Un VPN ne transforme pas un avertissement de certificat en confiance

Deux choses sont comparées ici et elles ne sont pas de même nature : le chiffrement d’un chemin et l’identité du serveur à son extrémité. Un VPN peut renforcer la première tout en laissant la seconde entièrement sans réponse. C’est pourquoi un avertissement sur une incohérence de nom ou un certificat expiré ne devient pas inoffensif lorsqu’un tunnel fonctionne. Le cadenas et l’avertissement parlent de propriétés différentes.

Le tunnel répond qui transporte le trafic ; le certificat répond qui le reçoit.

L’avertissement porte sur l’identité, pas sur le transport

Le navigateur signale que le certificat de l’autre partie ne s’est pas validé selon les règles qu’il était configuré à appliquer. Ces règles couvrent le nom, la chaîne, les dates de validité et l’heure actuelle. Un VPN n’en change aucune. Chiffrer le chemin vers un serveur au mauvais nom produit une connexion chiffrée vers le mauvais serveur, ce qui n’est pas une amélioration.

Des horloges d’appareil incorrectes en sont la cause plus souvent qu’on ne l’attend, surtout après une batterie déchargée ou un changement de fuseau horaire qui a mal tourné. Vérifiez l’horloge avant de conclure quoi que ce soit sur le réseau.

Quelle connexion a réellement échoué ?

Une page de portail, un site de destination et la passerelle VPN effectuent chacun leur propre contrôle d’identité, et l’erreur n’en nomme qu’un. Notez le nom d’hôte réel et le message exact plutôt que de traiter chaque certificat comme un seul objet. Sur un Wi-Fi captif, le portail intercepte généralement et présente son propre certificat, ce qui explique l’existence du parcours de connexion habituel du système. Un nom de réseau familier ne résout rien de tout cela.

Utilisez la procédure documentée du lieu plutôt que d’accepter une identité sans rapport pour atteindre une page de connexion.

Installer une racine est une autre décision

Quand une organisation a réellement besoin d’une configuration de confiance, elle la diffuse par des profils gérés ou un processus d’assistance que vous pouvez vérifier. Une page quelconque qui vous demande d’installer un certificat racine décrit une interception, pas un correctif. L’accepter permet à l’installateur de lire tout ce que le navigateur envoie à chaque site qui fait confiance à cette racine. Ce ne sont pas des actions équivalentes, et la seconde est difficile à annuler.

Pour la passerelle VPN, utilisez le profil vérifié de l’opérateur ou une identité de remplacement qu’il a émise. Supprimer la vérification pour faire taire un avertissement peut créer une connexion vers un point de terminaison que vous ne visiez pas.

Un tunnel ne protège qu’un seul chemin

Un tunnel correctement établi protège le chemin pour lequel il a été construit. Il n’authentifie pas chaque page que vous ouvrez et il ne récupère pas les informations déjà envoyées sur une connexion compromise. Ce sont des propriétés de la validation du navigateur et de ce qui s’est produit auparavant. Un tunnel est un couloir, pas une référence de caractère pour tous ceux qui sont à son extrémité.

Si le certificat d’un site est faux, la question utile est de savoir si vous avez atteint le site prévu. Un tunnel n’y répond pas, et il ne peut pas.

Notez le nom d’hôte, l’erreur et le résolveur ou le portail concerné. Ce relevé sépare un mauvais certificat d’un mauvais chemin.