Esse aviso de certificado Wi-Fi não é uma nova AC raiz

A caixa de diálogo aparece enquanto você entra em uma rede de campus ou de escritório, menciona um certificado e oferece um botão que diz confiar ou continuar. Duas mudanças muito diferentes se escondem atrás desse botão. Uma ensina ao cliente Wi-Fi qual servidor de autenticação aceitar para esta única rede. A outra instala uma autoridade de certificação que outras aplicações poderão usar depois. O texto na tela é a única pista que você tem, então leia antes de tocar.

Passo 1: leia o que a caixa de diálogo está realmente pedindo

Procure três coisas: o nome do servidor exibido, o emissor indicado e se a ação é descrita como confiar em um servidor para esta conexão ou instalar um certificado no dispositivo. São objetos diferentes, e um aviso que não diz qual deles você está aprovando merece uma pausa.

Não aprove nenhuma das versões porque o nome da rede parece familiar. Os SSIDs são escolhidos por quem opera o ponto de acesso, e o nome no portal cativo não é prova sobre o servidor de autenticação por trás dele. Qualquer pessoa com um ponto de acesso pode transmitir um SSID convincente. É por isso que a verificação do certificado existe.

O que um certificado de servidor 802.1X prova

Em uma implantação 802.1X com certificados, o supplicant do dispositivo valida o servidor de autenticação durante a negociação. O guia de implantação de 802.1X da Apple descreve o servidor RADIUS apresentando seu certificado e a decisão de confiança adequada a esse serviço.

Essa última parte é o ponto principal. Um certificado emitido por uma AC conhecida prova que o emissor o assinou, não que este servidor específico pertença à instituição à qual você acha que se juntou. A confiança limitada a um propósito existe justamente porque a segunda pergunta é a que importa.

Configurações compatíveis podem restringir a confiança a certificados de servidor selecionados ou a nomes de servidor esperados. É por isso que as instituições distribuem um perfil Wi-Fi verificado em vez de dizer aos usuários para aceitarem o primeiro certificado que aparecer, e por isso um aviso sem nome esperado é um lugar ruim para tomar a decisão.

Passo 2: verifique se uma autoridade mais ampla foi instalada

Uma AC em que um navegador ou o sistema operacional confia alcança muito mais longe do que um certificado de servidor Wi-Fi aceito para uma rede. Identifique o objeto, o armazenamento em que ele entrou, a finalidade para a qual é permitido e quais aplicações consultam esse armazenamento.

Um pacote de configuração pode conter várias definições ao mesmo tempo, então inspecione o conteúdo em vez de confiar no rótulo Wi-Fi do instalador. O rótulo descreve a tarefa, não necessariamente tudo o que o pacote faz.

Nem uma raiz ampla prova que toda sessão HTTPS está sendo inspecionada. A inspeção precisa de um caminho de tráfego adequado e de um certificado de servidor que a aplicação aceite segundo sua política real de validação, e as aplicações podem usar armazenamentos de confiança diferentes com verificações adicionais.

Passo 3: mantenha a VPN fora da decisão de confiança

Uma VPN protege o caminho que cobre depois que o dispositivo alcança o par VPN. Ela não remove uma raiz instalada, não muda as decisões de confiança de uma aplicação e não verifica em seu nome um servidor de autenticação Wi-Fi inesperado.

Pergunte ao administrador sobre autenticação de rede, gestão de dispositivos e inspeção TLS autorizada como três perguntas separadas. Não são três nomes para a mesma função de certificado, e uma resposta do suporte que as mistura não dirá qual mudança você aprovou.

Passo 4: resolva a divergência sem quebrar tudo

Anote os detalhes não secretos do aviso: o nome do servidor, o emissor e a impressão digital se ela for exibida. Compare-os com os valores que a instituição publica para sua própria rede, e trate uma divergência como uma pergunta para o dono da configuração, não como algo para clicar e seguir.

Revise a configuração instalada pelas definições compatíveis da plataforma para saber o que está realmente em vigor. Apagar todos os certificados do dispositivo quebra acessos não relacionados, e aceitar uma substituição desconhecida enfraquece a verificação de identidade que você queria manter. Corrija a divergência específica e deixe o resto do armazenamento de confiança em paz.