Upozornenie na certifikát sa s VPN mení: porovnajte obe cesty

Upozornenie na certifikát sa objaví v kancelárskej Wi-Fi a zmizne v okamihu, keď sa pripojí VPN. Je to skutočné pozorovanie, ale nie diagnóza. Viete len to, že dva sieťové stavy dali rôzne výsledky overenia, a zoznam možných príčin je dlhý. Berte to ako kontrolované porovnanie, nie ako dôkaz, že router je kompromitovaný.

To isté upozornenie sa môže objaviť aj naopak: čisté v miestnej sieti, pokazené cez tunel. Oba smery vám dajú dva dátové body a žiadne vysvetlenie.

Držte porovnanie na jednej premennej naraz

Použite rovnaký názov hostiteľa, rovnaký profil prehliadača a hodiny zariadenia, ktoré ste skontrolovali. Zapíšte presný text chyby a čas pre každý stav. VPN zapnutá a VPN vypnutá sú označenia dvoch stavov; nie sú vysvetlením rozdielu.

Meňte jednu vec naraz. Ak v tom istom pokuse zmeníte servery DNS, prehliadač aj sieť, zistili ste, že na niečom z toho záleží, čo je takmer to isté, ako nezistiť nič.

Veďte si v poznámkach malú tabuľku: stav, resolver, cieľová adresa, chyba a odtlačok certifikátu. Päť riadkov takej tabuľky zvyčajne porazí hodinu dohadov.

Prečítajte kategóriu chyby skôr než certifikát

Nezhoda názvu, nedôveryhodný vydavateľ a prepadnutý certifikát sú rôzne nálezy. Pokyny Chrome k chybám pripojenia ich oddeľujú a presný kód na chybovej stránke vám povie, ktorý máte. Ten kód rozhoduje, čo porovnať ďalej.

Ak je chybou nezhoda názvu, predložený certifikát nepokrýva požadovaný názov hostiteľa. Ak ide o nedôveryhodného vydavateľa, reťaz nevedie ku koreňu, ktorému prehliadač dôveruje. Ak ide o expiráciu, dátumy sú nesprávne, čo môže tiež znamenať, že hodiny zariadenia sú nesprávne.

Neprechádzajte cez upozornenie a neinštalujte neznámy koreň, len aby sa stránka načítala. Tým sa nález mení na skrytú zmenu.

Porovnajte list, reťaz a kontext

Keď sa objaví iný certifikát, zistite, či každý patrí zamýšľanej službe. Schválená obnova alebo iný koncový bod služby môžu vysvetliť legitímnu zmenu. Neočakávaný názov alebo vydavateľ je dôvod opýtať sa vlastníka služby, nie verdikt. Samotný odtlačok vám nepovie, na ktorý z týchto prípadov sa pozeráte.

Keď sa ten istý list objaví v oboch stavoch, porovnajte dodanú reťaz a kontext overenia, namiesto toho, aby ste sa zastavili pri zhodnom odtlačku. Chyba sa môže týkať medziľahlého certifikátu alebo nastavenia dôvery, nie samotného listu. Držte presnú chybu vedľa porovnania.

VPN môže zmeniť cestu resolvera, zvolený cieľ, cestu cez proxy alebo to, ako odpovedá služba založená na zdroji. Stránka, ktorá sa načíta cez tunel, neuvádza, ktorá z týchto premenných bola dôležitá. Prechod na verejný resolver a to, že sa stránka načíta, nie je nezávislým potvrdením identity webu.

Napíšte odovzdanie, na ktoré môže vlastník konať

Užitočná správa obsahuje zamýšľaný názov hostiteľa, dva časy pokusov, presné chyby a verejné údaje o certifikáte: subjekt, vydavateľa, platnosť, odtlačok a reťaz. Ak správa opúšťa vaše schválené publikum, redigujte interné názvy.

Keď vlastník dodá overenú opravu, zopakujte pôvodnú požiadavku s nedotknutým bežným overením. Potom porovnanie uzavrite so zapísaným výsledkom.

Ak dôkazy stále ukazujú len to, že jedna cesta uspeje a druhá zlyhá, povedzte presne to. Obmedzený a presný nález je užitočnejší než plošný reset routera, zmena úložiska dôvery alebo bezpečnostná výnimka, ktorá odstráni príznak a skryje príčinu.