To obvestilo o potrdilu Wi-Fi ni nov korenski certifikacijski organ

Pogovorno okno se prikaže, ko se pridružujete univerzitetnemu ali pisarniškemu omrežju, omenja potrdilo in ponuja gumb z napisom zaupaj ali nadaljuj. Za tem gumbom se skrivata dve zelo različni spremembi. Ena nauči odjemalca Wi-Fi, kateri strežnik overjanja naj sprejme v tem enem omrežju. Druga namesti certifikacijski organ, ki ga bodo lahko nato uporabljale druge aplikacije. Besedilo na zaslonu je edina sled, ki jo dobite, zato ga preberite, preden se dotaknete.

Korak 1: preberite, kaj okno v resnici zahteva

Poiščite tri stvari: prikazano ime strežnika, navedenega izdajatelja in ali je dejanje opisano kot zaupanje strežniku za to povezavo ali kot namestitev potrdila v napravo. To so različni objekti in poziv, ki ne pove, katerega potrjujete, si zasluži premor.

Ne potrdite nobene različice le zato, ker se ime omrežja zdi znano. SSID izbere tisti, ki upravlja dostopno točko, in ime v captive portalu ni dokaz o strežniku overjanja za njim. Vsakdo z dostopno točko lahko oddaja prepričljiv SSID. Prav zato preverjanje potrdila sploh obstaja.

Kaj dokazuje potrdilo strežnika 802.1X

V uvedbi 802.1X s potrdili supplicant naprave med pogajanji overi strežnik overjanja. Applov vodnik za uvedbo 802.1X opisuje strežnik RADIUS, ki predloži svoje potrdilo, in odločitev o zaupanju, ki sodi k tej storitvi.

Zadnji del je ves smisel. Potrdilo, ki ga izda znan certifikacijski organ, dokazuje, da ga je izdajatelj podpisal, ne pa da ta konkretni strežnik pripada ustanovi, za katero mislite, da ste se ji pridružili. Zaupanje, omejeno na namen, obstaja prav zato, ker je drugo vprašanje tisto, ki šteje.

Podprte konfiguracije lahko omejijo zaupanje na izbrana potrdila strežnika ali pričakovana imena strežnika. Zato ustanove delijo preverjen profil Wi-Fi, namesto da bi uporabnikom rekli, naj sprejmejo prvo potrdilo, ki se pojavi, in zato je poziv brez pričakovanega imena slab kraj za takšno odločitev.

Korak 2: preverite, ali se je namestil širši organ

Certifikacijski organ, ki mu zaupa brskalnik ali operacijski sistem, seže veliko dlje kot potrdilo strežnika Wi-Fi, sprejeto za eno omrežje. Določite objekt, shrambo, v katero je prišel, namen, za katerega je dovoljen, in katere aplikacije uporabljajo to shrambo.

Konfiguracijski paket lahko vsebuje več nastavitev hkrati, zato preglejte vsebino, namesto da bi zaupali nalepki Wi-Fi v namestitvenem programu. Nalepka opisuje opravilo, ne nujno vsega, kar počne tovor.

Tudi širok koren ne dokazuje, da se pregleduje vsaka seja HTTPS. Pregled potrebuje ustrezno pot prometa in potrdilo strežnika, ki ga aplikacija sprejme po svoji resnični politiki preverjanja, aplikacije pa lahko uporabljajo različne shrambe zaupanja z dodatnimi preverjanji.

Korak 3: imejte VPN zunaj odločitve o zaupanju

VPN zaščiti svojo pokrito pot, potem ko naprava doseže nasprotni del VPN. Ne odstrani nameščenega korena, ne spremeni odločitev aplikacije o zaupanju in ne preveri v vašem imenu nepričakovanega strežnika overjanja Wi-Fi.

Skrbnika vprašajte o overjanju omrežja, upravljanju naprav in dovoljenem pregledu TLS kot o treh ločenih vprašanjih. To niso tri imena iste funkcije potrdila in odgovor podpore, ki jih združi, vam ne bo povedal, katero spremembo ste potrdili.

Korak 4: razrešite neskladje, ne da bi vse pokvarili

Zapišite si nejavne podatke iz poziva: ime strežnika, izdajatelja in odtis, če je prikazan. Primerjajte jih z vrednostmi, ki jih ustanova objavi za svoje omrežje, in neskladje obravnavajte kot vprašanje za lastnika konfiguracije, ne kot nekaj, kar bi odkliknili.

Preglejte nameščeno konfiguracijo v podprtih nastavitvah platforme, da boste vedeli, kaj resnično velja. Brisanje vseh potrdil v napravi pokvari nepovezan dostop, sprejetje neznane zamenjave pa oslabi preverjanje identitete, ki ste ga hoteli obdržati. Popravite konkretno neskladje in pustite preostanek shrambe zaupanja pri miru.