Erottele Wi-Fi-portaalin ja VPN:n kirjautumiset
Kaksi eri järjestelmää pyytää kirjautumista: paikan Wi-Fi ja VPN-yhdyskäytäväsi. Ne näyttävät samalta, mutta valtuuttavat täysin eri asioita. Kysy jokaiselta ikkunalta: kuka voi todella vahvistaa tämän salaisuuden?
Kaksi eri järjestelmää pyytää sinua kirjautumaan ennen kuin pääset johonkin hyödylliseen julkisessa verkossa: paikan Wi-Fi ja VPN-yhdyskäytäväsi. Ne näyttävät ruudulla samalta ja valtuuttavat täysin eri asioita. Portaali päättää, saako tämä laite käyttää paikallista verkkoa; VPN päättää, saatko sinä saavuttaa yksityisverkon jossain muualla. Pidän ne erillään kysymällä jokaiselta ikkunalta yhden kysymyksen: kuka voi todella vahvistaa tämän salaisuuden? Seuraavaksi tulee tarkistuslista, jonka käyn läpi hotelleissa, lentoasemilla ja konferenssikeskuksissa, mukaan lukien kohdat, joissa lopetan kirjoittamisen.
Yhdistä jokainen kirjautuminen sitä tarkistavaan palveluun
Yksi hotelliyhteys voi sisältää neljä erillistä tarkistusta, ja vain osa niistä haluaa syötettä sinulta. Laita ne ensin järjestykseen, koska ruutu kertoo harvoin, mihin vaiheeseen se kuuluu.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X-verkot, yleisiä toimistoissa ja yliopistoissa, hämärtävät kaksi ensimmäistä riviä. Siellä Wi-Fi-kirjautuminen on itsessään henkilöllisyyden tarkistus RADIUS-palvelinta vastaan, ja asiakas voi esittää reititysidentiteetin, kun todellinen tili kulkee salatun vaihdon sisällä. Silloinkin tarkistus koskee verkkoon liittymistä; se ei valtuuta tunnelia, eikä VPN-yhdyskäytävä hyväksy sitä todisteeksi mistään.
Järjestys on tärkeämpi kuin nimikkeet. Captive-portaalit ovat olemassa, koska pääsy voidaan myöntää liittymisen jälkeen, ja siksi paikka voi antaa sivun erikoistuneelle palveluntarjoajalle. IETF:n RFC 8952 pitää portaalia omana komponenttinaan, joten tuntematon toimialue on syy tarkistaa, ei itsessään todiste petoksesta. Vertaa toimialuetta paikan kirjallisiin ohjeisiin ja kenttiä taulukkoon.
Tarkista, mitä portaali saa kysyä
Portaalin kentät koskevat oikeutta, eivät henkilöllisyyttä: huoneen numero, varauksen sukunimi, kuponkikoodi, avaimen suojukseen painettu koodi, sähköposti määräaikaista kulkulupaa varten, ehtojen hyväksyminen. Paikka tietää jo, kuka huoneen varasi, joten se voi sovittaa nämä tiedot oppimatta mitään, mikä antaisi sen toimia sinuna muualla.
Kaikki tuon listan ulkopuolella ansaitsee tauon. Hotspot-sivu ei voi vahvistaa toimialueen salasanaasi, eikä se voi vahvistaa myöskään VPN:n kertakäyttökoodia, palautuskoodia tai yksityistä avainta, eikä sillä ole syytä haluta niitä. Ainoa laillinen poikkeus on organisaation ylläpitämä verkko: toimiston vieras-SSID tai konferenssin Wi-Fi voi ohjata sinut identiteettipalveluntarjoajalle, jota jo käytät työssä. Se on silti erotettavissa: kirjautumisen isäntä on jokapäiväisesi, suostumusnäyttö nimeää vuokralaisesi ja kulku avautuu näkyvään selaimen välilehteen.
Markkinointisähköposti on erikseen: matkailualias täyttää kentän luovuttamatta työidentiteettiäsi.
Tarkista, että VPN-asiakas haluaa omat tunnuksensa
Asiakas pyytää täsmälleen sitä, mihin sen profiili on määritetty, joten odotettu ikkuna on profiilin ominaisuus eikä sen verkon, jossa satut olemaan. Varmenneprofiilit näyttävät yleensä profiilin valinnan ja yhdistävät sitten hiljaa. Käyttäjänimen ja salasanan profiilit pyytävät molempia, usein kertakäyttökoodilla. SSO-profiilit avaavat selaimen identiteettipalveluntarjoajalle ja palaavat tokenin kanssa. WireGuard on taas erilainen: se todentaa laitteet julkisella avaimella eikä siinä ole käyttäjän kirjautumista, joten ikkuna, joka tarjoaa WireGuardin käyttäjänimeä ja salasanaa, ei kuvaa WireGuardia.
Lue profiili ennen matkaa. Kohdassa OpenVPN auth-user-pass kertoo, että salasanakysely on odotettavissa, kun taas cert, key tai pkcs12 tarkoittaa, että varmenteen pitäisi tehdä työ. Jos profiili, joka yleensä yhdistää ilman kyselyä, pyytää yhtäkkiä salasanaa, epäile profiilia, joka ei saanut varmennettaan ladattua tai putosi toiseen menetelmään. Kysely ei ole kutsu kirjoittaa työsalasanaasi mihin tahansa ilmestyneeseen ikkunaan.
Mikään laillinen VPN-asiakas ei kysy huoneen numeroa, portaalin kuponkia tai Wi-Fi-salasanaa todennuksen syötteenä. Kun niin tapahtuu, joko asiakas ei ole se, mitä se väittää, tai captive-portaali sieppaa liikennettä ennen tunnelin muodostumista ja luet HTML-sivua, joka on muotoiltu näyttämään kirjautumiselta.
Pysähdy näihin viiteen ehtoon
Nämä ovat kohtia, joissa pysähdyn sen sijaan, että jatkaisin uskottavalla kiertotiellä. Jokainen on halpa tarkistaa ja kallis mennä pieleen.
- Portaalilla tai SSO-sivulla näkyy varmenteen tai TLS:n varoitus. Älä klikkaa sen läpi päästäksesi verkkoon.
- Sivu pyytää salaisuutta, jonka vain VPN-yhdyskäytävä tai identiteettipalveluntarjoaja voi vahvistaa: toimialueen salasana, kertakäyttökoodi, palautuskoodi, yksityinen avain.
- Toimialue ei vastaa paikan painettuja ohjeita tai kirjautumisen isäntää, jonka organisaatiosi dokumentoi omille palveluilleen.
- Sinua pyydetään asentamaan juurivarmenne, kokoonpanoprofiili tai apusovellus, joka ei tule laitehallinnastasi.
- Saapuu MFA-hyväksyntä, jota et aloittanut, tai VPN-asiakas pyytää hotellin tunnuksia.
Varavaihtoehto ei ole toinen salasana. Käytä puhelimen hotspotia, kysy vastaanotosta verkon tarkka nimi ja käyttötapa ja ilmoita sivu sivun ylläpitäjälle tai IT-tukeen. Mikään tästä ei vaadi tunnuksen testaamista sivua vastaan, jota et voi kohdistaa.
Kohdista virhe oikealle vaiheelle
Kun molemmat vaiheet on läpäisty, virheitä tapahtuu silti, ja virhe yleensä nimeää vaiheen, jos luet sen järjestyksessä: liittyminen, osoitteen jako, portaalin valtuutus, tunnelin muodostus ja sitten sisäinen resurssi. VPN-salasana vaihtaminen siksi, että portaalikoodi vanheni, tuhlaa aikaa ja jättää todellisen ongelman paikoilleen.
Muutama koe erottaa vaiheet. Portaalikirjautumisen jälkeen pyydä tavallista julkista HTTPS-sivua. Jos portaali palaa sen sijaan, valtuutusta ei koskaan viimeistelty sillä kerroksella. Jos VPN-asiakas ilmoittaa, ettei se tavoita yhdyskäytävää, ongelma on tunnelin alapuolella: portaalin istunto, nimien ratkaisu tai verkko, joka estää portin. Jos tunneli nousee ja yksi sisäinen isäntänimi epäonnistuu, nimien ratkaisu tai yksityisverkon sisäinen käytäntö on parempi epäilty.
Portaalin istunnot myös vanhenevat tunnelista riippumatta. Kun paikka peruuttaa pääsyn, muodostettu VPN-yhteys katkeaa, vaikka sen tunnukset eivät koskaan olleet väärin. Valtuuta portaali uudelleen, yhdistä sitten VPN uudelleen ja anna sen neuvotella uudelleen. VPN-salasana vaihtaminen silloin ei korjaa mitään ja voi lukita sinut ulos.
Anna jokainen salaisuus vain järjestelmälle, joka voi sen vahvistaa, ja kohtele kyselyä, joka ei sovi taulukkoon, pysäytysmerkkinä eikä vaiheena, joka pitää kiertää. Jos molemmat vaiheet menevät läpi ja tunneli silti kieltäytyy, tallenna asiakkaan tarkka virhe ennen minkään tunnuksen vaihtamista.