Это сообщение о сертификате Wi-Fi — не новый корневой центр сертификации

Диалог появляется, когда вы подключаетесь к университетской или офисной сети, упоминает сертификат и предлагает кнопку с надписью доверять или продолжить. За этой кнопкой скрываются два очень разных изменения. Одно учит клиент Wi-Fi, какой сервер аутентификации принимать для этой одной сети. Другое устанавливает центр сертификации, который затем могут использовать другие приложения. Текст на экране — единственная подсказка, которая у вас есть, поэтому прочитайте его, прежде чем нажать.

Шаг 1: прочитайте, что на самом деле просит диалог

Ищите три вещи: показанное имя сервера, указанного издателя и описано ли действие как доверие серверу для этого подключения или как установка сертификата на устройстве. Это разные объекты, и подсказка, которая не говорит, какой из них вы одобряете, заслуживает паузы.

Не одобряйте ни один из вариантов только потому, что имя сети кажется знакомым. SSID выбирает тот, кто управляет точкой доступа, а имя на captive портале не является доказательством в отношении сервера аутентификации за ним. Любой с точкой доступа может транслировать убедительный SSID. Именно поэтому проверка сертификата вообще существует.

Что доказывает сертификат сервера 802.1X

В развёртывании 802.1X с сертификатами supplicant устройства проверяет сервер аутентификации во время согласования. Руководство Apple по развёртыванию 802.1X описывает сервер RADIUS, который предъявляет свой сертификат, и решение о доверии, относящееся к этой службе.

Последняя часть — это весь смысл. Сертификат, выпущенный известным центром сертификации, доказывает, что издатель его подписал, а не то, что этот конкретный сервер принадлежит учреждению, к которому вы, как вам кажется, подключились. Доверие, ограниченное назначением, существует именно потому, что второй вопрос и есть важный.

Поддерживаемые конфигурации могут ограничивать доверие выбранными сертификатами сервера или ожидаемыми именами сервера. Поэтому учреждения распространяют проверенный профиль Wi-Fi вместо того, чтобы говорить пользователям принять первый попавшийся сертификат, и поэтому подсказка без ожидаемого имени — плохое место для такого решения.

Шаг 2: проверьте, не установлен ли более широкий центр

Центр сертификации, которому доверяет браузер или операционная система, простирается гораздо дальше, чем сертификат сервера Wi-Fi, принятый для одной сети. Определите объект, хранилище, в которое он попал, назначение, для которого он разрешён, и какие приложения обращаются к этому хранилищу.

Пакет конфигурации может содержать несколько параметров сразу, поэтому изучите содержимое, а не доверяйте Wi-Fi-метке установщика. Метка описывает задачу, но не обязательно всё, что делает полезная нагрузка.

Даже широкий корень не доказывает, что каждая сессия HTTPS проверяется. Проверка требует подходящего пути трафика и сертификата сервера, который приложение принимает по своей реальной политике проверки, а приложения могут использовать разные хранилища доверия с дополнительными проверками.

Шаг 3: держите VPN вне решения о доверии

VPN защищает свой охваченный путь после того, как устройство достигает партнёра VPN. Он не удаляет установленный корень, не меняет решения приложения о доверии и не проверяет за вас неожиданный сервер аутентификации Wi-Fi.

Спросите администратора о сетевой аутентификации, управлении устройствами и разрешённой проверке TLS как о трёх отдельных вопросах. Это не три названия одной и той же функции сертификата, и ответ поддержки, который их сливает, не скажет вам, какое изменение вы одобрили.

Шаг 4: устраните несоответствие, не ломая всё

Запишите несекретные данные из подсказки: имя сервера, издателя и отпечаток, если он показан. Сравните их со значениями, которые учреждение публикует для своей сети, и воспринимайте несоответствие как вопрос к владельцу конфигурации, а не как то, что нужно прокликать.

Просмотрите установленную конфигурацию в поддерживаемых настройках платформы, чтобы знать, что действительно действует. Удаление всех сертификатов на устройстве ломает несвязанный доступ, а принятие неизвестной замены ослабляет проверку личности, которую вы хотели сохранить. Исправьте конкретное несоответствие и оставьте остальное хранилище доверия в покое.