Lời nhắc chứng chỉ Wi-Fi này không phải một tổ chức gốc mới

Hộp thoại xuất hiện khi bạn tham gia một mạng trong trường hoặc văn phòng, nó nhắc tới chứng chỉ và đưa ra nút ghi tin cậy hoặc tiếp tục. Đằng sau nút đó ẩn hai thay đổi rất khác nhau. Một bên dạy ứng dụng khách Wi-Fi máy chủ xác thực nào sẽ chấp nhận cho riêng mạng này. Bên kia cài một tổ chức cấp chứng chỉ mà các ứng dụng khác sau đó có thể dùng. Câu chữ trên màn hình là manh mối duy nhất bạn có, nên hãy đọc trước khi chạm.

Bước 1: đọc xem hộp thoại thực sự yêu cầu gì

Hãy tìm ba điều: tên máy chủ được hiển thị, nhà phát hành được nêu và việc hành động được mô tả là tin một máy chủ cho kết nối này hay là cài một chứng chỉ trên thiết bị. Đó là những đối tượng khác nhau, và một lời nhắc không cho biết bạn đang phê duyệt cái nào đáng để dừng lại.

Đừng phê duyệt cả hai phiên bản chỉ vì tên mạng trông quen thuộc. SSID do người vận hành điểm truy cập chọn, và tên trên cổng captive không phải bằng chứng về máy chủ xác thực phía sau. Bất kỳ ai có điểm truy cập đều có thể phát một SSID đầy thuyết phục. Chính vì thế mà việc kiểm tra chứng chỉ tồn tại.

Chứng chỉ máy chủ 802.1X chứng minh điều gì

Trong một triển khai 802.1X dùng chứng chỉ, supplicant của thiết bị xác thực máy chủ xác thực trong quá trình thương lượng. Hướng dẫn triển khai 802.1X của Apple mô tả máy chủ RADIUS trình bày chứng chỉ của nó và quyết định tin cậy phù hợp với dịch vụ đó.

Phần cuối đó chính là toàn bộ vấn đề. Một chứng chỉ do tổ chức cấp chứng chỉ nổi tiếng phát hành chứng minh nhà phát hành đã ký nó, không chứng minh máy chủ cụ thể này thuộc tổ chức mà bạn nghĩ mình đã tham gia. Sự tin cậy giới hạn theo mục đích tồn tại chính vì câu hỏi thứ hai mới là điều quan trọng.

Các cấu hình được hỗ trợ có thể giới hạn tin cậy vào những chứng chỉ máy chủ được chọn hoặc tên máy chủ mong đợi. Vì thế các tổ chức phát một hồ sơ Wi-Fi đã được xác minh thay vì bảo người dùng chấp nhận chứng chỉ đầu tiên xuất hiện, và vì thế một lời nhắc không có tên mong đợi là nơi tồi để đưa ra quyết định.

Bước 2: kiểm tra xem một tổ chức rộng hơn đã được cài chưa

Một tổ chức cấp chứng chỉ mà trình duyệt hoặc hệ điều hành tin cậy vươn xa hơn nhiều so với một chứng chỉ máy chủ Wi-Fi được chấp nhận cho một mạng. Hãy xác định đối tượng, kho nó đã vào, mục đích nó được phép và những ứng dụng nào tra cứu kho đó.

Một gói cấu hình có thể chứa nhiều thiết lập cùng lúc, nên hãy kiểm tra nội dung thay vì tin nhãn Wi-Fi của trình cài đặt. Nhãn mô tả nhiệm vụ, không nhất thiết mọi thứ mà phần tải thực hiện.

Ngay cả một gốc rộng cũng không chứng minh mọi phiên HTTPS đang bị kiểm tra. Việc kiểm tra cần một đường truyền phù hợp và một chứng chỉ máy chủ mà ứng dụng chấp nhận theo chính sách xác thực thực sự của nó, và các ứng dụng có thể dùng kho tin cậy khác nhau với kiểm tra bổ sung.

Bước 3: giữ VPN ra ngoài quyết định tin cậy

VPN bảo vệ đường được nó bao phủ sau khi thiết bị tới được đối tác VPN. Nó không gỡ một gốc đã cài, không thay đổi quyết định tin cậy của ứng dụng và không xác minh thay bạn một máy chủ xác thực Wi-Fi bất ngờ.

Hãy hỏi quản trị viên về xác thực mạng, quản lý thiết bị và kiểm tra TLS được phép như ba câu hỏi riêng biệt. Đó không phải ba tên cho cùng một tính năng chứng chỉ, và một câu trả lời hỗ trợ gộp chúng lại sẽ không cho bạn biết bạn đã phê duyệt thay đổi nào.

Bước 4: giải quyết sự không khớp mà không phá vỡ mọi thứ

Ghi lại các chi tiết không bí mật từ lời nhắc: tên máy chủ, nhà phát hành và dấu vân tay nếu được hiển thị. So sánh chúng với các giá trị mà tổ chức công bố cho mạng của chính mình, và coi sự không khớp là câu hỏi dành cho chủ sở hữu cấu hình, không phải thứ để bấm qua.

Xem lại cấu hình đã cài qua các thiết lập được hỗ trợ của nền tảng để biết điều gì thực sự có hiệu lực. Xóa mọi chứng chỉ trên thiết bị sẽ làm hỏng truy cập không liên quan, và chấp nhận một thứ thay thế không rõ sẽ làm yếu việc kiểm tra danh tính mà bạn muốn giữ. Hãy sửa đúng chỗ không khớp và để phần còn lại của kho tin cậy yên.