แยกการเข้าสู่ระบบพอร์ทัล Wi-Fi ออกจากการเข้าสู่ระบบ VPN
สองระบบที่แตกต่างกันขอสิ่งเดียวกัน: การเข้าสู่ระบบ พอร์ทัลควบคุมการเข้าถึงในพื้นที่ ส่วน VPN ควบคุมการเข้าถึงเครือข่ายส่วนตัว ถามทุกหน้าต่างว่าใครสามารถตรวจสอบความลับนี้ได้จริง
สองระบบที่แตกต่างกันขอให้คุณเข้าสู่ระบบก่อนที่จะเข้าถึงสิ่งที่เป็นประโยชน์บนเครือข่ายสาธารณะ: Wi-Fi ของสถานที่และเกตเวย์ VPN ของคุณ ทั้งสองดูเหมือนกันบนหน้าจอและอนุญาตสิ่งที่แตกต่างกันโดยสิ้นเชิง พอร์ทัลตัดสินว่าอุปกรณ์นี้ใช้เครือข่ายท้องถิ่นได้หรือไม่ ส่วน VPN ตัดสินว่าคุณเข้าถึงเครือข่ายส่วนตัวที่อื่นได้หรือไม่ ฉันแยกทั้งสองออกจากกันด้วยการถามคำถามเดียวในทุกหน้าต่าง: ใครสามารถตรวจสอบความลับนี้ได้จริง ต่อไปนี้คือรายการตรวจสอบที่ฉันใช้ในโรงแรม สนามบิน และสถานที่จัดการประชุม รวมถึงจุดที่ฉันหยุดพิมพ์
เชื่อมโยงการเข้าสู่ระบบแต่ละครั้งกับบริการที่ตรวจสอบ
การเชื่อมต่อโรงแรมครั้งเดียวอาจเกี่ยวข้องกับการตรวจสอบสี่อย่างแยกกัน และมีเพียงบางอย่างเท่านั้นที่ขอข้อมูลจากคุณ เรียงลำดับก่อน เพราะหน้าจอไม่ค่อยบอกว่าอยู่ขั้นตอนใด
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
เครือข่าย 802.1X ซึ่งพบได้ทั่วไปในสำนักงานและมหาวิทยาลัย ทำให้สองแถวแรกพร่ามัว ที่นั่นการเข้าสู่ระบบ Wi-Fi คือการตรวจสอบตัวตนกับเซิร์ฟเวอร์ RADIUS และไคลเอนต์อาจแสดงตัวตนสำหรับการกำหนดเส้นทาง ขณะที่บัญชีจริงเดินทางอยู่ในการแลกเปลี่ยนที่เข้ารหัส แม้เช่นนั้นการตรวจสอบก็เกี่ยวกับการเข้าร่วมเครือข่าย ไม่ได้อนุญาตอุโมงค์ และเกตเวย์ VPN ไม่ถือเป็นหลักฐานใด ๆ
ลำดับสำคัญกว่าป้ายกำกับ พอร์ทัลแบบ Captive มีอยู่เพราะการเข้าถึงสามารถมอบให้ได้หลังการเชื่อมต่อ ดังนั้นสถานที่จึงมอบหน้าเว็บให้ผู้ให้บริการเฉพาะทางได้ RFC 8952 ของ IETF มองว่าพอร์ทัลเป็นองค์ประกอบของตัวเอง โดเมนที่ไม่คุ้นเคยจึงเป็นเหตุให้ตรวจสอบ ไม่ใช่หลักฐานของการฉ้อโกงในตัวเอง เปรียบเทียบโดเมนกับคำแนะนำเป็นลายลักษณ์อักษรของสถานที่ และเปรียบเทียบฟิลด์กับตาราง
ตรวจสอบว่าพอร์ทัลขออะไรได้บ้าง
ฟิลด์ของพอร์ทัลเกี่ยวกับสิทธิ์ ไม่ใช่ตัวตน: หมายเลขห้อง นามสกุลจากการจอง รหัสบัตรกำนัล รหัสที่พิมพ์บนซองกุญแจ อีเมลสำหรับบัตรผ่านชั่วคราว การยอมรับข้อกำหนด สถานที่รู้อยู่แล้วว่าใครจองห้อง จึงสามารถจับคู่ข้อเท็จจริงเหล่านั้นได้โดยไม่ต้องเรียนรู้อะไรที่จะทำให้สามารถกระทำการแทนคุณที่อื่น
สิ่งใดก็ตามที่เกินกว่ารายการนั้นสมควรหยุดพัก หน้า hotspot ไม่สามารถตรวจสอบรหัสผ่านโดเมนของคุณได้ และก็ไม่สามารถตรวจสอบรหัสใช้ครั้งเดียวของ VPN รหัสกู้คืน หรือคีย์ส่วนตัวของคุณได้ และไม่มีเหตุผลที่จะต้องการมัน ข้อยกเว้นที่ชอบด้วยกฎหมายเพียงอย่างเดียวคือเครือข่ายที่องค์กรดูแล: SSID สำหรับแขกในสำนักงานหรือ Wi-Fi ของการประชุมอาจส่งคุณไปยังผู้ให้บริการตัวตนที่คุณใช้อยู่แล้วสำหรับงาน ยังแยกแยะได้: โฮสต์เข้าสู่ระบบคือโฮสต์ประจำวันของคุณ หน้าจอความยินยอมระบุผู้เช่าของคุณ และโฟลว์เปิดในแท็บเบราว์เซอร์ที่มองเห็นได้
อีเมลการตลาดแยกต่างหาก: นามแฝงการเดินทางทำให้ฟิลด์นั้นสมบูรณ์โดยไม่มอบตัวตนการทำงานของคุณ
ตรวจสอบว่าไคลเอนต์ VPN ต้องการข้อมูลรับรองของตัวเอง
ไคลเอนต์ขอสิ่งที่โปรไฟล์ของมันกำหนดไว้เท่านั้น หน้าต่างที่คาดไว้จึงเป็นคุณสมบัติของโปรไฟล์ ไม่ใช่ของเครือข่ายที่คุณบังเอิญอยู่ โปรไฟล์ใบรับรองมักแสดงการเลือกโปรไฟล์แล้วเชื่อมต่ออย่างเงียบ ๆ โปรไฟล์ชื่อผู้ใช้และรหัสผ่านขอทั้งสองอย่าง มักมีรหัสใช้ครั้งเดียว โปรไฟล์ SSO เปิดเบราว์เซอร์ของคุณที่ผู้ให้บริการตัวตนและกลับมาพร้อมโทเค็น WireGuard ต่างออกไปอีก: ตรวจสอบอุปกรณ์ด้วยคีย์สาธารณะและไม่มีการเข้าสู่ระบบของผู้ใช้ หน้าต่างที่เสนอชื่อผู้ใช้และรหัสผ่านของ WireGuard จึงไม่ได้อธิบาย WireGuard
อ่านโปรไฟล์ก่อนเดินทาง ใน OpenVPN auth-user-pass บอกคุณว่าคาดว่าจะมีการขอรหัสผ่าน ส่วน cert key หรือ pkcs12 หมายความว่าใบรับรองควรทำงานนั้น หากโปรไฟล์ที่ปกติเชื่อมต่อโดยไม่มีการขอ กลับขอรหัสผ่านกะทันหัน ให้สงสัยโปรไฟล์ที่โหลดใบรับรองไม่สำเร็จหรือถอยไปใช้วิธีอื่น การขอไม่ใช่คำเชิญให้พิมพ์รหัสผ่านงานของคุณลงในหน้าต่างใดก็ตามที่ปรากฏ
ไคลเอนต์ VPN ที่ชอบด้วยกฎหมายไม่ขอหมายเลขห้อง บัตรกำนัลของพอร์ทัล หรือวลีรหัสผ่าน Wi-Fi เป็นข้อมูลป้อนเข้าสำหรับการพิสูจน์ตัวตน เมื่อสิ่งนั้นเกิดขึ้น ไม่ว่าไคลเอนต์จะไม่ใช่สิ่งที่มันอ้าง หรือพอร์ทัลแบบ Captive กำลังดักจับการรับส่งก่อนที่อุโมงค์จะก่อตัว และคุณกำลังอ่านหน้า HTML ที่จัดรูปแบบให้ดูเหมือนการเข้าสู่ระบบ
หยุดที่เงื่อนไขทั้งห้านี้
นี่คือจุดที่ฉันหยุดแทนที่จะดำเนินการต่อด้วยทางอ้อมที่ดูสมเหตุสมผล แต่ละอย่างตรวจสอบได้ถูกและผิดพลาดได้แพง
- มีคำเตือนใบรับรองหรือ TLS ปรากฏบนพอร์ทัลหรือหน้า SSO อย่าคลิกผ่านเพื่อเข้าถึงเครือข่าย
- หน้าเว็บขอความลับที่พอร์ทัล VPN หรือผู้ให้บริการตัวตนเท่านั้นที่ตรวจสอบได้: รหัสผ่านโดเมน รหัสใช้ครั้งเดียว รหัสกู้คืน คีย์ส่วนตัว
- โดเมนไม่ตรงกับคำแนะนำที่พิมพ์ไว้ของสถานที่หรือโฮสต์เข้าสู่ระบบที่องค์กรของคุณบันทึกไว้สำหรับบริการของตัวเอง
- มีการขอให้คุณติดตั้งใบรับรองราก โปรไฟล์การกำหนดค่า หรือแอปพลิเคชันช่วยเหลือที่ไม่ได้มาจากการจัดการอุปกรณ์ของคุณ
- มีอนุมัติ MFA ที่คุณไม่ได้เริ่มขึ้นมา หรือไคลเอนต์ VPN ขอข้อมูลรับรองของโรงแรม
ทางเลือกไม่ใช่รหัสผ่านอื่น ใช้ hotspot จากโทรศัพท์ ถามที่แผนกต้อนรับถึงชื่อเครือข่ายและวิธีการเข้าถึงที่แน่นอน และรายงานหน้าเว็บต่อผู้ดูแลเครือข่ายหรือฝ่ายไอทีของคุณ ไม่มีสิ่งใดต้องทดสอบข้อมูลรับรองกับหน้าที่คุณระบุที่มาไม่ได้
ระบุความล้มเหลวให้ถูกขั้นตอน
หลังจากทั้งสองขั้นตอนผ่านไป ความล้มเหลวก็ยังเกิดขึ้น และข้อผิดพลาดมักระบุขั้นตอนหากอ่านตามลำดับ: การเชื่อมต่อ การกำหนดที่อยู่ การอนุญาตพอร์ทัล การสร้างอุโมงค์ จากนั้นทรัพยากรภายใน การเปลี่ยนรหัสผ่าน VPN เพราะรหัสพอร์ทัลหมดอายุทำให้เสียเวลาและปล่อยปัญหาไว้ที่เดิม
การทดสอบไม่กี่อย่างแยกขั้นตอนเหล่านั้น หลังเข้าสู่ระบบพอร์ทัล ขอหน้า HTTPS สาธารณะธรรมดา หากพอร์ทัลกลับมาแทน การอนุญาตไม่เคยเสร็จสิ้นในชั้นนั้น หากไคลเอนต์ VPN รายงานว่าเข้าถึงเกตเวย์ไม่ได้ ปัญหาอยู่ใต้อุโมงค์: เซสชันพอร์ทัล การแปลงชื่อ หรือเครือข่ายที่บล็อกพอร์ต หากอุโมงค์ขึ้นและชื่อโฮสต์ภายในหนึ่งรายการล้มเหลว การแปลงชื่อหรือนโยบายในเครือข่ายส่วนตัวเป็นผู้ต้องสงสัยที่ดีกว่า
เซสชันพอร์ทัลหมดอายุได้โดยไม่ขึ้นกับอุโมงค์ เมื่อสถานที่เพิกถอนการเข้าถึง การเชื่อมต่อ VPN ที่สร้างไว้จะล่มแม้ข้อมูลรับรองไม่เคยผิด การอนุญาตพอร์ทัลใหม่ จากนั้นเชื่อมต่อ VPN อีกครั้งและปล่อยให้เจรจาใหม่ การหมุนรหัสผ่าน VPN ตอนนั้นไม่แก้อะไรและอาจล็อกคุณออก
ให้ความลับแต่ละอย่างกับระบบที่ตรวจสอบได้เท่านั้น และถือว่าคำขอที่ไม่ตรงกับตารางเป็นสัญญาณหยุด ไม่ใช่ขั้นตอนที่ต้องหลีกเลี่ยง หากทั้งสองขั้นตอนผ่านและอุโมงค์ยังปฏิเสธ ให้บันทึกข้อผิดพลาดที่แน่นอนของไคลเอนต์ก่อนเปลี่ยนข้อมูลรับรองใด ๆ