Dat Wi-Fi-sertifikaatberjocht is gjin nije woartelsertifikaasje-ynstânsje
Ien dialoochfinster kin betsjutte datsto dizze RADIUS-tsjinner foar ien netwurk fertroust, of dat der in woartel foar it hiele apparaat ynstalleare wurdt. Lês de bewurding en kontrolearje dan it argyf dat it oanrekke hat.
It dialoochfinster ferskynt wylststo by in kampus- of kantoarnetwurk oanslút, it neamt in sertifikaat en biedt in knop oan mei de tekst fertrouwe of trochgean. Efter dy knop ferskûlje har twa hiel ferskillende feroarings. Ien leart de Wi-Fi-klant hokker ferifikaasjetsjinner er foar dit iene netwurk akseptearje moat. De oare ynstallearret in sertifikaasje-ynstânsje dy't oare tapassings dêrnei brûke kinne. De bewurding op it skerm is it iennige spoar datsto krigest, lês it dêrom foardatsto tikst.
Stap 1: lês wat it dialoochfinster echt freget
Sykje trije dingen: de toande tsjinnernamme, de neamde útjouwer en oft de aksje beskreaun is as it fertrouwen fan in tsjinner foar dizze ferbining of as it ynstallearjen fan in sertifikaat op it apparaat. Dat binne ferskillende objekten, en in oanwizing dy't net seit hokkerst goedkest, fertsjinnet in skoft.
Keur gjin fan beide ferzjes goed allinnich om't de netwurknamme bekend liket. SSID's wurde keazen troch wa't it tagongspunt beheard, en de namme op it captive-portaal is gjin bewiis oer de ferifikaasjetsjinner dêrefter. Elkenien mei in tagongspunt kin in oertsjûgjende SSID útstjoere. Dêrom bestiet de sertifikaatkontrôle.
Wat in 802.1X-tsjinnersertifikaat bewissiget
Yn in 802.1X-ymplemintaasje mei sertifikaten falidearret de supplicant fan it apparaat de ferifikaasjetsjinner by de ûnderhanneling. Apple's 802.1X-ymplemintaasjegids beskriuwt dat de RADIUS-tsjinner syn sertifikaat foarlit en dat it fertrouwensbeslút by dy tsjinst heart.
Dat lêste part is it hiele punt. In sertifikaat dat troch in bekende sertifikaasje-ynstânsje útjûn is, bewissiget dat de útjouwer it ûndertekene hat, net dat dizze spesifike tsjinner by de ynstelling heart dêr'tsto tinkt datsto by oansletten bist. Doelbeheind fertrouwen bestiet krekt om't de twadde fraach dy is dy't ta docht.
Stipe konfiguraasjes kinne fertrouwen beheine ta selektearre tsjinnersertifikaten of ferwachte tsjinnernammen. Dêrom ferspriede ynstellings in ferifiearre Wi-Fi-profyl ynstee fan brûkers te fertellen it earste sertifikaat dat ferskynt te akseptearjen, en dêrom is in oanwizing sûnder ferwachte namme in min plak foar dy beslissing.
Stap 2: kontrolearje oft in bredere ynstânsje ynstalleare is
In sertifikaasje-ynstânsje dy't in browser of it bestjoeringssysteem fertrout, rikt folle fierder as in Wi-Fi-tsjinnersertifikaat dat foar ien netwurk akseptearre is. Bepaal it objekt, it argyf dêr't it yn kaam, it doel dêr't it foar tastien is en hokker tapassings dat argyf rieplachtje.
In konfiguraasjepakket kin ferskate ynstellings tagelyk befetsje, ûndersykje dêrom de ynhâld ynstee fan it Wi-Fi-etiket op it ynstallaasjeprogramma te fertrouwen. It etiket beskriuwt de opdracht, net needsaaklik alles wat de lading docht.
Sels in brede woartel bewissiget net dat elke HTTPS-sesje ûndersocht wurdt. Undersyk freget in passende ferkearsrûte en in tsjinnersertifikaat dat de tapassing neffens syn echte falidaasjebelied akseptearret, en tapassings kinne ferskillende fertrouwensargiven mei ekstra kontrôles brûke.
Stap 3: hâld de VPN bûten it fertrouwensbeslút
In VPN beskermet de rûte dy't it dekt nei't it apparaat de VPN-pear berikt. It ferwideret gjin ynstallearre woartel, feroaret gjin fertrouwensbesluten fan in tapassing en ferifiearret net namens dy in ûnferwachte Wi-Fi-ferifikaasjetsjinner.
Freegje de behearder oer netwurkferifikaasje, apparaatbehear en autorisearre TLS-ûndersyk as trije aparte fragen. Dat binne gjin trije nammen foar deselde sertifikaatfunksje, en in stipe-antwurd dat se gearfoeget, sil dy net fertelle hokker feroaringst goedkest hast.
Stap 4: los de mismatch op sûnder alles te brekken
Skriuw de net-geheime bysûnderheden fan 'e oanwizing op: de tsjinnernamme, de útjouwer en de fingerôfdruk as dy toand wurdt. Fergelykje se mei de wearden dy't de ynstelling foar syn eigen netwurk publisearret, en behannelje in mismatch as in fraach foar de eigner fan 'e konfiguraasje, net as eat om wei te klikken.
Gean de ynstallearre konfiguraasje nei fia de stipe ynstellings fan it platfoarm, sadatsto witst wat echt fan krêft is. Alle sertifikaten op it apparaat wiskje brekt net-relatearre tagong, en in ûnbekende ferfanging akseptearje ferswakket de identiteitskontrôle dy'tsto hâlde woe. Korrizjearje de spesifike mismatch en lit de rest fan it fertrouwensargyf gewurde.