Ločite prijave v Wi-Fi portalu od prijav v VPN
Dva različna sistema zahtevata isto: prijavo. Portal nadzira lokalni dostop, VPN dostop do zasebnega omrežja. Pri vsakem oknu vprašajte, kdo lahko resnično preveri to skrivnost.
Dva različna sistema vas prosita za prijavo, preden v javnem omrežju dosežete kaj uporabnega: Wi-Fi kraja in vaš prehod VPN. Na zaslonu sta videti enako in odobravata povsem različne stvari. Portal odloča, ali ta naprava lahko uporablja lokalno omrežje; VPN odloča, ali lahko dosežete zasebno omrežje drugje. Ločujem ju tako, da pri vsakem oknu postavim eno vprašanje: kdo lahko resnično preveri to skrivnost? Sledi kontrolni seznam, ki ga uporabljam v hotelih, na letališčih in v kongresnih središčih, vključno s točkami, kjer preneham tipkati.
Vsako prijavo povežite s storitvijo, ki jo preverja
Ena hotelska povezava lahko vključuje štiri ločena preverjanja in le nekatera zahtevajo vaš vnos. Najprej jih razvrstite po vrstnem redu, ker zaslon redko pove, kateri stopnji pripada.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Omrežja 802.1X, pogosta v pisarnah in na univerzah, zameglijo prvi dve vrstici. Tam je prijava v Wi-Fi sama po sebi preverjanje identitete pri strežniku RADIUS, odjemalec pa lahko predstavi usmerjevalno identiteto, medtem ko pravi račun potuje znotraj šifrirane izmenjave. Tudi takrat gre za pridružitev omrežju; ne odobri tunela in prehod VPN tega ne sprejme kot dokaz česarkoli.
Vrstni red je pomembnejši od oznak. Captive portali obstajajo zato, ker je dostop mogoče odobriti po povezavi, zato lahko kraj stran preda specializiranemu ponudniku. RFC 8952 IETF obravnava portal kot lastno komponento, zato je neznana domena razlog za preverjanje, ne pa sama po sebi dokaz goljufije. Primerjajte domeno s pisnimi navodili kraja in polja s tabelo.
Preverite, kaj lahko portal zahteva
Polja portala se nanašajo na pravico, ne na identiteto: številka sobe, priimek iz rezervacije, koda bona, koda, natisnjena na ovitku ključa, e-pošta za časovno omejeno prepustnico, sprejetje pogojev. Kraj že ve, kdo je rezerviral sobo, zato lahko te podatke uskladi, ne da bi izvedel kaj, kar bi mu omogočilo delovati kot vi drugje.
Vse, kar presega ta seznam, si zasluži premor. Stran hotspot ne more preveriti vašega domenskega gesla, tudi ne more preveriti vaše enkratne kode VPN, kode za obnovitev ali zasebnega ključa in nima razloga, da bi jih želela. Edina zakonita izjema je omrežje, ki ga upravlja organizacija: gostujoči SSID v pisarni ali konferenčni Wi-Fi vas lahko napoti k ponudniku identitete, ki ga že uporabljate za delo. Še vedno je prepoznavno: gostitelj prijave je vaš vsakdanji, zaslon soglasja navaja vašega najemnika in tok se odpre v vidnem zavihku brskalnika.
Trženjska e-pošta je ločena: potovalni alias izpolni polje, ne da bi izdal vašo delovno identiteto.
Preverite, ali odjemalec VPN želi svoje poverilnice
Odjemalec zahteva natanko to, za kar je konfiguriran njegov profil, zato je pričakovano okno lastnost profila in ne omrežja, v katerem ste. Profili s potrdilom običajno pokažejo izbiro profila in se nato tiho povežejo. Profili z uporabniškim imenom in geslom zahtevajo oboje, pogosto z enkratno kodo. Profili SSO odprejo brskalnik pri ponudniku identitete in se vrnejo z žetonom. WireGuard je spet drugačen: naprave overja z javnim ključem in nima uporabniške prijave, zato okno, ki ponuja uporabniško ime in geslo WireGuarda, ne opisuje WireGuarda.
Preberite profil pred potjo. V OpenVPN vam auth-user-pass pove, da je pričakovati zahtevo za geslo, medtem ko cert, key ali pkcs12 pomeni, da mora delo opraviti potrdilo. Če profil, ki se običajno poveže brez zahteve, nenadoma zahteva geslo, sumite na profil, ki ni mogel naložiti potrdila ali se je vrnil na drugo metodo. Zahteva ni povabilo, da vnesete delovno geslo v katero koli okno, ki se je pojavilo.
Noben zakonit odjemalec VPN ne zahteva številke sobe, bona portala ali geslovne fraze Wi-Fi kot vnosa za preverjanje. Ko se to zgodi, odjemalec bodisi ni to, kar trdi, bodisi captive portal prestreza promet, preden se tunel oblikuje, in berete stran HTML, oblikovano kot prijava.
Ustavite se pri teh petih pogojih
To so točke, kjer se ustavim, namesto da bi nadaljeval s plausibilnim obhodom. Vsako je poceni preveriti in drago zgrešiti.
- Na portalu ali na strani SSO se pojavi opozorilo o potrdilu ali TLS. Ne pojdite skozi z njim s klikom, da bi dosegli omrežje.
- Stran zahteva skrivnost, ki jo lahko preveri le prehod VPN ali ponudnik identitete: domensko geslo, enkratno kodo, kodo za obnovitev, zasebni ključ.
- Domena se ne ujema s tiskanimi navodili kraja ali z gostiteljem prijave, ki ga vaša organizacija dokumentira za svoje storitve.
- Od vas se zahteva namestitev korenskega potrdila, konfiguracijskega profila ali pomožne aplikacije, ki ne prihaja iz upravljanja vaših naprav.
- Prispe odobritev MFA, ki je niste začeli, ali odjemalec VPN zahteva hotelske poverilnice.
Alternativa ni drugo geslo. Uporabite hotspot telefona, na recepciji vprašajte za točno ime omrežja in način dostopa ter stran prijavite tistemu, ki upravlja omrežje, ali svoji službi IT. Nič od tega ne zahteva preizkušanja poverilnic na strani, ki ji ne morete pripisati izvora.
Napako pripišite pravi stopnji
Ko obe stopnji mineta, se napake še vedno dogajajo, napaka pa običajno navede stopnjo, če jo berete po vrsti: povezava, dodelitev naslova, avtorizacija portala, vzpostavitev tunela, nato notranji vir. Spreminjanje gesla VPN, ker je potekla koda portala, izgublja čas in pušča pravi problem na mestu.
Nekaj preizkusov loči stopnji. Po prijavi v portal zahtevajte običajno javno stran HTTPS. Če se namesto nje vrne portal, avtorizacija na tej plasti ni bila nikoli dokončana. Če odjemalec VPN poroča, da ne doseže prehoda, je težava pod tunelom: seja portala, razreševanje imen ali omrežje, ki blokira vrata. Če se tunel dvigne in eno notranje ime gostitelja spodleti, sta razreševanje imen ali politika v zasebnem omrežju bolj verjeten sum.
Seje portala tudi potečejo neodvisno od tunela. Ko kraj prekliče dostop, vzpostavljena povezava VPN pade, čeprav njene poverilnice niso bile nikoli napačne. Znova avtorizirajte portal, nato znova povežite VPN in pustite, da se znova pogaja. Vrtenje gesla VPN takrat ne popravi ničesar in vas lahko zaklene.
Vsako skrivnost dajte le sistemu, ki jo lahko preveri, in zahtevo, ki se ne ujema s tabelo, obravnavajte kot znak za ustavitev, ne kot korak, ki bi ga bilo treba obiti. Če obe stopnji mineta in tunel še vedno zavrača, zajemite natančno napako odjemalca, preden spremenite kakršne koli poverilnice.