这条 Wi-Fi 证书提示并不是新的根证书颁发机构

当你加入校园网或办公网时，这个对话框会出现，它提到证书，并给出一个写着信任或继续的按钮。这个按钮背后藏着两种完全不同的改动。一种只是告诉 Wi-Fi 客户端：只在这个网络里接受哪一个身份验证服务器。另一种会安装一个证书颁发机构，其他应用随后可能也会使用它。屏幕上的措辞是你唯一的线索，所以点击前请先读清楚。

第 1 步：读懂对话框到底在问什么

看三样东西：显示出来的服务器名称、写明的签发者，以及这个动作被描述成只为此连接信任一台服务器，还是在设备上安装一张证书。这些是不同的对象，而一个不告诉你究竟在批准哪一个的提示，值得停下来想想。

不要因为网络名称看起来熟悉就批准任何一个版本。SSID 由运营接入点的人决定，强制门户上的名字并不能证明它背后的身份验证服务器。任何人有一台接入点都能广播一个很像的 SSID。证书检查存在的意义正在于此。

802.1X 服务器证书能证明什么

在使用证书的 802.1X 部署中，设备的 supplicant 会在协商过程中验证身份验证服务器。Apple 的 802.1X 部署指南 描述了 RADIUS 服务器出示自己的证书，而信任决定应当限定于那项服务。

最后这一点才是关键。由知名证书颁发机构签发的证书只能证明签发者签过它，不能证明这台具体的服务器属于你以为自己加入的那家机构。按用途限定信任之所以存在，正是因为第二个问题才是要紧的那个。

受支持的配置可以把信任限制在选定的服务器证书或预期的服务器名称上。这就是机构分发经过验证的 Wi-Fi 配置文件的理由，而不是让用户接受第一个出现的证书；也是为什么没有预期名称的提示不适合用来做决定。

第 2 步：检查是否装上了更宽的权威

浏览器或操作系统信任的证书颁发机构，能触及的范围远比只为某个网络接受的一张 Wi-Fi 服务器证书大得多。要弄清对象、它进入了哪个存储区、它被允许用于什么用途，以及哪些应用会查询那个存储区。

配置包可能一次包含多项设置，所以要检查内容，而不是相信安装程序上的 Wi-Fi 标签。标签描述的是任务，不一定是载荷做的全部事情。

即使是宽泛的根证书，也不能证明每一个 HTTPS 会话都被检查。检查需要合适的流量路径，以及应用按其真实校验策略接受的服务器证书；应用还可以使用不同的信任存储，并叠加额外检查。

第 3 步：把 VPN 排除在信任决定之外

VPN 保护的是设备到达 VPN 对端之后所覆盖的那段路径。它不会移除已安装的根证书，不会改变应用的信任决定，也不会替你验证一台意料之外的 Wi-Fi 身份验证服务器。

把网络身份验证、设备管理和经授权的 TLS 检查当成三个独立问题去问管理员。它们不是同一个证书功能的三个名字，而把它们混在一起的客服答复不会告诉你自己批准了哪一项改动。

第 4 步：在不破坏一切的前提下解决不一致

记下提示里的非机密信息：服务器名称、签发者，以及显示出来的指纹。把它们与机构为自家网络公布的值对比，把不一致当成要问配置负责人的问题，而不是点一下就过去的事。

通过平台支持的设置复查已安装的配置，弄清实际生效的到底是什么。删掉设备上的所有证书会破坏无关的访问，而接受一个未知替代品会削弱你本想保留的身份检查。修正那处具体的不一致，其余信任存储不要动。