Een VPN maakt van een certificaatwaarschuwing geen vertrouwen

Hier worden twee dingen vergeleken en ze zijn niet van hetzelfde soort: de versleuteling van een pad en de identiteit van de server aan het uiteinde ervan. Een VPN kan het eerste sterker maken terwijl het tweede volledig onbeantwoord blijft. Daarom wordt een waarschuwing over een naam die niet klopt of een verlopen certificaat niet onschadelijk wanneer er een tunnel draait. Het slot en de waarschuwing spreken over verschillende eigenschappen.

Een tunnel beantwoordt wie het verkeer draagt; het certificaat beantwoordt wie het ontvangt.

De waarschuwing gaat over identiteit, niet over transport

De browser meldt dat het certificaat van de tegenpartij niet is gevalideerd volgens de regels waarvoor hij was ingesteld. Die regels omvatten de naam, de keten, de geldigheidsdata en de huidige tijd. Een VPN verandert daar niets aan. Het pad naar een server met de verkeerde naam versleutelen levert een versleutelde verbinding met de verkeerde server op, wat geen verbetering is.

Verkeerde klokken op apparaten veroorzaken dit vaker dan mensen verwachten, vooral nadat een batterij leeg is geweest of een tijdzonewijziging mis is gegaan. Controleer de klok voordat u iets over het netwerk concludeert.

Welke verbinding is eigenlijk mislukt?

Een portalpagina, een bestemmingssite en de VPN-gateway voeren elk hun eigen identiteitscontrole uit, en de fout noemt er slechts één. Noteer de werkelijke hostnaam en het exacte bericht in plaats van elk certificaat als één object te behandelen. Op een besloten Wi-Fi onderschept het portal meestal en presenteert zijn eigen certificaat, daarom bestaat de normale inlogstroom van het besturingssysteem. Een bekende netwerknaam lost hier niets van op.

Gebruik het gedocumenteerde proces van de locatie in plaats van een niet-gerelateerde identiteit te accepteren om een inlogpagina te bereiken.

Een root installeren is een andere beslissing

Wanneer een organisatie echt een vertrouwensconfiguratie nodig heeft, verspreidt zij die via beheerde profielen of een ondersteuningsproces dat u kunt verifiëren. Een willekeurige pagina die u vraagt een rootcertificaat te installeren, beschrijft een onderschepping, geen oplossing. Als u die accepteert, kan de installateur alles lezen wat de browser naar elke site stuurt die dat rootcertificaat vertrouwt. Dat zijn geen gelijkwaardige handelingen, en de tweede is moeilijk ongedaan te maken.

Gebruik voor de VPN-gateway het geverifieerde profiel van de operator of een door hem uitgegeven vervangende identiteit. Verificatie verwijderen om een waarschuwing te dempen kan een verbinding naar een eindpunt maken dat u niet bedoelde.

Een tunnel beschermt slechts één pad

Een correct opgezette tunnel beschermt het pad waarvoor hij is gebouwd. Hij authenticeert niet elke pagina die u opent en haalt geen informatie terug die al over een gecompromitteerde verbinding is verzonden. Dat zijn eigenschappen van de validatie van de browser en van wat eerder gebeurde. Een tunnel is een gang, geen karakterreferentie voor iedereen aan het einde ervan.

Als het certificaat van een site onjuist is, is de nuttige vraag of u de bedoelde site hebt bereikt. Een tunnel beantwoordt dat niet, en kan dat niet.

Noteer de hostnaam, de fout en de betrokken resolver of portal. Die registratie scheidt een slecht certificaat van een slecht pad.