Válassza külön a Wi-Fi-portál és a VPN bejelentkezéseit
Két különböző rendszer kér bejelentkezést: a helyszín Wi-Fi-je és a VPN-átjáró. Ugyanúgy néznek ki a képernyőn, mégis egészen mást engedélyeznek. Kérdezze meg minden ablaknál: ki tudja valóban ellenőrizni ezt a titkot?
Két különböző rendszer kér bejelentkezést, mielőtt bármi hasznosat elérne egy nyilvános hálózaton: a helyszín Wi-Fi-je és a VPN-átjáró. A képernyőn ugyanúgy néznek ki, és egészen más dolgokat engedélyeznek. A portál dönti el, hogy ez az eszköz használhatja-e a helyi hálózatot; a VPN dönti el, hogy elérhet-e egy privát hálózatot máshol. Külön tartom őket azzal, hogy minden ablaknál egy kérdést teszek fel: ki tudja valóban ellenőrizni ezt a titkot? A következő az az ellenőrzőlista, amelyet szállodákban, repülőtereken és konferenciahelyszíneken végigviszek, beleértve azokat a pontokat, ahol abbahagyom a gépelést.
Rendelje minden bejelentkezést ahhoz a szolgáltatáshoz, amely ellenőrzi
Egyetlen szállodai kapcsolat négy külön ellenőrzést is magában foglalhat, és csak néhány kéri az Ön bevitelét. Először sorba rendezze őket, mert a képernyő ritkán mondja meg, melyik szakaszhoz tartozik.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
A 802.1X-hálózatok, amelyek irodákban és egyetemeken gyakoriak, elmossák az első két sort. Ott a Wi-Fi-bejelentkezés maga is identitásellenőrzés egy RADIUS-kiszolgáló felé, és a kliens útválasztási identitást mutathat be, miközben a valódi fiók a titkosított csere belsejében utazik. Még ekkor is a csatlakozásról szól az ellenőrzés; nem engedélyezi az alagutat, és a VPN-átjáró nem fogadja el semmi bizonyítékaként.
A sorrend fontosabb a címkéknél. A captive portálok azért léteznek, mert a hozzáférés a csatlakozás után is megadható, ezért egy helyszín szakértő szolgáltatónak adhatja át az oldalt. Az IETF RFC 8952-je a portált saját összetevőnek tekinti, így az ismeretlen domain ellenőrzési ok, nem önmagában a csalás bizonyítéka. Hasonlítsa össze a domaint a helyszín írásos utasításaival, a mezőket pedig a táblázattal.
Ellenőrizze, mit kérhet egy portál
A portál mezői a jogosultságról szólnak, nem az identitásról: szobaszám, foglalási vezetéknév, utalványkód, a kulcstartóra nyomtatott kód, e-mail egy időkorlátos belépőhöz, a feltételek elfogadása. A helyszín már tudja, ki foglalta a szobát, így egyeztetheti ezeket a tényeket anélkül, hogy bármit megtudna, ami lehetővé tenné, hogy máshol Önként cselekedjen.
Mindaz, ami túlmutat ezen a listán, szünetet érdemel. Egy hotspot-oldal nem tudja ellenőrizni a tartományi jelszavát, és a VPN egyszeri kódját, egy helyreállítási kódot vagy egy privát kulcsot sem tud ellenőrizni, és semmi oka nincs ezeket kérni. Az egyetlen jogszerű kivétel a szervezet által üzemeltetett hálózat: egy irodai vendég-SSID vagy egy konferencia-Wi-Fi átirányíthatja Önt ahhoz az identitásszolgáltatóhoz, amelyet már használ a munkához. Ez továbbra is felismerhető: a bejelentkezési gazdagép a mindennapi, a hozzájárulási képernyő az Ön bérlőjét nevezi meg, és a folyamat látható böngészőlapon nyílik meg.
A marketing e-mail külön dolog: egy utazási álca kielégíti a mezőt anélkül, hogy kiadná a munkaidentitását.
Ellenőrizze, hogy a VPN-kliens a saját hitelesítő adatait kéri
A kliens pontosan azt kéri, amire a profilja be van állítva, ezért a várt ablak a profil tulajdonsága, nem pedig a hálózaté, amelyen éppen van. A tanúsítványprofilok általában profilválasztást mutatnak, majd csendben kapcsolódnak. A felhasználónév-jelszó profilok mindkettőt kérik, gyakran egyszeri kóddal. Az SSO-profilok megnyitják a böngészőt az identitásszolgáltatónál, és tokennel térnek vissza. A WireGuard megint más: nyilvános kulccsal hitelesíti az eszközöket, és nincs felhasználói bejelentkezése, így a WireGuard-felhasználónevet és -jelszót kínáló ablak nem a WireGuardot írja le.
Utazás előtt olvassa el a profilt. A OpenVPN alatt a auth-user-pass jelzi, hogy jelszókérés várható, míg a cert, a key vagy a pkcs12 azt jelenti, hogy a tanúsítványnak kell elvégeznie a munkát. Ha egy profil, amely általában kérés nélkül kapcsolódik, hirtelen jelszót kér, gyanakodjon egy olyan profilra, amely nem tudta betölteni a tanúsítványát, vagy másik módszerre esett vissza. A kérés nem meghívás arra, hogy munkahelyi jelszavát bármely megjelent ablakba begépelje.
Egyetlen jogszerű VPN-kliens sem kéri a szobaszámot, a portál utalványát vagy a Wi-Fi-jelmondatot hitelesítési bemenetként. Amikor ez megtörténik, vagy a kliens nem az, aminek mondja magát, vagy egy captive portál elfogja a forgalmat, mielőtt az alagút létrejönne, és Ön egy bejelentkezésnek kinéző HTML-oldalt olvas.
Álljon meg ennél az öt feltételnél
Ezek azok a pontok, ahol megállok, ahelyett hogy egy hihető megkerülő megoldással folytatnám. Mindegyiket olcsó ellenőrizni és drága elrontani.
- Tanúsítvány- vagy TLS-figyelmeztetés jelenik meg a portálon vagy az SSO-oldalon. Ne kattintson át rajta, hogy elérje a hálózatot.
- Az oldal olyan titkot kér, amelyet csak a VPN-átjáró vagy az identitásszolgáltató tud ellenőrizni: tartományi jelszó, egyszeri kód, helyreállítási kód, privát kulcs.
- A domain nem egyezik a helyszín nyomtatott utasításaival vagy azzal a bejelentkezési gazdagéppel, amelyet a szervezete a saját szolgáltatásaihoz dokumentál.
- Arra kérik, hogy telepítsen gyökértanúsítványt, konfigurációs profilt vagy segédalkalmazást, amely nem az eszközkezeléséből származik.
- Olyan MFA-jóváhagyás érkezik, amelyet Ön nem indított, vagy a VPN-kliens szállodai hitelesítő adatokat kér.
A tartalék nem egy másik jelszó. Használjon telefonos hotspotot, kérdezze meg a recepción a hálózat pontos nevét és a hozzáférési módot, és jelentse az oldalt annak, aki a hálózatot üzemelteti, vagy az IT-ügyeletének. Ezek egyike sem igényli, hogy hitelesítő adatot teszteljen egy olyan oldalon, amelyet nem tud hozzárendelni.
Rendelje a hibát a megfelelő szakaszhoz
Miután mindkét szakasz átment, a hibák továbbra is előfordulnak, és a hiba általában megnevezi a szakaszt, ha sorrendben olvassa: csatlakozás, címkiosztás, portálengedélyezés, alagút létrehozása, majd a belső erőforrás. A VPN-jelszó megváltoztatása azért, mert lejárt egy portálkód, időt pazarol, és a valódi problémát a helyén hagyja.
Néhány próba elválasztja a szakaszokat. A portálos bejelentkezés után kérjen egy közönséges nyilvános HTTPS-oldalt. Ha helyette a portál tér vissza, az engedélyezés soha nem fejeződött be azon a rétegen. Ha a VPN-kliens azt jelzi, hogy nem éri el az átjárót, a probléma az alagút alatt van: a portál munkamenete, a névfeloldás vagy egy hálózat, amely blokkolja a portot. Ha az alagút feljön, és egy belső gazdagépnév meghiúsul, a névfeloldás vagy a házirend a magánhálózaton belül a jobb gyanúsított.
A portál munkamenetei az alagúttól függetlenül is lejárnak. Amikor a helyszín visszavonja a hozzáférést, egy meglévő VPN-kapcsolat megszakad, pedig a hitelesítő adatai soha nem voltak hibásak. Engedélyezze újra a portált, majd csatlakoztassa újra a VPN-t, és hagyja, hogy újratárgyaljon. A VPN-jelszó forgatása ekkor semmit nem javít, és kizárhatja Önt.
Minden titkot csak annak a rendszernek adjon, amely ellenőrizni tudja, és a táblázathoz nem illő kérést stopjelnek tekintse, ne pedig megkerülendő lépésnek. Ha mindkét szakasz átmegy, és az alagút mégis elutasít, rögzítse a kliens pontos hibáját, mielőtt bármilyen hitelesítő adatot megváltoztat.