Den där Wi-Fi-certifikatrutan är ingen ny rotcertifikatmyndighet

Dialogen visas när du ansluter till ett campus- eller kontorsnätverk, den nämner ett certifikat och erbjuder en knapp där det står lita på eller fortsätt. Bakom den knappen döljer sig två mycket olika ändringar. Den ena lär Wi-Fi-klienten vilken autentiseringsserver den ska acceptera för just det här nätverket. Den andra installerar en certifikatmyndighet som andra program sedan kan använda. Formuleringen på skärmen är den enda ledtråd du får, så läs den innan du trycker.

Steg 1: läs vad dialogen egentligen frågar om

Leta efter tre saker: det visade servernamnet, den angivna utgivaren och om åtgärden beskrivs som att lita på en server för den här anslutningen eller som att installera ett certifikat på enheten. Det är olika objekt, och en uppmaning som inte säger vilket du godkänner förtjänar en paus.

Godkänn inte någon av versionerna bara för att nätverksnamnet ser bekant ut. SSID:n väljs av den som driver åtkomstpunkten, och namnet på den captive portalen är inget bevis för autentiseringsservern bakom. Vem som helst med en åtkomstpunkt kan sända ut ett övertygande SSID. Det är just därför certifikatkontrollen finns.

Vad ett 802.1X-servercertifikat bevisar

I en 802.1X-distribution med certifikat validerar enhetens supplicant autentiseringsservern under förhandlingen. Apples vägledning för 802.1X-distribution beskriver att RADIUS-servern visar sitt certifikat och att förtroendebeslutet hör till den tjänsten.

Den sista delen är hela poängen. Ett certifikat som utfärdats av en känd CA bevisar att utgivaren signerade det, inte att just den här servern tillhör den institution du tror att du anslöt dig till. Ändamålsbegränsat förtroende finns just för att den andra frågan är den som spelar roll.

Konfigurationer som stöds kan begränsa förtroendet till utvalda servercertifikat eller förväntade servernamn. Därför distribuerar institutioner en verifierad Wi-Fi-profil i stället för att säga åt användare att acceptera det första certifikat som dyker upp, och därför är en dialog utan förväntat namn en dålig plats att fatta beslutet på.

Steg 2: kontrollera om en bredare myndighet har installerats

En CA som en webbläsare eller operativsystemet litar på når mycket längre än ett Wi-Fi-servercertifikat som accepterats för ett nätverk. Identifiera objektet, det arkiv det hamnade i, det ändamål det är tillåtet för och vilka program som konsulterar det arkivet.

Ett konfigurationspaket kan innehålla flera inställningar samtidigt, så granska innehållet i stället för att lita på Wi-Fi-etiketten på installationsprogrammet. Etiketten beskriver ärendet, inte nödvändigtvis allt som paketet gör.

Inte ens en bred rot bevisar att varje HTTPS-session inspekteras. Inspektion kräver en lämplig trafikväg och ett servercertifikat som programmet accepterar enligt sin verkliga valideringspolicy, och program kan använda olika förtroendearkiv med ytterligare kontroller.

Steg 3: håll VPN:en utanför förtroendebeslutet

En VPN skyddar den väg den täcker efter att enheten når VPN-peeren. Den tar inte bort en installerad rot, ändrar inte ett programs förtroendebeslut och verifierar inte en oväntad Wi-Fi-autentiseringsserver åt dig.

Fråga administratören om nätverksautentisering, enhetshantering och auktoriserad TLS-inspektion som tre separata frågor. De är inte tre namn för samma certifikatfunktion, och ett supportsvar som slår ihop dem berättar inte vilken ändring du godkände.

Steg 4: lös avvikelsen utan att förstöra allt

Anteckna de icke-hemliga uppgifterna från dialogen: servernamnet, utgivaren och fingeravtrycket om det visas. Jämför dem med de värden som institutionen publicerar för sitt eget nätverk, och behandla en avvikelse som en fråga till konfigurationens ägare, inte som något att klicka bort.

Granska den installerade konfigurationen via plattformens inställningar som stöds så att du vet vad som faktiskt gäller. Att radera alla certifikat på enheten bryter orelaterad åtkomst, och att acceptera en okänd ersättning försvagar den identitetskontroll du ville behålla. Rätta den specifika avvikelsen och lämna resten av förtroendearkivet i fred.