Przetestuj hotspot, zanim zbliżą się do niego dane logowania do pracy

Hotspot przydziela adres, zanim przydzieli internet, i zaufanie rozstrzyga się właśnie w tej luce. Urządzenie kojarzy się, prosi o adres, a potem każde wychodzące żądanie jest przechwytywane, dopóki portal nie stwierdzi, że sesja jest autoryzowana. Ten mechanizm wyjaśnia, dlaczego strona może wydawać się ładować, choć nie istnieje żadne rzeczywiste połączenie. Przetestuj lukę czymś nieszkodliwym, zanim dotknie jej jakikolwiek danych logowania do pracy.

Co hotspot robi z twoim pierwszym żądaniem

Kojarzenie daje urządzeniu łącze, a DHCP daje mu adres, bramę i zwykle serwer DNS należący do miejsca. Dopóki autoryzacja się nie zakończy, brama odrzuca lub przekierowuje ruch wychodzący, i wiele portali odpowiada na DNS dla każdej nazwy własnym adresem. Dlatego wyszukiwanie wydaje się udane: odpowiedzią jest portal, a nie witryna, o którą prosiłeś. Sieć zachowuje się zgodnie z projektem; po prostu nie jest jeszcze internetem.

Pierwsze żądanie HTTP zwykle otrzymuje przekierowanie do portalu, które system operacyjny może otworzyć za ciebie. HTTPS nie da się tak przekierować, więc albo zawodzi, albo wisi, a przeglądarka pokazuje błąd certyfikatu lub przekroczenie czasu. Różnica jest diagnostyczna: przekierowanie HTTP to portal, który mówi, podczas gdy niepowodzenie TLS do niepowiązanego hosta to coś innego. Otoczony murem ogród, w którym kilka domen jest przepuszczanych na potrzeby płatności lub logowania, daje trzeci wzorzec.

Potwierdź sieć, zanim się zalogujesz

Potwierdź SSID i metodę logowania z miejscem kanałem, który nie jest samą siecią. Portal, który prosi o hasło firmowe, numer karty i adres e-mail robi trzy różne rzeczy, a tylko dwie ostatnie są zwyczajne dla dostępu gości. Preferuj komunikat systemu operacyjnego o portalu przechwytującym, który wykrywa przekierowanie przez znany punkt końcowy, zamiast ufać dowolnej stronie, która się pojawi. Jeśli miejsce nie potrafi opisać własnego portalu, to powód, by poczekać, a nie improwizować.

Ostrzeżenie o certyfikacie podczas logowania do portalu nie jest krokiem do kliknięcia. Portal nie musi podszywać się pod niepowiązany host, aby cię uwierzytelnić.

Wykonaj najmniejszą kontrolę, która dowodzi dostępu

Dokończ legalną autoryzację, potem poproś o jedną zwyczajną publiczną stronę HTTPS, której wcześniej nie wczytywałeś, aby odpowiedź nie mogła pochodzić z pamięci podręcznej. Zapisz, co naprawdę zawiodło, jeśli zawiedzie: wyszukanie nazwy, przekroczenie czasu połączenia, błąd certyfikatu albo odmowa usługi. Te cztery należą do różnych warstw, a ich zapisanie powstrzymuje następną osobę przed ponownym testowaniem na wyczucie. Potem połącz zamierzony VPN i poproś o jeden zasób, który go wymaga.

Trzymaj test mały. Pobranie testu prędkości na dostępie rozliczanym odpowiada na pytanie, którego nikt nie zadał, i może kosztować użytkownika pieniądze. Odpowiedź z nagłówkami wystarcza do ustalenia osiągalności i nie ciągnie megabajtów przez łącze rozliczane za gigabajt.

Jeśli zwykły dostęp działa, a tunel nie, to inne śledztwo niż w sieci, która nigdy nie autoryzowała. Trzymaj oba wyniki osobno, zamiast zmieniać kilka ustawień prywatności naraz.

Trzymaj prywatną pracę poza porównaniem

Każda aplikacja na urządzeniu jest potencjalnym obserwatorem, a portal przechwytujący to moment, w którym wszystkie próbują dotrzeć do swoich serwerów. Zamknij te, które możesz, a zarządzane urządzenie zawsze włączone traktuj jako kwestię polityki, a nie techniki: do porównania użyj zatwierdzonej metody, zamiast usuwać ochronę, która czyni je zarządzanym. Jeśli urządzenie całkowicie zabrania ruchu poza tunelem, wykonaj kontrolę na innym, niewrażliwym urządzeniu. Sens ćwiczenia polega na poznaniu sieci bez wystawiania jej danych logowania.

Nie przechwytuj ruchu innych osób, aby zdiagnozować miejsce, i trzymaj każdy przechwyt diagnostyczny w granicach własnego urządzenia i sesji. Przejrzyj pola adresu i identyfikatora, zanim dołączysz przechwyt do zgłoszenia, ponieważ sieć miejsca nie jest twoją szafą dowodów.

Zdecyduj, co wynik pozwala ci zrobić

Możliwe są trzy wyniki: pełny dostęp z działającym tunelem, dostęp tylko do portalu z zawodzącym tunelem albo brak dostępu. Każdy ma inny następny krok, a wartość testu polega na wiedzy, w którym jesteś, zanim zmienisz ustawienia. Pełny dostęp oznacza, że praca może toczyć się przez tunel; dostęp tylko do portalu sugeruje, że port lub protokół tunelu jest zablokowany, więc odpowiedzią jest inny transport lub sieć; brak dostępu oznacza, że miejsce nie może dziś obsłużyć zadania. Urządzenie, które zawsze próbuje tylko jednego protokołu, nie potrafi ich rozróżnić.

Zapisz SSID, wynik i godzinę, aby następna osoba w tym samym miejscu zaczęła od dowodów. Apple przewodnik po sieciach przechwytujących opisuje zachowanie wykrywania za komunikatem, i to jest ta część, którą warto zrozumieć, zanim obwini się VPN.