Issepara d-dħul fil-portal Wi-Fi mid-dħul fil-VPN
Żewġ sistemi differenti jitolbu dħul: il-Wi-Fi tal-post u l-gateway VPN tiegħek. Fuq l-iskrin jidhru l-istess imma jawtorizzaw affarijiet għal kollox differenti. Staqsi f’kull tieqa: min tassew jista’ jivverifika dan is-sigriet?
Żewġ sistemi differenti jitolbu li tidħol qabel ma tasal għal xi ħaġa utli fuq netwerk pubbliku: il-Wi-Fi tal-post u l-gateway VPN tiegħek. Fuq l-iskrin jidhru l-istess u jawtorizzaw affarijiet għal kollox differenti. Il-portal jiddeċiedi jekk dan l-apparat jistax juża n-netwerk lokali; il-VPN jiddeċiedi jekk tistax tasal għal netwerk privat band'oħra. Inżommhom separati billi nistaqsi f’kull tieqa mistoqsija waħda: min tassew jista’ jivverifika dan is-sigriet? Dan li ġej huwa l-lista ta’ kontroll li nħaddem f’lukandi, ajruporti u postijiet tal-konferenzi, inklużi l-punti fejn nieqaf nittajpja.
Qabbad kull dħul mas-servizz li jiċċekkjah
Konnessjoni waħda ta’ lukanda tista’ tinvolvi erba’ verifiki separati, u wħud biss iridu l-input tiegħek. Qegħedhom fl-ordni l-ewwel, għax l-iskrin rari jgħid liema stadju hija.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Netwerks 802.1X, komuni f’uffiċċji u universitajiet, iċajpru l-ewwel żewġ linji. Hemm id-dħul fil-Wi-Fi huwiex innifsu verifika tal-identità kontra server RADIUS, u l-klijent jista’ jippreżenta identità ta’ routing waqt li l-kont veru jivvjaġġa ġewwa l-iskambju kriptat. Lanqas hekk il-verifika hija dwar jingħaqad man-netwerk; ma tawtorizzax it-tunnel, u l-gateway VPN ma jaċċettahx bħala prova ta’ xejn.
L-ordni hija aktar importanti mill-tikketti. Portali captive jeżistu għax l-aċċess jista’ jingħata wara l-assoċjazzjoni, u għalhekk post jista’ jgħaddi l-paġna lil fornitur speċjalizzat. RFC 8952 tal-IETF jittratta l-portal bħala komponent tiegħu stess, mela dominju mhux magħruf huwa raġuni biex tivverifika, mhux prova ta’ frodi fih innifsu. Qabbel id-dominju mal-istruzzjonijiet bil-miktub tal-post, u l-oqsma mat-tabella.
Iċċekkja x’jista’ jitlob portal
L-oqsma tal-portal huma dwar id-dritt, mhux l-identità: numru tal-kamra, kunjom tar-riservazzjoni, kodiċi tal-voucher, il-kodiċi stampat fuq il-kopertura taċ-ċavetta, email għal pass temporanju, aċċettazzjoni tat-termini. Il-post diġà jaf min ipprenota l-kamra, mela jista’ jqabbel dawk il-fatti mingħajr ma jitgħallem xejn li jippermettilu jaġixxi bħalek band’oħra.
Xi ħaġa lil hinn minn dik il-lista jistħoqqilha pawsa. Paġna tal-hotspot ma jistax jivverifika l-password tad-dominju tiegħek, u lanqas ma tista’ tivverifika l-kodiċi ta’ darba tal-VPN tiegħek, kodiċi ta’ rkupru jew ċavetta privata, u m’għandhiex raġuni tridhom. L-uniku eċċezzjoni leġittima hija netwerk immexxi minn organizzazzjoni: SSID mistiedna tal-uffiċċju jew Wi-Fi tal-konferenza jistgħu jgħadduk lill-fornitur tal-identità li diġà tuża għax-xogħol. Xorta waħda hija distingwibbli: il-host tad-dħul huwa dak ta’ kuljum, l-iskrin tal-kunsens isemmi lit-tenant tiegħek, u l-fluss jinfetaħ f’tab tal-browser viżibbli.
Email tal-marketing hija separata: alias tal-ivvjaġġar jissodisfa l-qasam mingħajr ma jgħaddi l-identità tax-xogħol tiegħek.
Iċċekkja li l-klijent VPN irid il-kredenzjali tiegħu stess
Il-klijent jitlob eżattament dak li huwa kkonfigurat il-profil tiegħu, mela t-tieqa mistennija hija proprjetà tal-profil, mhux tan-netwerk li qiegħed fuqu. Profili taċ-ċertifikat normalment juru għażla ta’ profil u mbagħad jikkonnettjaw bil-kwiet. Profili ta’ isem tal-utent u password jitolbu t-tnejn, spiss b’kodiċi ta’ darba. Profili SSO jiftħu l-browser tiegħek għand il-fornitur tal-identità u jerġgħu lura b’token. WireGuard huwa differenti għal darb’oħra: jawtentika apparati b’ċavetta pubblika u m’għandux dħul tal-utent, mela tieqa li toffri isem tal-utent u password ta’ WireGuard mhijiex tiddeskrivi WireGuard.
Aqra l-profil qabel tivvjaġġa. Fi OpenVPN, auth-user-pass jgħidlek li hija mistennija talba għall-password, filwaqt li cert, key jew pkcs12 ifisser li ċertifikat għandu jagħmel ix-xogħol. Jekk profil li normalment jikkonnettja mingħajr talba f’daqqa jitlob password, issuspetta profil li ma rnexxilux jgħabbi ċ-ċertifikat tiegħu jew waqa’ għal metodu ieħor. Talba mhijiex stedina biex tittajpja l-password tax-xogħol tiegħek fi kwalunkwe tieqa li dehret.
Ebda klijent VPN leġittimu ma jitlob in-numru tal-kamra, il-voucher tal-portal jew il-passphrase tal-Wi-Fi bħala input tal-awtentikazzjoni. Meta jiġri dan, jew il-klijent mhuwiex dak li jiddikjara li hu, jew portal captive qed jinterċetta t-traffiku qabel ma jiġi ffurmat it-tunnel u int qed taqra paġna HTML ifformattjata biex tidher bħal dħul.
Ieqaf f’dawn il-ħames kundizzjonijiet
Dawn huma l-punti fejn nieqaf minflok ma nkompli bi triq alternattiva plawżibbli. Kull wieħed huwa rħis biex jiġi vverifikat u għali biex tiżbalja.
- Jidher twissija taċ-ċertifikat jew TLS fuq il-portal jew fuq il-paġna SSO. Tgħaddix minnha b'klikk biex tasal għan-netwerk.
- Il-paġna titlob sigriet li jistgħu jivverifikaw biss il-gateway VPN jew il-fornitur tal-identità: password tad-dominju, kodiċi ta' darba, kodiċi ta' rkupru, ċavetta privata.
- Id-dominju ma jaqbilx mal-istruzzjonijiet stampati tal-post jew mal-host tad-dħul li l-organizzazzjoni tiegħek tiddokumenta għas-servizzi tagħha stess.
- Qed jiġi mitlub minnek tinstalla ċertifikat root, profil tal-konfigurazzjoni jew applikazzjoni awżiljarja li ma tiġix mill-immaniġġjar tal-apparati tiegħek.
- Tasal approvazzjoni MFA li ma bdejtx, jew il-klijent VPN jitlob kredenzjali tal-lukanda.
L-alternattiva mhijiex password oħra. Uża hotspot tat-telefon, staqsi fir-riċeviment għall-isem eżatt tan-netwerk u l-metodu tal-aċċess, u rrapporta l-paġna lil min imexxi n-netwerk jew lid-desk tal-IT tiegħek. Xejn minn dan ma jeħtieġ li tittestja kredenzjali kontra paġna li ma tistax tattribwixxi.
Attribwixxi falliment lill-istadju t-tajjeb
Ladarba ż-żewġ stadji jgħaddu, fallimenti xorta jiġru, u l-iżball normalment isemmi l-istadju jekk taqrah fl-ordni: assoċjazzjoni, assenjazzjoni tal-indirizz, awtorizzazzjoni tal-portal, stabbiliment tat-tunnel, imbagħad ir-riżors intern. Li tbiddel password tal-VPN għax skada kodiċi tal-portal jaħli l-ħin u jħalli l-problema vera f’postha.
Xi provi jifirdu l-istadji. Wara d-dħul fil-portal, itlob paġna HTTPS pubblika ordinarja. Jekk minflok terġa’ lura l-portal, l-awtorizzazzjoni qatt ma tlestiet f’dak is-saff. Jekk il-klijent VPN jirrapporta li ma jistax jasal għall-gateway, il-problema tinsab taħt it-tunnel: is-sessjoni tal-portal, ir-riżoluzzjoni tal-ismijiet jew netwerk li jimblokka l-port. Jekk it-tunnel jitla’ u isem ta’ host intern wieħed ifalli, ir-riżoluzzjoni tal-ismijiet jew il-politika ġewwa n-netwerk privat hija l-aħjar suspettat.
Is-sessjonijiet tal-portal jiskadu wkoll indipendentement mit-tunnel. Meta l-post jirrevoka l-aċċess, konnessjoni VPN stabbilita taqa’ għalkemm il-kredenzjali tagħha qatt ma kienu ħżiena. Awtorizza mill-ġdid il-portal, imbagħad erġa’ qabbad il-VPN u ħallih jerġa’ jinnegozja. Li ddawwar il-password tal-VPN imbagħad ma jsewwi xejn u jista’ jissakkar barra.
Agħti kull sigriet biss lis-sistema li tista’ tivverifikah, u ttratta talba li ma taqbilx mat-tabella bħala sinjal ta’ waqfien, mhux bħala pass li għandu jiġi evitat. Jekk iż-żewġ stadji jgħaddu u t-tunnel xorta jirrifjuta, aqbad l-iżball eżatt tal-klijent qabel ma tbiddel kwalunkwe kredenzjali.