ข้อความแจ้งใบรับรอง Wi-Fi นี้ไม่ใช่ผู้มีอำนาจออกใบรับรองรากใหม่

หน้าต่างจะปรากฏขึ้นขณะที่คุณเข้าร่วมเครือข่ายในมหาวิทยาลัยหรือสำนักงาน มันกล่าวถึงใบรับรองและเสนอปุ่มที่เขียนว่าเชื่อถือหรือดำเนินการต่อ หลังปุ่มนั้นมีสองการเปลี่ยนแปลงที่ต่างกันมากซ่อนอยู่ อย่างหนึ่งสอนไคลเอนต์ Wi-Fi ว่าจะยอมรับเซิร์ฟเวอร์ตรวจสอบสิทธิ์ตัวใดสำหรับเครือข่ายเดียวนี้ อีกอย่างติดตั้งผู้มีอำนาจออกใบรับรองที่แอปพลิเคชันอื่นอาจใช้ในภายหลัง ถ้อยคำบนหน้าจอเป็นเบาะแสเดียวที่คุณได้รับ ดังนั้นอ่านก่อนแตะ

ขั้นตอนที่ 1: อ่านว่าหน้าต่างกำลังขออะไรจริง ๆ

มองหาสามสิ่ง: ชื่อเซิร์ฟเวอร์ที่แสดง ผู้ออกที่ระบุชื่อ และการกระทำนั้นอธิบายว่าเป็นการเชื่อถือเซิร์ฟเวอร์สำหรับการเชื่อมต่อนี้หรือการติดตั้งใบรับรองบนอุปกรณ์ สิ่งเหล่านี้เป็นวัตถุที่ต่างกัน และข้อความที่ไม่บอกว่าคุณอนุมัติสิ่งใดควรหยุดคิดสักครู่

อย่าอนุมัติทั้งสองแบบเพียงเพราะชื่อเครือข่ายดูคุ้นเคย SSID ถูกเลือกโดยผู้ดูแลจุดเชื่อมต่อ และชื่อบนพอร์ทัล captive ไม่ใช่หลักฐานเกี่ยวกับเซิร์ฟเวอร์ตรวจสอบสิทธิ์ที่อยู่เบื้องหลัง ใครก็ตามที่มีจุดเชื่อมต่อสามารถประกาศ SSID ที่ชวนเชื่อได้ นั่นคือเหตุผลที่การตรวจสอบใบรับรองมีอยู่

ใบรับรองเซิร์ฟเวอร์ 802.1X พิสูจน์อะไร

ในการติดตั้ง 802.1X ที่ใช้ใบรับรอง supplicant ของอุปกรณ์จะตรวจสอบเซิร์ฟเวอร์ตรวจสอบสิทธิ์ระหว่างการเจรจา คำแนะนำการติดตั้ง 802.1X ของ Apple อธิบายว่าเซิร์ฟเวอร์ RADIUS นำเสนอใบรับรองของตน และการตัดสินใจเรื่องความเชื่อถือนั้นเหมาะกับบริการนั้น

ส่วนสุดท้ายคือประเด็นทั้งหมด ใบรับรองที่ออกโดยผู้มีอำนาจออกใบรับรองที่รู้จักพิสูจน์ว่าผู้ออกได้ลงนามในใบรับรองนั้น ไม่ได้พิสูจน์ว่าเซิร์ฟเวอร์เฉพาะนี้เป็นของสถาบันที่คุณคิดว่าคุณเข้าร่วม ความเชื่อถือที่จำกัดตามวัตถุประสงค์มีอยู่เพราะคำถามที่สองคือคำถามที่สำคัญ

การกำหนดค่าที่รองรับสามารถจำกัดความเชื่อถือไว้ที่ใบรับรองเซิร์ฟเวอร์ที่เลือกหรือชื่อเซิร์ฟเวอร์ที่คาดหวัง นั่นคือเหตุผลที่สถาบันแจกโปรไฟล์ Wi-Fi ที่ตรวจสอบแล้วแทนที่จะบอกให้ผู้ใช้ยอมรับใบรับรองแรกที่ปรากฏ และนั่นคือเหตุผลที่ข้อความที่ไม่มีชื่อที่คาดหวังเป็นสถานที่แย่สำหรับการตัดสินใจ

ขั้นตอนที่ 2: ตรวจสอบว่ามีผู้มีอำนาจที่กว้างกว่าถูกติดตั้งหรือไม่

ผู้มีอำนาจออกใบรับรองที่เบราว์เซอร์หรือระบบปฏิบัติการเชื่อถือเข้าถึงได้ไกลกว่ามากกว่าใบรับรองเซิร์ฟเวอร์ Wi-Fi ที่ยอมรับสำหรับเครือข่ายเดียว ระบุวัตถุ ที่เก็บที่มันเข้าไป วัตถุประสงค์ที่อนุญาต และแอปพลิเคชันใดที่ปรึกษาที่เก็บนั้น

แพ็กเกจการกำหนดค่าอาจมีหลายการตั้งค่าในคราวเดียว ดังนั้นตรวจสอบเนื้อหาแทนที่จะเชื่อถือป้าย Wi-Fi ของตัวติดตั้ง ป้ายอธิบายภารกิจ ไม่จำเป็นต้องอธิบายทุกอย่างที่เพย์โหลดทำ

แม้รากที่กว้างก็ไม่ได้พิสูจน์ว่าเซสชัน HTTPS ทุกครั้งถูกตรวจสอบ การตรวจสอบต้องใช้เส้นทางทราฟฟิกที่เหมาะสมและใบรับรองเซิร์ฟเวอร์ที่แอปพลิเคชันยอมรับตามนโยบายการตรวจสอบจริงของมัน และแอปพลิเคชันอาจใช้ที่เก็บความเชื่อถือต่างกันพร้อมการตรวจสอบเพิ่มเติม

ขั้นตอนที่ 3: เก็บ VPN ให้พ้นจากการตัดสินใจเรื่องความเชื่อถือ

VPN ปกป้องเส้นทางที่มันครอบคลุมหลังจากอุปกรณ์ไปถึงคู่ VPN มันไม่ได้ลบรากที่ติดตั้งไว้ ไม่ได้เปลี่ยนการตัดสินใจเรื่องความเชื่อถือของแอปพลิเคชัน และไม่ได้ตรวจสอบเซิร์ฟเวอร์ตรวจสอบสิทธิ์ Wi-Fi ที่ไม่คาดคิดแทนคุณ

ถามผู้ดูแลระบบเกี่ยวกับการตรวจสอบสิทธิ์เครือข่าย การจัดการอุปกรณ์ และการตรวจสอบ TLS ที่ได้รับอนุญาตเป็นสามคำถามแยกกัน สิ่งเหล่านี้ไม่ใช่สามชื่อของฟีเจอร์ใบรับรองเดียวกัน และคำตอบจากฝ่ายสนับสนุนที่รวมเข้าด้วยกันจะไม่บอกคุณว่าคุณอนุมัติการเปลี่ยนแปลงใด

ขั้นตอนที่ 4: แก้ความไม่ตรงกันโดยไม่ทำให้ทุกอย่างพัง

บันทึกรายละเอียดที่ไม่เป็นความลับจากข้อความ: ชื่อเซิร์ฟเวอร์ ผู้ออก และลายนิ้วมือหากแสดง เปรียบเทียบกับค่าที่สถาบันเผยแพร่สำหรับเครือข่ายของตนเอง และถือว่าความไม่ตรงกันเป็นคำถามสำหรับเจ้าของการกำหนดค่า ไม่ใช่สิ่งที่คลิกข้าม

ทบทวนการกำหนดค่าที่ติดตั้งผ่านการตั้งค่าที่รองรับของแพลตฟอร์มเพื่อให้รู้ว่าอะไรมีผลจริง การลบใบรับรองทั้งหมดบนอุปกรณ์จะทำให้การเข้าถึงที่ไม่เกี่ยวข้องเสียหาย และการยอมรับสิ่งที่แทนที่ไม่รู้จักจะทำให้การตรวจสอบตัวตนที่คุณต้องการเก็บไว้อ่อนแอลง แก้ความไม่ตรงกันเฉพาะจุดและปล่อยส่วนที่เหลือของที่เก็บความเชื่อถือไว้