De certificaatwaarschuwing verandert met de VPN: vergelijk beide paden

Een certificaatwaarschuwing verschijnt op de Wi-Fi van kantoor en verdwijnt op het moment dat de VPN verbinding maakt. Dat is een echte waarneming, maar geen diagnose. Je weet alleen dat twee netwerkomstandigheden verschillende validatieresultaten opleverden, en de lijst met mogelijke oorzaken is lang. Behandel het als een gecontroleerde vergelijking, niet als bewijs dat een router is gecompromitteerd.

Dezelfde waarschuwing kan ook omgekeerd verschijnen: schoon op het lokale netwerk, stuk door de tunnel. Beide richtingen geven je twee datapunten en geen verklaring.

Houd de vergelijking bij één variabele tegelijk

Gebruik dezelfde hostnaam, hetzelfde browserprofiel en een gecontroleerde klok van het apparaat. Noteer de exacte fouttekst en de tijd voor elke omstandigheid. VPN aan en VPN uit zijn labels voor twee omstandigheden; ze zijn geen verklaring van het verschil.

Verander één ding tegelijk. Als je DNS-servers, browser en netwerk in dezelfde poging wijzigt, heb je geleerd dat iets in die set ertoe doet, wat bijna hetzelfde is als niets leren.

Houd een kleine tabel bij in je notities: omstandigheid, resolver, bestemmingsadres, fout en certificaatvingerafdruk. Vijf rijen van die tabel verslaan meestal een uur speculatie.

Lees de foutcategorie vóór het certificaat

Een naamverschil, een niet-vertrouwde uitgever en een verlopen certificaat zijn verschillende bevindingen. De richtlijnen van Chrome over verbindingsfouten scheiden ze, en de exacte code op de foutpagina zegt welke je hebt. Die code bepaalt wat je hierna vergelijkt.

Als de fout een naamverschil is, dekt het gepresenteerde certificaat niet de hostnaam die je hebt opgevraagd. Als het een niet-vertrouwde uitgever is, leidt de keten niet naar een root die de browser vertrouwt. Als het verlopen is, zijn de datums onjuist, wat ook kan betekenen dat de klok van het apparaat onjuist is.

Ga niet voorbij de waarschuwing en installeer geen onbekende root om de pagina te laten laden. Dat maakt van een bevinding een verborgen wijziging.

Vergelijk het blad, de keten en de context

Wanneer een ander certificaat verschijnt, stel vast of elk bij de bedoelde dienst hoort. Een goedgekeurde vernieuwing of een ander diensteindpunt kan een legitieme wijziging verklaren. Een onverwachte naam of uitgever is een reden om de eigenaar van de dienst te vragen, geen vonnis. De vingerafdruk alleen zegt je niet naar welk van die gevallen je kijkt.

Wanneer hetzelfde blad in beide omstandigheden verschijnt, vergelijk dan de geleverde keten en de validatiecontext in plaats van te stoppen bij de overeenkomende vingerafdruk. De fout kan een tussenliggend certificaat of een vertrouwensinstelling betreffen, niet het blad zelf. Houd de exacte fout naast de vergelijking.

De VPN kan het pad van de resolver, de gekozen bestemming, een proxypad of de manier waarop een op de bron gebaseerde dienst reageert, veranderen. Een pagina die door de tunnel laadt, geeft niet aan welke van die variabelen ertoe deed. Overschakelen naar een publieke resolver en de pagina zien laden is geen onafhankelijke bevestiging van de identiteit van de site.

Schrijf een overdracht waarop de eigenaar kan handelen

Een bruikbaar rapport bevat de bedoelde hostnaam, de twee pogingstijden, de exacte fouten en de openbare certificaatdetails: subject, uitgever, geldigheid, vingerafdruk en keten. Laat interne namen weg als het rapport je goedgekeurde publiek verlaat.

Nadat de eigenaar een geverifieerde correctie heeft geleverd, herhaal je het oorspronkelijke verzoek met normale validatie intact. Sluit daarna de vergelijking af met het opgeschreven resultaat.

Als het bewijs nog steeds alleen laat zien dat het ene pad slaagt en het andere faalt, zeg dan precies dat. Een beperkte en nauwkeurige bevinding is nuttiger dan een brede reset van de router, een wijziging van het vertrouwensarchief of een beveiligingsuitzondering die het symptoom wegneemt en de oorzaak verbergt.