Cette invite de certificat Wi-Fi n’est pas une nouvelle AC racine

La boîte de dialogue apparaît pendant que vous rejoignez un réseau de campus ou de bureau, elle mentionne un certificat et propose un bouton qui dit faire confiance ou continuer. Deux modifications très différentes se cachent derrière ce bouton. L’une apprend au client Wi-Fi quel serveur d’authentification accepter pour ce seul réseau. L’autre installe une autorité de certification que d’autres applications pourront ensuite utiliser. Le libellé à l’écran est votre seul indice, alors lisez-le avant de toucher.

Étape 1 : lisez ce que la boîte de dialogue demande réellement

Cherchez trois choses : le nom de serveur affiché, l’émetteur nommé et si l’action est décrite comme faire confiance à un serveur pour cette connexion ou installer un certificat sur l’appareil. Ce sont des objets différents, et une invite qui ne vous dit pas lequel vous approuvez mérite une pause.

N’approuvez aucune des deux versions parce que le nom du réseau vous semble familier. Les SSID sont choisis par celui qui exploite le point d’accès, et le nom du portail captif ne prouve rien sur le serveur d’authentification derrière lui. N’importe qui disposant d’un point d’accès peut diffuser un SSID convaincant. C’est précisément pour cela que la vérification du certificat existe.

Ce que prouve un certificat de serveur 802.1X

Dans un déploiement 802.1X utilisant des certificats, le supplicant de l’appareil valide le serveur d’authentification pendant la négociation. Les recommandations d’Apple pour le déploiement 802.1X décrivent le serveur RADIUS présentant son certificat et la décision de confiance adaptée à ce service.

Ce dernier point est tout l’enjeu. Un certificat délivré par une AC connue prouve que l’émetteur l’a signé, pas que ce serveur précis appartient à l’établissement que vous croyez avoir rejoint. La confiance limitée à un usage existe précisément parce que c’est la seconde question qui compte.

Les configurations prises en charge peuvent restreindre la confiance à des certificats de serveur sélectionnés ou à des noms de serveur attendus. C’est pourquoi les établissements distribuent un profil Wi-Fi vérifié au lieu de dire aux utilisateurs d’accepter le premier certificat venu, et pourquoi une invite sans nom attendu est un mauvais endroit pour prendre la décision.

Étape 2 : vérifiez si une autorité plus large s’est installée

Une AC à laquelle un navigateur ou le système d’exploitation fait confiance porte bien plus loin qu’un certificat de serveur Wi-Fi accepté pour un seul réseau. Identifiez l’objet, le magasin dans lequel il est entré, l’usage auquel il est autorisé et quelles applications consultent ce magasin.

Un paquet de configuration peut contenir plusieurs réglages à la fois, inspectez donc son contenu au lieu de faire confiance à l’étiquette Wi-Fi de l’installateur. L’étiquette décrit la course, pas nécessairement tout ce que fait la charge utile.

Même une racine large ne prouve pas que chaque session HTTPS est inspectée. L’inspection exige un chemin de trafic approprié et un certificat de serveur que l’application accepte selon sa vraie politique de validation, et les applications peuvent utiliser des magasins de confiance différents avec des contrôles supplémentaires.

Étape 3 : gardez le VPN hors de la décision de confiance

Un VPN protège le chemin qu’il couvre une fois que l’appareil a atteint le pair VPN. Il ne retire pas une racine installée, ne change pas les décisions de confiance d’une application et ne vérifie pas à votre place un serveur d’authentification Wi-Fi inattendu.

Interrogez l’administrateur sur l’authentification réseau, la gestion des appareils et l’inspection TLS autorisée comme trois questions distinctes. Ce ne sont pas trois noms d’une même fonction de certificat, et une réponse de support qui les fusionne ne vous dira pas quelle modification vous avez approuvée.

Étape 4 : résolvez l’écart sans tout casser

Notez les détails non secrets de l’invite : le nom du serveur, l’émetteur et l’empreinte si elle est affichée. Comparez-les aux valeurs que l’établissement publie pour son propre réseau, et traitez un écart comme une question pour le propriétaire de la configuration plutôt que comme quelque chose à cliquer.

Examinez la configuration installée via les réglages pris en charge de la plateforme pour savoir ce qui est réellement en vigueur. Effacer tous les certificats de l’appareil casse des accès sans rapport, et accepter un remplacement inconnu affaiblit le contrôle d’identité que vous vouliez garder. Corrigez l’écart précis et laissez le reste du magasin de confiance tranquille.