Tuo Wi-Fi-varmenneilmoitus ei ole uusi juurivarmenneviranomainen

Valintaikkuna ilmestyy, kun liityt kampus- tai toimistoverkkoon, se mainitsee varmenteen ja tarjoaa painikkeen, jossa lukee luota tai jatka. Painikkeen takana on kaksi hyvin erilaista muutosta. Toinen opettaa Wi-Fi-asiakkaalle, minkä todennuspalvelimen se hyväksyy tässä yhdessä verkossa. Toinen asentaa varmenneviranomaisen, jota muut sovellukset voivat sen jälkeen käyttää. Ruudulla näkyvä sanamuoto on ainoa vihje, jonka saat, joten lue se ennen kuin napautat.

Vaihe 1: lue, mitä valintaikkuna todella pyytää

Etsi kolme asiaa: näytetty palvelimen nimi, ilmoitettu myöntäjä ja se, kuvataanko toiminto palvelimeen luottamisena tätä yhteyttä varten vai varmenteen asentamisena laitteelle. Ne ovat eri kohteita, ja kehote, joka ei kerro kumpaa olet hyväksymässä, ansaitsee pysähdyksen.

Älä hyväksy kumpaakaan versiota siksi, että verkon nimi näyttää tutulta. Verkkotunnuksen valitsee se, joka ylläpitää tukiasemaa, eikä captive-portaalin nimi ole todiste sen takana olevasta todennuspalvelimesta. Kuka tahansa tukiaseman kanssa voi lähettää vakuuttavan verkkotunnuksen. Juuri siksi varmenteen tarkistus on olemassa.

Mitä 802.1X-palvelinvarmenne todistaa

Varmenteita käyttävässä 802.1X-käyttöönotossa laitteen supplicant validoi todennuspalvelimen neuvottelun aikana. Applen 802.1X-käyttöönoton ohje kuvaa, miten RADIUS-palvelin esittää varmenteensa ja miten luottamuspäätös kuuluu kyseiselle palvelulle.

Viimeinen kohta on koko asian ydin. Tunnetun varmenneviranomaisen myöntämä varmenne todistaa, että myöntäjä allekirjoitti sen, ei sitä, että juuri tämä palvelin kuuluu siihen laitokseen, johon luulet liittyneesi. Käyttötarkoitukseen sidottu luottamus on olemassa juuri siksi, että toinen kysymys on se, jolla on merkitystä.

Tuetut kokoonpanot voivat rajoittaa luottamusta valittuihin palvelinvarmenteisiin tai odotettuihin palvelinnimiin. Siksi laitokset jakavat vahvistetun Wi-Fi-profiilin sen sijaan, että käskisivät käyttäjiä hyväksymään ensimmäisen näkyvän varmenteen, ja siksi kehote ilman odotettua nimeä on huono paikka tehdä päätös.

Vaihe 2: tarkista, onko laajempi viranomainen asennettu

Selaimen tai käyttöjärjestelmän luottama varmenneviranomainen ulottuu paljon pidemmälle kuin yhdelle verkolle hyväksytty Wi-Fi-palvelinvarmenne. Tunnista kohde, varasto johon se meni, käyttötarkoitus johon se on sallittu ja mitkä sovellukset kysyvät sitä varastoa.

Kokoonpanopaketti voi sisältää useita asetuksia kerralla, joten tutki sisältö sen sijaan, että luottaisit asentajan Wi-Fi-tarraan. Tarra kuvaa tehtävän, ei välttämättä kaikkea, mitä hyötykuorma tekee.

Laaja juurikaan ei todista, että jokaista HTTPS-istuntoa tarkkaillaan. Tarkkailu vaatii sopivan liikennereitin ja palvelinvarmenteen, jonka sovellus hyväksyy todellisen validointikäytäntönsä mukaan, ja sovellukset voivat käyttää eri luottamusvarastoja lisätarkistuksin.

Vaihe 3: pidä VPN luottamuspäätöksen ulkopuolella

VPN suojaa kattamansa reitin sen jälkeen, kun laite saavuttaa VPN-vastapuolen. Se ei poista asennettua juurta, muuta sovelluksen luottamuspäätöksiä eikä tarkista puolestasi odottamatonta Wi-Fi-todennuspalvelinta.

Kysy ylläpitäjältä verkon todennuksesta, laitehallinnasta ja valtuutetusta TLS-tarkkailusta kolmena erillisenä kysymyksenä. Ne eivät ole saman varmennetoiminnon kolme nimeä, eikä tukivastaus, joka yhdistää ne, kerro sinulle, minkä muutoksen hyväksyit.

Vaihe 4: ratkaise ristiriita rikkomatta kaikkea

Kirjaa kehotteen ei-salaiset tiedot: palvelimen nimi, myöntäjä ja sormenjälki, jos se näytetään. Vertaa niitä arvoihin, jotka laitos julkaisee omasta verkostaan, ja käsittele poikkeamaa kysymyksenä kokoonpanon omistajalle, ei jotain napautettavana pois.

Käy läpi asennettu kokoonpano alustan tuetuista asetuksista, jotta tiedät, mikä on todella voimassa. Kaikkien varmenteiden poistaminen laitteesta rikkoo asiaankuulumattoman pääsyn, ja tuntemattoman korvaajan hyväksyminen heikentää identiteettitarkistusta, jonka halusit säilyttää. Korjaa juuri se poikkeama ja jätä luottamusvaraston muu osa rauhaan.