הודעת תעודת ה-Wi-Fi הזו אינה רשות שורש חדשה

תיבת הדו-שיח מופיעה בזמן שאתם מצטרפים לרשת קמפוס או משרד, היא מזכירה תעודה ומציעה כפתור שעליו כתוב סמוך או המשך. מאחורי הכפתור הזה מסתתרות שתי שינויים שונים מאוד. האחת מלמדת את לקוח ה-Wi-Fi איזה שרת אימות לקבל עבור הרשת האחת הזו. האחרת מתקינה רשות תעודות שיישומים אחרים יוכלו להשתמש בה לאחר מכן. הנוסח על המסך הוא הרמז היחיד שיש לכם, אז קראו אותו לפני שתיגעו.

שלב 1: קראו מה תיבת הדו-שיח באמת מבקשת

חפשו שלושה דברים: שם השרת המוצג, המנפיק הנקוב והאם הפעולה מתוארת כאמון בשרת עבור החיבור הזה או כהתקנת תעודה במכשיר. אלה אובייקטים שונים, והתראה שאינה אומרת איזה מהם אתם מאשרים ראויה להפסקה.

אל תאשרו אף אחת מהשתיים רק משום ששם הרשת נראה מוכר. את ה-SSID בוחר מי שמפעיל את נקודת הגישה, והשם בפורטל ה-captive אינו ראיה לשרת האימות שמאחוריו. כל מי שיש לו נקודת גישה יכול לשדר SSID משכנע. בדיוק לשם כך קיימת בדיקת התעודה.

מה תעודת שרת 802.1X מוכיחה

בפריסת 802.1X המשתמשת בתעודות, ה-supplicant של המכשיר מאמת את שרת האימות במהלך המשא ומתן. מדריך הפריסה של 802.1X של Apple מתאר את שרת ה-RADIUS מציג את התעודה שלו ואת החלטת האמון המתאימה לאותה שירות.

החלק האחרון הזה הוא כל העניין. תעודה שהונפקה בידי רשות תעודות מוכרת מוכיחה שהמנפיק חתם עליה, לא ששרת מסוים זה שייך למוסד שאתם חושבים שהצטרפתם אליו. אמון מוגבל למטרה קיים בדיוק משום שהשאלה השנייה היא זו שחשובה.

תצורות נתמכות יכולות להגביל את האמון לתעודות שרת נבחרות או לשמות שרת צפויים. לכן מוסדות מפיצים פרופיל Wi-Fi מאומת במקום לומר למשתמשים לקבל את התעודה הראשונה שתופיע, ולכן התראה בלי שם צפוי היא מקום גרוע לקבלת ההחלטה.

שלב 2: בדקו אם הותקנה רשות רחבה יותר

רשות תעודות שדפדפן או מערכת ההפעלה סומכים עליה מגיעה רחוק בהרבה מתעודת שרת Wi-Fi שהתקבלה עבור רשת אחת. זהו את האובייקט, את המאגר שאליו נכנס, את המטרה שהוא מורשה לה ואת אילו יישומים מתייעצים עם המאגר הזה.

חבילת תצורה יכולה להכיל כמה הגדרות בבת אחת, אז בדקו את התוכן במקום לסמוך על תווית ה-Wi-Fi של המתקין. התווית מתארת את המשימה, לא בהכרח כל מה שהמטען עושה.

אפילו שורש רחב אינו מוכיח שכל הפעלת HTTPS נבדקת. הבדיקה דורשת נתיב תעבורה מתאים ותעודת שרת שהיישום מקבל לפי מדיניות האימות האמיתית שלו, ויישומים יכולים להשתמש במאגרי אמון שונים עם בדיקות נוספות.

שלב 3: החזיקו את ה-VPN מחוץ להחלטת האמון

VPN מגן על הנתיב שהוא מכסה לאחר המכשיר מגיע לעמית ה-VPN. הוא אינו מסיר שורש מותקן, אינו משנה החלטות אמון של יישום ואינו מאמת בשמכם שרת אימות Wi-Fi בלתי צפוי.

שאלו את המנהל על אימות רשת, ניהול מכשירים ובדיקת TLS מורשית כשלוש שאלות נפרדות. אלה אינם שלושה שמות לאותה תכונת תעודה, ותשובת תמיכה שממזגת אותם לא תגיד לכם איזה שינוי אישרתם.

שלב 4: פתרו את אי-ההתאמה בלי לשבור הכול

רשמו את הפרטים הלא-סודיים מההתראה: שם השרת, המנפיק וטביעת האצבע אם היא מוצגת. השוו אותם לערכים שהמוסד מפרסם עבור הרשת שלו, והתייחסו לאי-התאמה כשאלה לבעל התצורה, לא כמשהו שמדלגים עליו בלחיצה.

עברו על התצורה המותקנת דרך ההגדרות הנתמכות של הפלטפורמה כדי שתדעו מה באמת בתוקף. מחיקת כל התעודות במכשיר שוברת גישה לא קשורה, וקבלת תחליף לא מוכר מחלישה את בדיקת הזהות שרציתם לשמור. תקנו את אי-ההתאמה הספציפית והניחו לשאר מאגר האמון.