Quella pagina di accesso Wi-Fi è vera? Verificate prima di digitare una password

Vi collegate al Wi-Fi della struttura, si apre una pagina e vi chiede di accedere con un indirizzo email o un account aziendale. Il nome della rete corrisponde a quello che vi ha detto la reception e il logo sembra giusto. Nessuna delle due cose è una prova, perché entrambe si possono copiare in un pomeriggio. Confermate il metodo di accesso tramite una fonte che non sia la pagina davanti a voi prima di digitare qualsiasi cosa.

Partite dalle istruzioni, non dalla pagina

È tutto qui: verificate tramite un canale indipendente, poi decidete. Tutto ciò che segue è cosa confrontare e cosa rifiutare.

Sembra lento e richiede circa due minuti dopo che l’avete fatto due volte.

Leggete il dominio, non il design

Chiedete alla struttura come funziona l’accesso per gli ospiti, oppure leggete la scheda, la ricevuta o l’email di conferma arrivata con la prenotazione. Confrontate il dominio di accesso e le informazioni richieste con quelle istruzioni. Le strutture usano davvero servizi di portale esterni, quindi un dominio sconosciuto richiede verifica e non un’ipotesi automatica in nessuna direzione. Un dominio coerente con le istruzioni non è prova di sicurezza, ma una discrepanza è un motivo per fermarsi.

Guardate la barra degli indirizzi, non l’impaginazione. Un lucchetto dice solo che la connessione a quell’host è cifrata; non dice nulla sul fatto che l’host sia quello che la struttura intendeva.

Un avviso HTTPS è un segnale di stop, non qualcosa da oltrepassare con un clic.

Leggete cosa chiede la pagina

Una pagina di accesso Wi-Fi ha un compito ristretto: accettare un numero di camera, un codice voucher, un indirizzo email o una casella per i termini. Non ha alcun motivo di chiedere la vostra chiave privata VPN, la password di lavoro, i codici di recupero o una carta di pagamento per una rete gratuita. Queste cose appartengono ad altri servizi, e una pagina che le chiede vi ha già detto cos’è. Trattate la richiesta stessa come il segnale più forte che otterrete.

Rifiutate di installare un certificato di fiducia o un’applicazione ausiliaria perché la pagina dice che l’accesso lo richiede. I requisiti gestiti legittimi arrivano tramite la vostra organizzazione, non tramite un invito di un portale.

Se la pagina esige una delle due cose, disconnettetevi e usate un’altra rete.

La connessione automatica decide su quale rete siete

Un nome di rete salvato può connettersi automaticamente, il che significa che il dispositivo può trovarsi su una rete che non avete scelto deliberatamente in quel momento. Controllate le impostazioni di connessione automatica della piattaforma e dimenticate le reti che non vi servono più. Quella singola abitudine elimina il modo più comune con cui una rete simile porta un dispositivo su di sé senza una decisione. Rende anche l’SSID su cui siete una scelta deliberata invece di un evento di sfondo.

Due reti con lo stesso nome possono esistere nello stesso luogo, e il dispositivo ne sceglie una senza chiedere. Il vostro ricordo di quella a cui vi siete collegati non è un registro affidabile.

Verificate la rete a cui siete realmente associati, non quella a cui volevate collegarvi.

La VPN non copre questo passaggio

Una VPN ha bisogno del percorso di accesso prima di potersi connettere, quindi il portale captive avviene prima che il tunnel esista. Questo ordine significa che il portale non può diventare affidabile grazie alla VPN, e che la VPN non può proteggere retroattivamente le credenziali che avete già dato a una pagina falsa. Collegate il tunnel dopo che il portale è verificato e la rete è abbastanza affidabile da usarla. Trattate i due passaggi come decisioni separate con prove separate.

Se la pagina è verificata e il tunnel continua a fallire, è un problema di rete e appartiene a un’altra lista.

Se avete già digitato una password di lavoro in una pagina di cui ora dubitate, cambiatela da una connessione riconosciuta buona e dite al vostro amministratore cosa è successo. Qui la rapidità conta più della certezza.

L’architettura del portale captive descritta nella RFC 8952 merita una lettura, perché spiega perché il portale si trova fuori da qualsiasi tunnel che potreste costruire in seguito. Quella conoscenza trasforma una pagina sospetta in una decisione anziché in una congettura.