Er den Wi-Fi-innloggingssiden ekte? Sjekk før du skriver inn et passord

Du kobler deg til stedets Wi-Fi, en side åpnes, og den ber deg logge inn med en e-postadresse eller en firmakonto. Nettverksnavnet stemmer med det resepsjonen fortalte deg, og logoen ser riktig ut. Ingen av delene er bevis, for begge kan kopieres på en ettermiddag. Bekreft innloggingsmetoden gjennom en kilde som ikke er siden foran deg, før du skriver noe.

Begynn med instruksene, ikke siden

Det er hele metoden: verifiser gjennom en uavhengig kanal, og avgjør deretter. Alt nedenfor er hva du skal sammenligne og hva du skal avvise.

Det høres langsomt ut, og det tar omtrent to minutter når du har gjort det to ganger.

Les domenet, ikke designet

Spør stedet hvordan gjestetilgangen fungerer, eller les kortet, kvitteringen eller bekreftelses-e-posten som fulgte med bestillingen. Sammenlign innloggingsdomenet og informasjonen som blir bedt om, med de instruksene. Steder bruker faktisk eksterne portaltjenester, så et ukjent domene krever verifisering og ikke en automatisk antakelse i noen retning. Et domene som passer med instruksene, er ikke bevis på sikkerhet, men et avvik er grunn til å stoppe.

Se på adresselinjen i stedet for sidelayouten. En hengelås sier bare at forbindelsen til den verten er kryptert; den sier ingenting om hvorvidt verten er den stedet mente.

En HTTPS-advarsel er et stoppskilt, ikke noe man klikker seg gjennom.

Les hva siden ber om

En Wi-Fi-tilgangsside har en smal oppgave: å godta et romnummer, en verdikode, en e-postadresse eller en avkrysningsboks for vilkårene. Den har ingen grunn til å be om din private VPN-nøkkel, arbeidspassordet ditt, gjenopprettingskodene dine eller et betalingskort for et gratis nettverk. Det tilhører andre tjenester, og en side som ber om det, har allerede fortalt deg hva den er. Behandle selve forespørselen som det sterkeste signalet du får.

Avslå å installere et tillitssertifikat eller et hjelpeprogram fordi siden sier at tilgangen krever det. Legitime administrerte krav kommer gjennom organisasjonen din, ikke gjennom en portaloppfordring.

Hvis siden krever en av delene, koble fra og bruk et annet nettverk.

Automatisk tilkobling avgjør hvilket nettverk du er på

Et lagret nettverksnavn kan koble til automatisk, noe som betyr at enheten kan være på et nettverk du ikke bevisst valgte i det øyeblikket. Sjekk plattformens innstillinger for automatisk tilkobling, og glem nettverk du ikke lenger trenger. Den ene vanen fjerner den vanligste måten et etterlignet nettverk får en enhet på seg uten en beslutning. Den gjør også SSID-en du er på, til et bevisst valg og ikke en bakgrunnshendelse.

To nettverk med samme navn kan finnes på samme sted, og enheten velger ett uten å spørre. Erindringen din om hvilket du koblet til, er ikke en pålitelig registrering.

Verifiser nettverket du faktisk er tilkoblet, ikke det du mente å koble til.

VPN dekker ikke dette trinnet

En VPN trenger tilgangsveien før den kan koble til, så portalen skjer før tunnelen finnes. Den rekkefølgen betyr at portalen ikke kan gjøres pålitelig av VPN-en, og at VPN-en ikke i ettertid kan beskytte opplysninger du allerede har gitt til en falsk side. Koble til tunnelen etter at portalen er verifisert og nettverket er pålitelig nok til bruk. Behandle de to trinnene som separate beslutninger med separate bevis.

Hvis siden er verifisert og tunnelen fortsatt feiler, er det et nettverksproblem, og det hører til en annen sjekkliste.

Hvis du allerede har skrevet et arbeidspassord inn i en side du nå tviler på, endre det fra en kjent god forbindelse og fortell administratoren din hva som skjedde. Her betyr fart mer enn sikkerhet.

Arkitekturen til captive portalen som er beskrevet i RFC 8952, er verd én lesing, fordi den forklarer hvorfor portalen ligger utenfor enhver tunnel du senere bygger. Den kunnskapen gjør en mistenkelig side til en beslutning i stedet for en gjetning.