VPNは証明書の警告を信頼には変えない

ここでは経路の暗号化とその終点にあるサーバーの身元という二つのものが比較されていますが、同じ種類ではありません。VPNは前者を強化できても、後者にはまったく答えません。だからこそ、名前の不一致や期限切れの証明書に関する警告は、トンネルが動いているからといって無害にはなりません。錠前と警告は別の性質について語っています。

トンネルは誰が通信を運ぶかに答え、証明書は誰がそれを受け取るかに答えます。

警告は身元についてであり、転送についてではない

ブラウザは、相手の証明書が設定された規則に従って検証されなかったと報告しています。その規則は名前、連鎖、有効期間、現在時刻を対象にします。VPNはそのどれも変えません。誤った名前のサーバーへの経路を暗号化しても、誤ったサーバーへの暗号化された接続が生まれるだけで、改善にはなりません。

デバイスの時計の誤りは、特にバッテリーが切れた後やタイムゾーンの変更がうまくいかなかった後に、人が思う以上に頻繁にこれを引き起こします。ネットワークについて何かを結論づける前に、時計を確認してください。

実際に失敗したのはどの接続か

ポータルのページ、目的のサイト、VPNゲートウェイはそれぞれ独自の身元確認を行い、エラーはその一つだけを指します。すべての証明書を一つの対象として扱うのではなく、実際のホスト名と正確なメッセージを記録してください。閉じたWi-Fiではポータルが通常傍受して独自の証明書を提示するため、オペレーティングシステムの通常のサインイン手順が存在します。見覚えのあるネットワーク名は、このどれも解決しません。

ログインページに到達するために無関係な身元を受け入れるのではなく、その場所の文書化された手順を使ってください。

ルートのインストールは別の判断

組織が本当に信頼の構成を必要とする場合、管理プロファイルや検証可能なサポート手順を通じて配布します。ルート証明書のインストールを求める無作為なページは、修正ではなく傍受を説明しています。受け入れると、インストーラーはブラウザがそのルートを信頼するすべてのサイトに送る内容をすべて読めるようになります。これらは同等の行為ではなく、後者は元に戻すのが困難です。

VPNゲートウェイには、事業者の検証済みプロファイルか、事業者が発行した代替の身元を使ってください。警告を黙らせるために検証を外すと、意図していなかった端点への接続を作ってしまうことがあります。

トンネルが守るのは一本の経路だけ

正しく確立されたトンネルは、そのために築かれた経路を守ります。開くすべてのページを認証するわけではなく、すでに侵害された接続で送られた情報を取り戻すこともできません。それらはブラウザの検証と、以前に起きたことの性質です。トンネルは通路であり、その終点にいる全員の身上書ではありません。

サイトの証明書が誤っている場合、有用な問いは意図したサイトに到達したかどうかです。トンネルはそれに答えられませんし、答えられないのです。

ホスト名、エラー、関与したリゾルバーまたはポータルを記録してください。その記録が、悪い証明書と悪い経路を切り分けます。