Oddeľte prihlasovanie do Wi-Fi portálu od prihlasovania do VPN
Dva rôzne systémy žiadajú to isté: prihlásenie. Portál riadi miestny prístup, VPN prístup k súkromnej sieti. Pri každom okne sa pýtajte, kto naozaj môže overiť toto tajomstvo.
Dva rôzne systémy vás žiadajú prihlásiť sa, kým sa vo verejnej sieti dostanete k niečomu užitočnému: Wi-Fi miesta a vaša VPN brána. Na obrazovke vyzerajú rovnako a autorizujú úplne odlišné veci. Portál rozhoduje, či toto zariadenie môže používať miestnu sieť; VPN rozhoduje, či sa dostanete do súkromnej siete inde. Oddeľujem ich tak, že sa pri každom okne pýtam jednu otázku: kto naozaj môže overiť toto tajomstvo? Nasleduje kontrolný zoznam, ktorý používam v hoteloch, na letiskách a v kongresových centrách, vrátane miest, kde prestávam písať.
Priraďte každé prihlásenie službe, ktorá ho kontroluje
Jedno hotelové pripojenie môže zahŕňať štyri samostatné kontroly a len niektoré žiadajú váš vstup. Najprv ich zoraďte, pretože obrazovka málokedy povie, do ktorej fázy patrí.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Siete 802.1X, bežné v kanceláriách a na univerzitách, rozmazávajú prvé dva riadky. Tam je prihlásenie do Wi-Fi samo kontrolou identity voči serveru RADIUS a klient môže predložiť smerovaciu identitu, zatiaľ čo skutočný účet cestuje vnútri šifrovanej výmeny. Aj vtedy ide o pripojenie k sieti; tunel neautorizuje a VPN brána to neprijíma ako dôkaz čohokoľvek.
Poradie je dôležitejšie ako označenia. Captive portály existujú preto, že prístup možno udeliť po pripojení, a preto môže miesto odovzdať stránku špecializovanému poskytovateľovi. RFC 8952 IETF považuje portál za vlastný komponent, takže neznáma doména je dôvodom na kontrolu, nie sama o sebe dôkazom podvodu. Porovnajte doménu s písomnými pokynmi miesta a polia s tabuľkou.
Skontrolujte, čo portál smie žiadať
Polia portálu sa týkajú nároku, nie identity: číslo izby, priezvisko z rezervácie, kód vouchera, kód vytlačený na obale kľúča, e-mail na časovo obmedzený preukaz, súhlas s podmienkami. Miesto už vie, kto si izbu rezervoval, takže tieto údaje môže porovnať bez toho, aby sa dozvedelo niečo, čo by mu umožnilo konať inde ako vy.
Čokoľvek nad tento zoznam si zaslúži pauzu. Stránka hotspotu nedokáže overiť vaše doménové heslo, a tiež nedokáže overiť váš jednorazový kód VPN, kód na obnovenie ani súkromný kľúč a nemá dôvod ich chcieť. Jedinou legitímnou výnimkou je sieť prevádzkovaná organizáciou: hosťovské SSID v kancelárii alebo konferenčná Wi-Fi vás môžu odkázať na poskytovateľa identity, ktorého už používate v práci. Dá sa to rozlíšiť: hostiteľ prihlásenia je ten váš každodenný, obrazovka súhlasu uvádza vášho nájomcu a tok sa otvára vo viditeľnej karte prehliadača.
Marketingový e-mail je samostatne: cestovný alias splní pole bez vydania vašej pracovnej identity.
Skontrolujte, či VPN klient chce vlastné prihlasovacie údaje
Klient žiada presne to, na čo je nakonfigurovaný jeho profil, takže očakávané okno je vlastnosťou profilu, nie siete, v ktorej sa práve nachádzate. Profily s certifikátom zvyčajne ukážu výber profilu a potom sa ticho pripoja. Profily s používateľským menom a heslom žiadajú oboje, často s jednorazovým kódom. Profily SSO otvoria váš prehliadač u poskytovateľa identity a vrátia sa s tokenom. WireGuard je opäť iný: overuje zariadenia verejným kľúčom a nemá používateľské prihlásenie, takže okno ponúkajúce používateľské meno a heslo WireGuardu WireGuard neopisuje.
Prečítajte si profil pred cestou. V OpenVPN vám auth-user-pass hovorí, že sa očakáva výzva na heslo, zatiaľ čo cert, key alebo pkcs12 znamená, že prácu má urobiť certifikát. Ak profil, ktorý sa zvyčajne pripája bez výzvy, zrazu žiada heslo, podozrievajte profil, ktorý nedokázal načítať certifikát alebo prešiel na inú metódu. Výzva nie je pozvánkou napísať pracovné heslo do akéhokoľvek okna, ktoré sa objavilo.
Žiadny legitímny VPN klient nežiada číslo izby, voucher portálu ani Wi-Fi heslovú frázu ako vstup na overenie. Keď sa to stane, buď klient nie je tým, za čo sa vydáva, alebo captive portál zachytáva prevádzku skôr, než vznikne tunel, a vy čítate HTML stránku upravenú tak, aby vyzerala ako prihlásenie.
Zastavte sa pri týchto piatich podmienkach
Toto sú miesta, kde sa zastavím namiesto pokračovania s uveriteľným obchvatom. Každé je lacné skontrolovať a drahé pokaziť.
- Na portáli alebo na stránke SSO sa objaví upozornenie na certifikát alebo TLS. Neprechádzajte cez neho kliknutím, aby ste sa dostali do siete.
- Stránka žiada tajomstvo, ktoré môže overiť iba VPN brána alebo poskytovateľ identity: doménové heslo, jednorazový kód, kód na obnovenie, súkromný kľúč.
- Doména nezodpovedá vytlačeným pokynom miesta ani hostiteľovi prihlásenia, ktorý vaša organizácia dokumentuje pre svoje služby.
- Žiadajú od vás inštaláciu koreňového certifikátu, konfiguračného profilu alebo pomocnej aplikácie, ktorá nepochádza zo správy vašich zariadení.
- Prichádza schválenie MFA, ktoré ste nezačali, alebo VPN klient žiada hotelové prihlasovacie údaje.
Náhradou nie je iné heslo. Použite hotspot z telefónu, opýtajte sa na recepcii na presný názov siete a spôsob prístupu a nahláste stránku tomu, kto sieť prevádzkuje, alebo svojmu IT oddeleniu. Nič z toho nevyžaduje testovanie prihlasovacích údajov na stránke, ktorej nedokážete priradiť pôvod.
Priraďte zlyhanie správnej fáze
Keď obe fázy prejdú, zlyhania sa dejú ďalej a chyba zvyčajne pomenuje fázu, ak ju čítate po poradí: pripojenie, pridelenie adresy, autorizácia portálu, nadviazanie tunela, potom vnútorný zdroj. Zmena hesla VPN preto, že vypršal kód portálu, stráca čas a necháva skutočný problém na mieste.
Niekoľko sond fázy oddelí. Po prihlásení do portálu požiadajte o bežnú verejnú stránku HTTPS. Ak sa namiesto nej vráti portál, autorizácia v tej vrstve nikdy nebola dokončená. Ak VPN klient hlási, že nedosiahne bránu, problém je pod tunelom: relácia portálu, preklad mien alebo sieť, ktorá blokuje port. Ak tunel nabehne a jedno vnútorné meno hostiteľa zlyhá, preklad mien alebo politika v súkromnej sieti je lepší podozrivý.
Relácie portálu tiež vypršia nezávisle od tunela. Keď miesto odoberie prístup, nadviazané VPN spojenie padne, aj keď jeho prihlasovacie údaje nikdy neboli nesprávne. Znovu autorizujte portál, potom znovu pripojte VPN a nechajte ju znovu vyjednať. Rotácia hesla VPN vtedy nič neopraví a môže vás uzamknúť.
Každé tajomstvo dávajte len systému, ktorý ho dokáže overiť, a žiadosť, ktorá nezodpovedá tabuľke, berte ako stopku, nie ako krok na obídenie. Ak obe fázy prejdú a tunel stále odmieta, zachyťte presnú chybu klienta, kým zmeníte akékoľvek prihlasovacie údaje.