Quell’avviso del certificato Wi-Fi non è una nuova CA radice

La finestra di dialogo compare mentre ti unisci a una rete universitaria o aziendale, menziona un certificato e offre un pulsante che dice fidati o continua. Dietro quel pulsante si nascondono due modifiche molto diverse. Una insegna al client Wi-Fi quale server di autenticazione accettare per questa singola rete. L’altra installa un’autorità di certificazione che altre applicazioni potranno poi usare. Il testo sullo schermo è l’unico indizio che hai, quindi leggilo prima di toccare.

Passo 1: leggi cosa ti sta chiedendo davvero la finestra

Cerca tre cose: il nome del server mostrato, l’emittente indicato e se l’azione è descritta come fidarsi di un server per questa connessione o come installare un certificato sul dispositivo. Sono oggetti diversi, e un avviso che non ti dice quale stai approvando merita una pausa.

Non approvare nessuna delle due versioni solo perché il nome della rete sembra familiare. Gli SSID li sceglie chi gestisce l’access point, e il nome sul portale captive non è una prova sul server di autenticazione che sta dietro. Chiunque abbia un access point può trasmettere un SSID convincente. È proprio per questo che esiste il controllo del certificato.

Che cosa dimostra un certificato server 802.1X

In un deployment 802.1X con certificati, il supplicant del dispositivo convalida il server di autenticazione durante la negoziazione. La guida al deployment 802.1X di Apple descrive il server RADIUS che presenta il proprio certificato e la decisione di fiducia adeguata a quel servizio.

Quest’ultimo punto è tutto il senso. Un certificato emesso da una CA nota dimostra che l’emittente l’ha firmato, non che questo particolare server appartenga all’istituzione a cui credi di esserti unito. La fiducia limitata a uno scopo esiste proprio perché la seconda domanda è quella che conta.

Le configurazioni supportate possono limitare la fiducia a certificati server selezionati o a nomi server attesi. Per questo le istituzioni distribuiscono un profilo Wi-Fi verificato invece di dire agli utenti di accettare il primo certificato che compare, e per questo un avviso senza nome atteso è un pessimo posto per prendere la decisione.

Passo 2: verifica se è arrivata un’autorità più ampia

Una CA di cui si fidano un browser o il sistema operativo arriva molto più lontano di un certificato server Wi-Fi accettato per una sola rete. Identifica l’oggetto, l’archivio in cui è entrato, lo scopo per cui è consentito e quali applicazioni consultano quell’archivio.

Un pacchetto di configurazione può contenere più impostazioni insieme, quindi ispeziona il contenuto invece di fidarti dell’etichetta Wi-Fi dell’installer. L’etichetta descrive l’incarico, non necessariamente tutto ciò che fa il payload.

Neanche una radice ampia dimostra che ogni sessione HTTPS venga ispezionata. L’ispezione richiede un percorso di traffico adeguato e un certificato server che l’applicazione accetti secondo la sua reale politica di convalida, e le applicazioni possono usare archivi di fiducia diversi con controlli aggiuntivi.

Passo 3: tieni la VPN fuori dalla decisione di fiducia

Una VPN protegge il tratto che copre dopo che il dispositivo raggiunge il peer VPN. Non rimuove una radice installata, non cambia le decisioni di fiducia di un’applicazione e non verifica al posto tuo un server di autenticazione Wi-Fi inatteso.

Chiedi all’amministratore di autenticazione di rete, gestione dei dispositivi e ispezione TLS autorizzata come tre domande separate. Non sono tre nomi della stessa funzione di certificato, e una risposta del supporto che le unisce non ti dirà quale modifica hai approvato.

Passo 4: risolvi la discrepanza senza rompere tutto

Annota i dettagli non segreti dell’avviso: il nome del server, l’emittente e l’impronta se viene mostrata. Confrontali con i valori che l’istituzione pubblica per la propria rete, e tratta una discrepanza come una domanda per il proprietario della configurazione, non come qualcosa da cliccare via.

Esamina la configurazione installata tramite le impostazioni supportate della piattaforma per sapere cosa è davvero in vigore. Cancellare tutti i certificati del dispositivo rompe accessi non correlati, e accettare una sostituzione sconosciuta indebolisce il controllo di identità che volevi mantenere. Correggi la discrepanza specifica e lascia stare il resto dell’archivio di fiducia.