seanssi kontrollitakse. Kontrollimine nõuab sobivat liiklusteed ja serverisertifikaati, mille rakendus aktsepteerib oma tegeliku valideerimispoliitika järgi, ja rakendused võivad kasutada erinevaid usaldushoidlaid täiendavate kontrollidega.

3. samm: hoidke VPN usaldusotsusest kõrvale

VPN kaitseb oma kaetud teed pärast seda, kui seade jõuab VPN-vastaspoole. See ei eemalda paigaldatud juurt, ei muuda rakenduse usaldusotsuseid ega kontrolli teie eest ootamatut Wi-Fi autentimisserverit.

Küsige administraatorilt võrgu autentimise, seadmehalduse ja volitatud TLS-kontrolli kohta kolme eraldi küsimusena. Need ei ole sama sertifikaadifunktsiooni kolm nime ja tugivastus, mis need kokku sulandab, ei ütle teile, millist muudatust te kinnitasite.

4. samm: lahendage lahknevus ilma kõike rikkumata

Kirjutage üles viiba mitte-salajased andmed: serverinimi, väljaandja ja sõrmejälg, kui see kuvatakse. Võrrelge neid väärtustega, mille asutus oma võrgu kohta avaldab, ja käsitlege lahknevust küsimusena konfiguratsiooni omanikule, mitte millegi klõpsamisega vahelejätetavana.

Vaadake paigaldatud konfiguratsioon platvormi toetatud seadetest üle, et teaksite, mis tegelikult kehtib. Kõigi seadme sertifikaatide kustutamine rikub mitteseotud juurdepääsu ja tundmatu asendaja aktsepteerimine nõrgestab identiteedikontrolli, mida soovisite hoida. Parandage konkreetne lahknevus ja jätke ülejäänud usaldushoidla rahule.