Uma VPN não transforma um aviso de certificado em confiança

Aqui comparam-se duas coisas e elas não são do mesmo tipo: a encriptação de um caminho e a identidade do servidor no seu extremo. Uma VPN pode reforçar a primeira enquanto deixa a segunda completamente sem resposta. É por isso que um aviso sobre um nome que não corresponde ou um certificado expirado não se torna inofensivo quando há um túnel em funcionamento. O cadeado e o aviso falam de propriedades diferentes.

O túnel responde a quem transporta o tráfego; o certificado responde a quem o recebe.

O aviso é sobre identidade, não sobre transporte

O navegador comunica que o certificado da outra parte não foi validado segundo as regras para as quais estava configurado. Essas regras abrangem o nome, a cadeia, as datas de validade e a hora atual. Uma VPN não altera nenhuma delas. Encriptar o caminho para um servidor com o nome errado produz uma ligação encriptada ao servidor errado, o que não é uma melhoria.

Relógios de dispositivos incorrectos causam isto mais vezes do que as pessoas esperam, sobretudo depois de uma bateria ter ficado vazia ou de uma mudança de fuso horário ter corrido mal. Verifique o relógio antes de concluir seja o que for sobre a rede.

Que ligação falhou realmente?

Uma página de portal, um site de destino e a gateway VPN efectuam cada um a sua própria verificação de identidade, e o erro nomeia apenas uma delas. Registe o nome de anfitrião real e a mensagem exacta em vez de tratar cada certificado como um único objecto. Numa Wi-Fi cativa, o portal costuma interceptar e apresentar o seu próprio certificado, e é por isso que existe o fluxo normal de início de sessão do sistema operativo. Um nome de rede familiar não resolve nada disto.

Utilize o processo documentado do local em vez de aceitar uma identidade não relacionada para chegar a uma página de início de sessão.

Instalar uma raiz é uma decisão diferente

Quando uma organização precisa realmente de uma configuração de confiança, distribui-a através de perfis geridos ou de um processo de suporte que possa verificar. Uma página aleatória que lhe pede para instalar um certificado de raiz descreve uma intercepção, não uma correcção. Aceitá-la permite ao instalador ler tudo o que o navegador envia para cada site que confia nessa raiz. Não são acções equivalentes, e a segunda é difícil de desfazer.

Para a gateway VPN, utilize o perfil verificado do operador ou uma identidade de substituição emitida por ele. Remover a verificação para silenciar um aviso pode criar uma ligação a um ponto final que não pretendia.

Um túnel protege apenas um caminho

Um túnel correctamente estabelecido protege o caminho para o qual foi construído. Não autentica cada página que abre e não recupera informação já enviada por uma ligação comprometida. São propriedades da validação do navegador e do que aconteceu antes. Um túnel é um corredor, não uma referência de carácter para todos no seu extremo.

Se o certificado de um site estiver errado, a pergunta útil é se chegou ao site pretendido. Um túnel não responde a isso, e não pode.

Registe o nome de anfitrião, o erro e o resolvedor ou portal envolvido. Esse registo separa um certificado mau de um caminho mau.