Aðgreindu innskráningar Wi-Fi-gáttarins frá VPN-innskránningum
Tvö ólík kerfi biðja um innskráningu: Wi-Fi staðarins og VPN-gáttin þín. Þau líta eins út á skjánum en heimila gjörólíka hluti. Spurðu í hverjum glugga: hver getur raunverulega staðfest þetta leyndarmál?
Tvö ólík kerfi biðja þig um innskráningu áður en þú nærð einhverju nytsamlegu á opinberu neti: Wi-Fi staðarins og VPN-gáttin þín. Þau líta eins út á skjánum og heimila gjörólíka hluti. Gáttin ræður því hvort þetta tæki megi nota staðarnetið; VPN-ið ræður því hvort þú megir ná einkaneti annars staðar. Ég held þeim aðskildum með því að spyrja í hverjum glugga einnar spurningar: hver getur raunverulega staðfest þetta leyndarmál? Hér á eftir kemur gátlistinn sem ég fer í gegnum á hótelum, flugvöllum og ráðstefnustöðum, þar á meðal þau atriði þar sem ég hætti að slá inn.
Tengdu hverja innskráningu við þjónustuna sem athugar hana
Ein hóteltenging getur falið í sér fjórar aðskildar athuganir, og aðeins sumar þeirra biðja um inntak frá þér. Raðaðu þeim fyrst, því skjárinn segir sjaldan hvaða stigi þær tilheyra.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X-net, algeng á skrifstofum og háskólum, óskýra fyrstu tvær línurnar. Þar er Wi-Fi-innskráningin sjálf auðkenningarathugun gagnvart RADIUS-þjóni, og biðlarinn getur lagt fram leiðsagnarauðkenni á meðan raunverulegi reikningurinn ferðast inni í dulkóðuðu skiptunum. Jafnvel þá snýst athugunin um að ganga í netið; hún heimilar ekki göngin, og VPN-gáttin samþykkir hana ekki sem sönnun fyrir neinu.
Röðin skiptir meira máli en merkingarnar. Fangelsisgáttir eru til vegna þess að hægt er að veita aðgang eftir tengingu, og þess vegna getur staður falið síðuna sérhæfðum þjónustuaðila. RFC 8952 IETF meðhöndlar gáttina sem eigin þátt, svo ókunnugt lén er ástæða til að athuga, ekki sönnun um svik eitt og sér. Berðu lénið saman við prentuð fyrirmæli staðarins, og reitina við töfluna.
Athugaðu hvað gáttinni er heimilt að biðja um
Reitir gáttarinnar snúast um rétt, ekki auðkenni: herbergisnúmer, eftirnafn bókunar, afsláttarkóði, kóðinn prentaður á lyklahylkið, netfang fyrir tímatakmarkað leyfi, samþykki skilmála. Staðurinn veit þegar hver bókaði herbergið, svo hann getur samsvarað þessar staðreyndir án þess að læra neitt sem myndi leyfa honum að starfa sem þú annars staðar.
Allt umfram þennan lista á skilið hlé. Hotspot-síða getur ekki staðfest lénlykilorðið þitt, og hún getur heldur ekki staðfest einnota kóðann þinn fyrir VPN, endurheimtukóða eða einkalykil, og hefur enga ástæðu til að vilja þau. Eina lögmæta undantekningin er net sem stofnun rekur: gesta-SSID á skrifstofu eða ráðstefnu-Wi-Fi getur sent þig til auðkenningarveitandans sem þú notar þegar fyrir vinnuna. Það er samt greinanlegt: innskráningarhýsillinn er sá daglegi, samþykkisskjárinn nefnir leigjandann þinn, og flæðið opnast í sýnilegum vafraflipa.
Markaðspóstur er aðskilinn: ferðaálitsheiti uppfyllir reitinn án að afhenda vinnuauðkennið þitt.
Athugaðu að VPN-biðlarinn vilji eigin skírteini
Biðlarinn biður um nákvæmlega það sem sniðið hans er stillt fyrir, svo væntanlegi glugginn er eiginleiki sniðsins en ekki netsins sem þú ert á. Skírteinasnið sýna venjulega sniðsval og tengjast svo hljóðlega. Notandanafns- og lykilorðasnið biðja um bæði, oft með einnota kóða. SSO-snið opna vafrann þinn hjá auðkenningarveitandanum og koma aftur með tóken. WireGuard er aftur öðruvísi: það auðkennir tæki með opinberum lykli og hefur enga notandainnskráningu, svo gluggi sem býður WireGuard-notandanafn og lykilorð lýsir ekki WireGuard.
Lestu sniðið áður en þú ferð. Í OpenVPN segir auth-user-pass þér að lykilorðsbeiðni sé væntanleg, en cert, key eða pkcs12 þýðir að skírteini eigi að vinna verkið. Ef snið sem tengist venjulega án beiðni biður skyndilega um lykilorð, grunaðu snið sem gat ekki hlaðið skírteini sínu eða féll aftur á aðra aðferð. Beiðni er ekki boð um að slá vinnulykilorðið þitt inn í hvaða glugga sem birtist.
Enginn lögmætur VPN-biðlari biður um herbergisnúmerið, gáttarafsláttinn eða Wi-Fi-lykilorðssetninguna sem auðkenningarinntak. Þegar það gerist er biðlarinn annaðhvort ekki það sem hann segist vera, eða fangelsisgátt grípur umferð áður en göngin myndast og þú ert að lesa HTML-síðu sem er stíluð eins og innskráning.
Stoppaðu við þessi fimm skilyrði
Þetta eru atriðin þar sem ég stoppa í stað þess að halda áfram með trúlega sniðgöngu. Hvert þeirra er ódýrt að athuga og dýrt að fara rangt.
- Skírteinis- eða TLS-viðvörun birtist á gáttinni eða á SSO-síðunni. Ekki smella í gegnum hana til að ná netinu.
- Síðan biður um leyndarmál sem aðeins VPN-gáttin eða auðkenningarveitandinn getur staðfest: lénlykilorð, einnota kóða, endurheimtukóða, einkanlykil.
- Lénið passar ekki við prentuð fyrirmæli staðarins eða innskráningarhýsilinn sem stofnun þín skrásetur fyrir eigin þjónustu.
- Þú ert beðinn um að setja upp rótarskírteini, stillingasnið eða hjálparforrit sem kemur ekki frá tækjastjórnun þinni.
- MFA-samþykki berst sem þú hófst ekki, eða VPN-biðlarinn biður um hótelskírteini.
Varasamstæðan er ekki annað lykilorð. Notaðu hotspot úr síma, spurðu móttökuna um nákvæmt netheiti og aðgangsaðferð, og tilkynntu síðuna til þess sem rekur netið eða til IT-borðsins þíns. Ekkert af þessu krefst þess að prófa skírteini gagnvart síðu sem þú getur ekki rakið.
Rekjaðu bilun til rétts stigs
Eftir að bæði stigin hafa staðist gerast bilanir samt, og villan nefnir venjulega stigið ef lesið er í röð: tenging, veiting vistfangs, heimild gáttar, myndun ganga, svo innri auðlindin. Að skipta um VPN-lykilorð vegna þess að gáttarkóði rann út eyðir tíma og lætur raunverulega vandamálið vera.
Nokkrar prófanir aðskilja stigin. Eftir innskráningu í gáttina, biddu um venjulega opinbera HTTPS-síðu. Ef gáttin kemur aftur í staðinn var heimildin aldrei fullkláruð á því lagi. Ef VPN-biðlarinn tilkynnir að hann nái ekki gáttinni liggur vandamálið undir göngunum: lota gáttarinnar, nafnaupplausn eða net sem lokar portinu. Ef göngin rísa og eitt innra hýsilnafn bregst, eru nafnaupplausn eða stefna innan einkanetsins betri grunur.
Lotur gáttarinnar renna einnig út óháð göngunum. Þegar staðurinn afturkallar aðgang dettur uppsett VPN-tenging þótt skírteini hennar hafi aldrei verið röng. Heimilaðu gáttina aftur, tengdu VPN aftur og leyfðu því að semja á ný. Að snúa VPN-lykilorðinu þá lagar ekkert og getur læst þig úti.
Gefðu hvert leyndarmál aðeins kerfinu sem getur staðfest það, og meðhöndlaðu beiðni sem passar ekki við töfluna sem stöðvunarmerki frekar en skref sem á að fara fram hjá. Ef bæði stigin standast og göngin neita samt, skráðu nákvæma villu biðlarans áður en þú breytir einhverjum skírteini.