این پیام گواهی Wi-Fi یک مرجع ریشه جدید نیست

گفتگو هنگام پیوستن به شبکه دانشگاه یا دفتر ظاهر می‌شود، به گواهی اشاره می‌کند و دکمه‌ای با عنوان اعتماد یا ادامه پیشنهاد می‌دهد. پشت آن دکمه دو تغییر کاملاً متفاوت پنهان است. یکی به کارخواه Wi-Fi می‌آموزد کدام سرور احراز هویت را برای همین یک شبکه بپذیرد. دیگری مرجع صدور گواهی نصب می‌کند که برنامه‌های دیگر می‌توانند بعداً از آن استفاده کنند. متن روی صفحه تنها سرنخ شماست، پس پیش از لمس آن را بخوانید.

گام 1: بخوانید که گفتگو واقعاً چه می‌خواهد

سه چیز را بجویید: نام سرور نمایش‌داده‌شده، صادرکننده نام‌برده‌شده و اینکه آیا کنش به‌صورت اعتماد به سرور برای این اتصال توصیف شده یا نصب گواهی روی دستگاه. این‌ها اشیای متفاوتی هستند و پیامی که نمی‌گوید کدام را تأیید می‌کنید ارزش درنگ دارد.

هیچ‌کدام از دو نسخه را فقط به این دلیل که نام شبکه آشنا به نظر می‌رسد تأیید نکنید. SSID را کسی انتخاب می‌کند که نقطه دسترسی را اداره می‌کند، و نام روی درگاه captive شاهدی درباره سرور احراز هویت پشت آن نیست. هر کسی با نقطه دسترسی می‌تواند SSID متقاعدکننده‌ای پخش کند. دقیقاً به همین دلیل بررسی گواهی وجود دارد.

گواهی سرور 802.1X چه چیزی را اثبات می‌کند

در استقرار 802.1X با گواهی‌ها، supplicant دستگاه در طول مذاکره سرور احراز هویت را اعتبارسنجی می‌کند. راهنمای استقرار 802.1X اپل توصیف می‌کند که سرور RADIUS گواهی خود را ارائه می‌دهد و تصمیم اعتماد مناسب همان سرویس است.

همین بخش آخر تمام ماجراست. گواهی صادرشده توسط یک مرجع گواهی شناخته‌شده اثبات می‌کند که صادرکننده آن را امضا کرده، نه اینکه این سرور خاص به نهادی تعلق دارد که گمان می‌کنید به آن پیوسته‌اید. اعتماد محدود به هدف دقیقاً وجود دارد چون پرسش دوم همان چیزی است که اهمیت دارد.

پیکربندی‌های پشتیبانی‌شده می‌توانند اعتماد را به گواهی‌های سرور انتخاب‌شده یا نام‌های سرور مورد انتظار محدود کنند. به همین دلیل نهادها نمایه Wi-Fi تأییدشده توزیع می‌کنند به‌جای اینکه به کاربران بگویند نخستین گواهی ظاهرشده را بپذیرند، و به همین دلیل پیام بدون نام مورد انتظار جای بدی برای گرفتن تصمیم است.

گام 2: بررسی کنید که آیا مرجع گسترده‌تری نصب شده است

مرجع گواهی که مرورگر یا سیستم‌عامل به آن اعتماد دارد بسیار فراتر از گواهی سرور Wi-Fi پذیرفته‌شده برای یک شبکه می‌رسد. شیء، مخزنی که به آن وارد شده، هدفی که برایش مجاز است و اینکه کدام برنامه‌ها آن مخزن را بررسی می‌کنند را مشخص کنید.

بسته پیکربندی می‌تواند چندین تنظیم را همزمان داشته باشد، پس محتوا را بررسی کنید نه برچسب Wi-Fi نصب‌کننده را. برچسب وظیفه را توصیف می‌کند، نه لزوماً هر کاری که محموله انجام می‌دهد.

حتی یک ریشه گسترده ثابت نمی‌کند که هر نشست HTTPS بازرسی می‌شود. بازرسی به مسیر ترافیک مناسب و گواهی سروری نیاز دارد که برنامه طبق سیاست اعتبارسنجی واقعی خود آن را می‌پذیرد، و برنامه‌ها می‌توانند از مخزن‌های اعتماد متفاوت با بررسی‌های اضافی استفاده کنند.

گام 3: VPN را از تصمیم اعتماد بیرون نگه دارید

VPN مسیری را که پوشش می‌دهد پس از رسیدن دستگاه به همتای VPN محافظت می‌کند. ریشه نصب‌شده را حذف نمی‌کند، تصمیم‌های اعتماد یک برنامه را تغییر نمی‌دهد و به‌جای شما سرور احراز هویت Wi-Fi غیرمنتظره را بررسی نمی‌کند.

از مدیر درباره احراز هویت شبکه، مدیریت دستگاه و بازرسی TLS مجاز به‌صورت سه پرسش جداگانه بپرسید. این‌ها سه نام برای یک ویژگی گواهی نیستند و پاسخ پشتیبانی که آن‌ها را یکی می‌کند به شما نمی‌گوید کدام تغییر را تأیید کرده‌اید.

گام 4: ناسازگاری را بدون خراب کردن همه‌چیز برطرف کنید

جزئیات غیرمحرمانه را از پیام یادداشت کنید: نام سرور، صادرکننده و اثر انگشت اگر نمایش داده می‌شود. آن‌ها را با مقادیری که نهاد برای شبکه خود منتشر می‌کند مقایسه کنید و ناسازگاری را پرسشی برای مالک پیکربندی بدانید، نه چیزی که با کلیک رد می‌شود.

پیکربندی نصب‌شده را از طریق تنظیمات پشتیبانی‌شده سکو مرور کنید تا بدانید واقعاً چه چیزی معتبر است. پاک کردن همه گواهی‌ها روی دستگاه دسترسی نامرتبط را می‌شکند و پذیرش جایگزینی ناشناس بررسی هویتی را که می‌خواستید نگه دارید ضعیف می‌کند. ناسازگاری مشخص را اصلاح کنید و بقیه مخزن اعتماد را به حال خود بگذارید.