To okno certyfikatu Wi-Fi nie jest nowym głównym urzędem certyfikacji

Okno pojawia się, gdy dołączasz do sieci kampusowej lub biurowej, wspomina certyfikat i oferuje przycisk z napisem zaufaj albo kontynuuj. Za tym przyciskiem kryją się dwie bardzo różne zmiany. Jedna uczy klienta Wi-Fi, który serwer uwierzytelniania akceptować w tej jednej sieci. Druga instaluje urząd certyfikacji, którego inne aplikacje mogą potem używać. Treść na ekranie to jedyna wskazówka, jaką masz, więc przeczytaj ją, zanim dotkniesz.

Krok 1: przeczytaj, o co tak naprawdę pyta okno

Szukaj trzech rzeczy: pokazanej nazwy serwera, wskazanego wystawcy oraz tego, czy akcja jest opisana jako zaufanie serwerowi w tym połączeniu, czy jako instalacja certyfikatu na urządzeniu. To różne obiekty, a komunikat, który nie mówi, który z nich zatwierdzasz, zasługuje na pauzę.

Nie zatwierdzaj żadnej wersji tylko dlatego, że nazwa sieci wygląda znajomo. SSID wybiera ten, kto zarządza punktem dostępu, a nazwa w portalu przechwytującym nie jest dowodem co do serwera uwierzytelniania za nim. Każdy z punktem dostępu może rozgłaszać przekonujący SSID. Właśnie dlatego istnieje sprawdzanie certyfikatu.

Co dowodzi certyfikat serwera 802.1X

We wdrożeniu 802.1X z certyfikatami supplicant urządzenia weryfikuje serwer uwierzytelniania podczas negocjacji. Przewodnik Apple po wdrożeniu 802.1X opisuje serwer RADIUS przedstawiający swój certyfikat oraz decyzję o zaufaniu właściwą dla tej usługi.

Ostatni element to cała istota. Certyfikat wystawiony przez znany urząd certyfikacji dowodzi, że wystawca go podpisał, a nie że ten konkretny serwer należy do instytucji, do której sądzisz, że dołączyłeś. Zaufanie ograniczone do celu istnieje właśnie dlatego, że to drugie pytanie ma znaczenie.

Obsługiwane konfiguracje mogą ograniczać zaufanie do wybranych certyfikatów serwera lub oczekiwanych nazw serwera. Dlatego instytucje rozdają zweryfikowany profil Wi-Fi, zamiast kazać użytkownikom akceptować pierwszy napotkany certyfikat, i dlatego komunikat bez oczekiwanej nazwy to złe miejsce na podejmowanie decyzji.

Krok 2: sprawdź, czy nie zainstalowano szerszego urzędu

Urząd certyfikacji, któremu ufa przeglądarka lub system operacyjny, sięga znacznie dalej niż certyfikat serwera Wi-Fi zaakceptowany dla jednej sieci. Ustal obiekt, magazyn, do którego trafił, cel, do którego jest dozwolony, oraz które aplikacje konsultują ten magazyn.

Pakiet konfiguracyjny może zawierać kilka ustawień naraz, więc sprawdź zawartość, zamiast ufać etykiecie Wi-Fi instalatora. Etykieta opisuje zadanie, niekoniecznie wszystko, co robi ładunek.

Nawet szeroki korzeń nie dowodzi, że każda sesja HTTPS jest kontrolowana. Kontrola wymaga odpowiedniej ścieżki ruchu i certyfikatu serwera, który aplikacja akceptuje zgodnie ze swoją rzeczywistą polityką walidacji, a aplikacje mogą używać różnych magazynów zaufania z dodatkowymi sprawdzeniami.

Krok 3: trzymaj VPN z dala od decyzji o zaufaniu

VPN chroni objętą przez siebie ścieżkę po tym, jak urządzenie dotrze do peera VPN. Nie usuwa zainstalowanego korzenia, nie zmienia decyzji o zaufaniu aplikacji i nie weryfikuje w twoim imieniu nieoczekiwanego serwera uwierzytelniania Wi-Fi.

Zapytaj administratora o uwierzytelnianie sieci, zarządzanie urządzeniami i autoryzowaną kontrolę TLS jako trzy osobne pytania. To nie są trzy nazwy tej samej funkcji certyfikatu, a odpowiedź wsparcia, która je łączy, nie powie ci, którą zmianę zatwierdziłeś.

Krok 4: rozwiąż niezgodność, nie psując wszystkiego

Zapisz niejawne dane z komunikatu: nazwę serwera, wystawcę i odcisk palca, jeśli jest pokazany. Porównaj je z wartościami, które instytucja publikuje dla swojej sieci, a niezgodność traktuj jako pytanie do właściciela konfiguracji, nie jako coś do kliknięcia.

Przejrzyj zainstalowaną konfigurację w obsługiwanych ustawieniach platformy, aby wiedzieć, co naprawdę obowiązuje. Usunięcie wszystkich certyfikatów z urządzenia psuje niezwiązany dostęp, a zaakceptowanie nieznanego zamiennika osłabia sprawdzanie tożsamości, które chciałeś zachować. Popraw konkretną niezgodność i zostaw resztę magazynu zaufania w spokoju.