Una VPN non trasforma un avviso di certificato in fiducia

Qui si confrontano due cose e non sono dello stesso tipo: la crittografia di un percorso e l’identità del server alla sua estremità. Una VPN può rafforzare la prima lasciando la seconda del tutto senza risposta. Per questo un avviso su un nome non corrispondente o su un certificato scaduto non diventa innocuo quando è in funzione un tunnel. Il lucchetto e l’avviso parlano di proprietà diverse.

Il tunnel risponde a chi trasporta il traffico; il certificato risponde a chi lo riceve.

L’avviso riguarda l’identità, non il trasporto

Il browser segnala che il certificato dell’altra parte non è stato convalidato secondo le regole per cui era configurato. Tali regole coprono il nome, la catena, le date di validità e l’ora attuale. Una VPN non ne cambia nessuna. Crittografare il percorso verso un server con il nome sbagliato produce una connessione crittografata al server sbagliato, il che non è un miglioramento.

Orologi dei dispositivi errati causano questo più spesso di quanto la gente si aspetti, soprattutto dopo che una batteria si è scaricata o che un cambio di fuso orario è andato storto. Controllate l’orologio prima di concludere qualsiasi cosa sulla rete.

Quale connessione ha fallito davvero?

Una pagina di portale, un sito di destinazione e il gateway VPN eseguono ciascuno il proprio controllo d’identità, e l’errore ne nomina solo uno. Annotate il nome host reale e il messaggio esatto invece di trattare ogni certificato come un unico oggetto. Su un Wi-Fi captive, il portale di solito intercetta e presenta il proprio certificato, ed è per questo che esiste il normale flusso di accesso del sistema operativo. Un nome di rete familiare non risolve nulla di tutto ciò.

Usate la procedura documentata del locale invece di accettare un’identità non correlata per raggiungere una pagina di accesso.

Installare una radice è una decisione diversa

Quando un’organizzazione ha davvero bisogno di una configurazione di fiducia, la distribuisce tramite profili gestiti o una procedura di supporto che potete verificare. Una pagina qualsiasi che vi chiede di installare un certificato radice descrive un’intercettazione, non una correzione. Accettarla consente all’installatore di leggere tutto ciò che il browser invia a ogni sito che si fida di quella radice. Non sono azioni equivalenti, e la seconda è difficile da annullare.

Per il gateway VPN, usate il profilo verificato dell’operatore o un’identità sostitutiva da lui emessa. Rimuovere la verifica per mettere a tacere un avviso può creare una connessione verso un endpoint che non intendevate.

Un tunnel protegge un solo percorso

Un tunnel stabilito correttamente protegge il percorso per cui è stato costruito. Non autentica ogni pagina che aprite e non recupera informazioni già inviate su una connessione compromessa. Sono proprietà della convalida del browser e di ciò che è accaduto prima. Un tunnel è un corridoio, non una referenza di carattere per tutti quelli alla sua estremità.

Se il certificato di un sito è sbagliato, la domanda utile è se avete raggiunto il sito previsto. Un tunnel non risponde a questo, e non può.

Annotate il nome host, l’errore e il resolver o portale coinvolto. Quel registro separa un certificato cattivo da un percorso cattivo.