この Wi-Fi 証明書の通知は新しいルート認証局ではない

キャンパスやオフィスのネットワークに参加しているとき、ダイアログが表示され、証明書に言及し、信頼するまたは続行というボタンを提示します。そのボタンの背後には、まったく異なる二つの変更が隠れています。一つは Wi-Fi クライアントに、この一つのネットワークでどの認証サーバーを受け入れるかを教えます。もう一つは、他のアプリケーションが後で使うかもしれない認証局をインストールします。画面上の文言が唯一の手がかりなので、タップする前に読んでください。

ステップ 1：ダイアログが実際に何を求めているかを読む

表示されたサーバー名、示された発行者、そしてその操作がこの接続のためにサーバーを信頼することなのかデバイスに証明書をインストールすることなのかという三つの点を見ます。これらは別の対象であり、どちらを承認しているかを伝えない通知は、立ち止まる価値があります。

ネットワーク名が見覚えがあるというだけで、どちらの版も承認しないでください。SSID はアクセスポイントを運用する人が選び、キャプティブポータルの名前はその背後の認証サーバーの証拠ではありません。アクセスポイントを持つ人なら誰でも説得力のある SSID を発信できます。証明書の確認が存在するのは、まさにそのためです。

802.1X のサーバー証明書が証明するもの

証明書を使う 802.1X の展開では、デバイスの supplicant がネゴシエーション中に認証サーバーを検証します。Apple の 802.1X 展開ガイドは、RADIUS サーバーが自身の証明書を提示し、信頼の判断がそのサービスに適したものであると説明しています。

最後の部分が要点です。よく知られた認証局が発行した証明書は、発行者が署名したことを証明するだけで、この特定のサーバーがあなたが参加したと思っている機関のものだとは証明しません。用途を限定した信頼が存在するのは、二番目の問いこそが重要だからです。

サポートされる構成では、信頼を選択したサーバー証明書や想定されるサーバー名に限定できます。機関が検証済みの Wi-Fi プロファイルを配布するのはそのためで、最初に現れた証明書を受け入れるよう利用者に言うのではなく、想定名のない通知は判断をする場所として不適切です。

ステップ 2：より広い権限が入っていないかを確認する

ブラウザーやオペレーティングシステムが信頼する認証局は、一つのネットワークで受け入れた Wi-Fi サーバー証明書よりはるかに遠くまで届きます。対象、それが入ったストア、許可されている用途、そしてどのアプリケーションがそのストアを参照するのかを特定します。

構成パッケージは複数の設定を同時に含むことがあるので、インストーラーの Wi-Fi ラベルを信じるのではなく中身を調べてください。ラベルは用件を説明しますが、ペイロードが行うすべてとは限りません。

広いルートであっても、すべての HTTPS セッションが検査されているとは証明できません。検査には適切なトラフィック経路と、アプリケーションが実際の検証ポリシーに従って受け入れるサーバー証明書が必要で、アプリケーションは追加の確認を伴う別の信頼ストアを使うこともあります。

ステップ 3：VPN を信頼の判断の外に置く

VPN は、デバイスが VPN ピアに到達した後に、その範囲の経路を保護します。インストール済みのルートを削除せず、アプリケーションの信頼の判断を変えず、予期しない Wi-Fi 認証サーバーをあなたの代わりに検証することもありません。

ネットワーク認証、デバイス管理、承認された TLS 検査を 三つの別々の質問として管理者に尋ねてください。それらは同じ証明書機能の 三つの名前ではなく、混ぜ合わせたサポートの回答では、どの変更を承認したのか分かりません。

ステップ 4：すべてを壊さずに不一致を解消する

通知から、サーバー名、発行者、表示されていればフィンガープリントといった秘密でない情報を記録します。機関が自組織のネットワーク向けに公開している値と比べ、不一致は構成の所有者への質問として扱い、クリックして済ませるものにしないでください。

プラットフォームのサポートされる設定からインストール済みの構成を見直し、実際に有効なものを把握します。デバイス上のすべての証明書を消すと無関係なアクセスが壊れ、未知の差し替えを受け入れると保ちたかった身元確認が弱まります。具体的な不一致だけを直し、信頼ストアの残りには触れないでください。