Bereizi Wi-Fi atariko saio-hasierak eta VPNekoak
Bi sistema desberdinek eskatzen dizute saio-hasiera: lekuaren Wi-Fik eta zure VPN atebideak. Pantailan berdinak dirudite eta erabat desberdinak diren gauzak baimendu. Galdetu leiho bakoitzean: nork egiazta dezake sekretu hau benetan?
Bi sistema desberdinek saio-hasiera eskatzen dizute sare publikoan zerbait erabilgarrira iritsi aurretik: lekuaren Wi-Fik eta zure VPN atebideak. Pantailan berdinak dirudite eta erabat desberdinak diren gauzak baimendu. Atariak erabakitzen du gailu honek sare lokala erabil dezakeen; VPNak erabakitzen du beste nonbaiteko sare pribatu batera irits zaitezkeen. Bereizita edukitzen ditut leiho bakoitzari galdera bat eginda: nork egiazta dezake sekretu hau benetan? Hona hemen hoteletan, aireportuetan eta kongresu-aretoetan erabiltzen dudan kontrol-zerrenda, idazteari uzten diodan puntuak barne.
Lotu saio-hasiera bakoitza egiaztatzen duen zerbitzuarekin
Hotel-konexio bakar batek lau egiaztapen bereizi izan ditzake, eta horietako batzuek soilik eskatzen dute zure sarrera. Jarri lehenengo ordenan, pantailak gutxitan esaten baitu zein etapari dagokion.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X sareek, bulegoetan eta unibertsitateetan ohikoak, lehen bi errenkadak lausotzen dituzte. Han Wi-Fi saio-hasiera bera RADIUS zerbitzariaren aurkako identitate-egiaztapena da, eta bezeroak bideratze-identitatea aurkez dezake kontu erreala truke zifratuaren barruan doan bitartean. Hala ere, egiaztapena sarera batzearekin lotuta dago; ez du tunela baimendu, eta VPN atebideak ez du ezeren proba gisa onartzen.
Ordenak etiketek baino gehiago balio du. Atari gatibuak existitzen dira elkartzearen ondoren sarbidea eman baitaiteke, eta horregatik leku batek hornitzaile espezializatu bati eman diezaioke orria. IETFren RFC 8952-k ataria bere osagaitzat hartzen du, beraz domeinu ezezaguna egiaztatzeko arrazoia da, ez iruzurraren proba berez. Konparatu domeinua lekuaren idatzizko argibideekin, eta eremuak taularekin.
Egiaztatu atari batek zer eska dezakeen
Atariko eremuak eskubideari buruzkoak dira, ez identitateari: gela-zenbakia, erreserbaren abizena, bono-kodea, giltzaren azalean inprimatutako kodea, aldi baterako paserako posta elektronikoa, baldintzen onarpena. Lekuak badaki nork erreserbatu zuen gela, beraz datu horiek lotu ditzake beste nonbait zure gisa jardutea ahalbidetuko liokeen ezer ikasi gabe.
Zerrenda hori gainditzen duen edozerrek pausa bat merezi du. Hotspot orri batek ezin du zure domeinu-pasahitza egiaztatu, eta VPNaren erabilera bakarreko kodea, berreskuratze-kodea edo gako pribatua ere ezin ditu egiaztatu, eta ez du horiek nahi izateko arrazoirik. Salbuespen legitimoa erakunde batek kudeatutako sarea da: bulegoko gonbidatu SSID batek edo kongresuko Wi-Fik lanerako jada erabiltzen duzun identitate-hornitzailearengana eraman zaitzakete. Bereizgarria da oraindik: saio-hasierako ostalaria zure egunerokoa da, baimen-pantailak zure maizterra aipatzen du, eta fluxua nabigatzailearen fitxa ikusgai batean irekitzen da.
Marketin posta bereizia da: bidaia-alias batek eremua betetzen du zure lan-identitatea eman gabe.
Egiaztatu VPN bezeroak bere kredentzialak nahi dituela
Bezeroak bere profila konfiguratuta dagoen zehazki hori eskatzen du, beraz espero den leihoa profilaren ezaugarria da, ez zauden sarearena. Ziurtagiri-profilek normalean profil-aukeraketa erakusten dute eta gero isil-isilik konektatzen dira. Erabiltzaile-izena eta pasahitza profilek biak eskatzen dituzte, sarritan erabilera bakarreko kodearekin. SSO profilek zure nabigatzailea identitate-hornitzailearengana irekitzen dute eta token batekin itzultzen dira. WireGuard beste bat da: gailuak gako publikoarekin autentifikatzen ditu eta ez du erabiltzaile saio-hasierarik, beraz WireGuarden erabiltzaile-izena eta pasahitza eskaintzen dituen leiho batek ez du WireGuard deskribatzen.
Irakurri profila bidaiatu aurretik. OpenVPN barruan auth-user-pass-k pasahitz-eskaera bat espero dela esaten dizu, eta cert, key edo pkcs12-k ziurtagiri batek egin behar duela lana esan nahi du. Eskaririk gabe konektatu ohi den profilek bat-batean pasahitza eskatzen badu, susma ezazu ziurtagiria kargatu ezin izan zuen edo beste metodo batera jo zuen profila. Eskaria ez da agertutako edozein leihoetan zure lan-pasahitza idazteko gonbidapena.
VPN bezero legitimo batek ez du gela-zenbakia, atari-bonoa edo Wi-Fi pasahitza autentifikazio-sarrera gisa eskatzen. Hori gertatzen denean, edo bezeroa ez da dioena, edo atari gatibuak trafikoa atzematen du tunela sortu aurretik eta saio-hasiera itxura duen HTML orri bat irakurtzen ari zara.
Gelditu bost baldintza hauetan
Hona hemen uzten ditudan puntuak, irtenbide sinesgarri batekin jarraitu beharrean. Bakoitza merkea da egiaztatzen eta garestia gaizki egiten.
- Ziurtagiri edo TLS abisua agertzen da atarian edo SSO orrian. Ez ezazu klik egin sarean sartzeko.
- Orriak VPN atebideak edo identitate-hornitzaileak soilik egiazta dezakeen sekretu bat eskatzen du: domeinu-pasahitza, erabilera bakarreko kodea, berreskuratze-kodea, gako pribatua.
- Domeinua ez dator bat lekuaren inprimatutako argibideekin edo zure erakundeak bere zerbitzuetarako dokumentatzen duen saio-hasierako ostalariarekin.
- Zure gailuen kudeaketatik ez datorren erro-ziurtagiria, konfigurazio-profila edo laguntza-aplikazio bat instalatzeko eskatzen dizute.
- Hasi ez duzun MFA onarpen bat iristen da, edo VPN bezeroak hotelaren kredentzialak eskatzen ditu.
Ordezko bidea ez da beste pasahitz bat. Erabili telefonoko hotspot bat, galdetu harreran sarearen izen zehatza eta sarbide-metodoa, eta jakinarazi orria sarea kudeatzen duenari edo zure IT zerbitzuari. Horietako ezeinek ez du eskatzen egotzi ezin duzun orri baten aurka kredentzial bat probatzea.
Egokitu hutsa etapa zuzenari
Bi etapak gainditu ondoren, hutsek jarraitzen dute, eta erroreak etapa izendatu ohi du ordenan irakurtzen baduzu: elkartzea, helbide-esleipena, atariaren baimena, tunelaren ezarpena, gero barne-baliabidea. VPN pasahitza aldatzea atari-kode bat iraungi delako denbora galtzea da eta benetako arazoa bere lekuan uzten du.
Proba batzuek etapak bereizten dituzte. Atariko saio-hasieraren ondoren, eskatu HTTPS orri publiko arrunt bat. Horren ordez ataria itzultzen bada, baimena ez zen inoiz osatu geruza horretan. VPN bezeroak atebidea iritsi ezin duela jakinarazten badu, arazoa tunelaren azpian dago: atari-saioa, izenen ebazpena edo ataka blokeatzen duen sarea. Tunela altxatzen bada eta barne-ostalari izen batek huts egiten badu, sare pribatuaren barruko izenen ebazpena edo politika da susmagarri onena.
Atari-saioek tunelarekiko independenteki iraungitzen dira. Lekuak sarbidea errebokatzen duenean, ezarritako VPN konexioa erortzen da, haren kredentzialak inoiz okerrak izan ez baziren ere. Baimendu berriro ataria, gero berriro konektatu VPNa eta utzi berriro negoziatzen. VPN pasahitza biratzeak orduan ez du ezer konpontzen eta kanpoan utz zaitzake.
Eman sekretu bakoitza egiaztatu dezakeen sistemari soilik, eta taularekin bat ez datorren eskaria gelditzeko seinaletzat hartu, saihesteko urratstzat izan beharrean. Bi etapak gainditzen badira eta tunelak ukatzen jarraitzen badu, harrapatu bezeroaren errore zehatza edozein kredentzial aldatu aurretik.