Táto výzva na certifikát Wi-Fi nie je nová koreňová certifikačná autorita

Dialógové okno sa objaví, keď sa pripájate k univerzitnej alebo kancelárskej sieti, spomína certifikát a ponúka tlačidlo s nápisom dôverovať alebo pokračovať. Za týmto tlačidlom sa skrývajú dve veľmi odlišné zmeny. Jedna naučí klienta Wi-Fi, ktorý autentifikačný server má v tejto jednej sieti prijímať. Druhá nainštaluje certifikačnú autoritu, ktorú potom môžu používať iné aplikácie. Formulácia na obrazovke je jediná stopa, ktorú máte, tak si ju prečítajte, kým sa dotknete.

Krok 1: prečítajte si, na čo sa okno skutočne pýta

Hľadajte tri veci: zobrazený názov servera, uvedeného vydavateľa a či je akcia opísaná ako dôvera serveru pre toto pripojenie, alebo ako inštalácia certifikátu do zariadenia. To sú rôzne objekty a výzva, ktorá nehovorí, ktorý z nich schvaľujete, si zaslúži pauzu.

Neschvaľujte žiadnu verziu len preto, že názov siete vyzerá povedome. SSID vyberá ten, kto prevádzkuje prístupový bod, a názov v captive portáli nie je dôkazom o autentifikačnom serveri za ním. Ktokoľvek s prístupovým bodom môže vysielať presvedčivé SSID. Práve preto kontrola certifikátu existuje.

Čo dokazuje certifikát servera 802.1X

V nasadení 802.1X s certifikátmi overuje supplicant zariadenia počas vyjednávania autentifikačný server. Príručka Applu pre nasadenie 802.1X opisuje server RADIUS, ktorý predkladá svoj certifikát, a rozhodnutie o dôvere, ktoré k tejto službe patrí.

Posledná časť je celý zmysel. Certifikát vydaný známou certifikačnou autoritou dokazuje, že ho vydavateľ podpísal, nie že tento konkrétny server patrí inštitúcii, ku ktorej ste sa podľa svojho presvedčenia pripojili. Dôvera obmedzená na účel existuje práve preto, že druhá otázka je tá, na ktorej záleží.

Podporované konfigurácie môžu obmedziť dôveru na vybrané certifikáty servera alebo očakávané názvy servera. Preto inštitúcie rozdávajú overený profil Wi-Fi namiesto toho, aby používateľom hovorili, aby prijali prvý certifikát, ktorý sa objaví, a preto je výzva bez očakávaného názvu zlým miestom na také rozhodnutie.

Krok 2: skontrolujte, či sa nenainštalovala širšia autorita

Certifikačná autorita, ktorej dôveruje prehliadač alebo operačný systém, dosiahne oveľa ďalej než certifikát servera Wi-Fi prijatý pre jednu sieť. Určite objekt, úložisko, do ktorého sa dostal, účel, na ktorý je povolený, a ktoré aplikácie toto úložisko používajú.

Konfiguračný balík môže obsahovať niekoľko nastavení naraz, preto prezrite obsah, namiesto toho aby ste verili štítku Wi-Fi v inštalátore. Štítok opisuje úlohu, nie nevyhnutne všetko, čo náklad robí.

Ani široký koreň nedokazuje, že každé pripojenie HTTPS je kontrolované. Kontrola vyžaduje vhodnú cestu prevádzky a certifikát servera, ktorý aplikácia prijíma podľa svojej skutočnej validačnej politiky, a aplikácie môžu používať rôzne úložiská dôvery s ďalšími kontrolami.

Krok 3: držte VPN mimo rozhodnutia o dôvere

VPN chráni svoju pokrytú cestu po tom, čo zariadenie dosiahne protiľahlý bod VPN. Neodstraňuje nainštalovaný koreň, nemení rozhodnutia aplikácie o dôvere a neoveruje za vás neočakávaný autentifikačný server Wi-Fi.

Pýtajte sa správcu na autentifikáciu siete, správu zariadení a autorizovanú kontrolu TLS ako na tri samostatné otázky. Nie sú to tri názvy tej istej certifikačnej funkcie a odpoveď podpory, ktorá ich zlúči, vám nepovie, ktorú zmenu ste schválili.

Krok 4: vyriešte nesúlad bez toho, aby ste všetko pokazili

Zapíšte si ne-tajné údaje z výzvy: názov servera, vydavateľa a odtlačok, ak sa zobrazuje. Porovnajte ich s hodnotami, ktoré inštitúcia zverejňuje pre svoju sieť, a nesúlad berte ako otázku pre vlastníka konfigurácie, nie ako niečo, čo sa má odklikať.

Prejdite nainštalovanú konfiguráciu v podporovaných nastaveniach platformy, aby ste vedeli, čo skutočne platí. Zmazanie všetkých certifikátov v zariadení pokazí nesúvisiaci prístup a prijatie neznámej náhrady oslabí kontrolu identity, ktorú ste chceli zachovať. Opravte konkrétny nesúlad a zvyšok úložiska dôvery nechajte tak.