Die wifi-certificaatmelding is geen nieuwe wortelcertificeringsinstantie

Het dialoogvenster verschijnt terwijl u verbinding maakt met een campus- of kantoornetwerk, het noemt een certificaat en het biedt een knop met de tekst vertrouwen of doorgaan. Achter die knop schuilen twee heel verschillende wijzigingen. De ene leert de wifi-client welke authenticatieserver hij voor dit ene netwerk moet accepteren. De andere installeert een certificeringsinstantie die andere toepassingen daarna kunnen gebruiken. De bewoording op het scherm is de enige aanwijzing die u krijgt, dus lees die voordat u tikt.

Stap 1: lees wat het dialoogvenster echt vraagt

Let op drie dingen: de getoonde servernaam, de genoemde uitgever en of de actie wordt beschreven als het vertrouwen van een server voor deze verbinding of als het installeren van een certificaat op het apparaat. Dat zijn verschillende objecten, en een melding die niet zegt welke u goedkeurt, is een melding waarbij u even moet stoppen.

Keur geen van beide varianten goed omdat de netwerknaam bekend voorkomt. SSID's worden gekozen door wie het accesspoint beheert, en de naam op het captive portal is geen bewijs over de authenticatieserver erachter. Iedereen met een accesspoint kan een overtuigende SSID uitzenden. Daarom bestaat de certificaatcontrole überhaupt.

Wat een 802.1X-servercertificaat bewijst

In een 802.1X-implementatie met certificaten valideert de supplicant van het apparaat tijdens de onderhandeling de authenticatieserver. Apples richtlijnen voor 802.1X-implementatie beschrijven dat de RADIUS-server zijn certificaat toont en dat de vertrouwensbeslissing bij die dienst past.

Dat laatste is het hele punt. Een certificaat van een bekende CA bewijst dat de uitgever het heeft ondertekend, niet dat deze specifieke server bij de instelling hoort waarvan u denkt lid te zijn. Vertrouwen dat aan een doel is gebonden bestaat juist omdat de tweede vraag de belangrijke is.

Ondersteunde configuraties kunnen het vertrouwen beperken tot geselecteerde servercertificaten of verwachte servernamen. Daarom verspreiden instellingen een geverifieerd wifi-profiel in plaats van gebruikers te vertellen het eerste certificaat te accepteren, en daarom is een melding zonder verwachte naam een slechte plek voor die beslissing.

Stap 2: controleer of er een bredere autoriteit is geïnstalleerd

Een CA die een browser of het besturingssysteem vertrouwt, reikt veel verder dan een servercertificaat voor wifi dat voor één netwerk is geaccepteerd. Stel vast welk object het is, in welke opslag het terechtkwam, voor welk doel het is toegestaan en welke toepassingen die opslag raadplegen.

Een configuratiepakket kan meerdere instellingen tegelijk bevatten, dus bekijk de inhoud in plaats van het wifi-label op het installatieprogramma te vertrouwen. Het label beschrijft de opdracht, niet per se alles wat de lading doet.

Zelfs een brede wortel bewijst niet dat elke HTTPS-sessie wordt geïnspecteerd. Inspectie vereist een geschikt verkeerspad en een servercertificaat dat de toepassing volgens haar echte validatiebeleid accepteert, en toepassingen kunnen verschillende vertrouwensopslagen gebruiken met extra controles daarbovenop.

Stap 3: houd de VPN buiten de vertrouwensbeslissing

Een VPN beschermt het pad dat hij dekt nadat het apparaat de VPN-peer heeft bereikt. Hij verwijdert geen geïnstalleerde wortel, verandert geen vertrouwensbeslissingen van een toepassing en verifieert niet namens u een onverwachte wifi-authenticatieserver.

Vraag de beheerder naar netwerkauthenticatie, apparaatbeheer en geautoriseerde TLS-inspectie als drie aparte vragen. Het zijn geen drie namen voor dezelfde certificaatfunctie, en een supportantwoord dat ze samenvoegt, vertelt u niet welke wijziging u hebt goedgekeurd.

Stap 4: los de mismatch op zonder alles te breken

Noteer de niet-geheime gegevens uit de melding: de servernaam, de uitgever en de vingerafdruk als die wordt getoond. Vergelijk ze met de waarden die de instelling voor haar eigen netwerk publiceert, en behandel een afwijking als een vraag voor de eigenaar van de configuratie, niet als iets om weg te klikken.

Bekijk de geïnstalleerde configuratie via de ondersteunde instellingen van het platform, zodat u weet wat echt van kracht is. Alle certificaten van het apparaat wissen breekt ongerelateerde toegang, en een onbekende vervanging accepteren verzwakt de identiteitscontrole die u wilde behouden. Herstel de specifieke afwijking en laat de rest van de vertrouwensopslag met rust.