Dieses CA-Stammzertifikat skole.hr ist kein offizielles Eduroam-Zertifikat , sondern ein CA-Zertifikat wahrscheinlich von der Schule, die Eduroam WiFi implementiert . Es ist auch plausibel, dass dies ein völlig unabhängiges CA-Zertifikat eines Drittanbieters ist, das zum Ausspionieren verwendet wird. Wir können das nicht mit Sicherheit unterscheiden.

Während möglicherweise für die WiFi-Authentifizierung verwendet wird, wie im WPA_EAP_TTLS_PAP vorgeschlagen, wird es als vertrauenswürdige Zertifizierungsstelle installiert kann zum Signieren eines Zertifikats verwendet werden. Wenn Sie die Zertifizierungsstelle installieren, vertrauen Sie dem , der dahinter steht, und sie können sie unter anderem auf einem abfangenden HTTPS-Proxy verwenden.

Wenn Sie nur die Absicht haben, eine Verbindung zum herzustellen WiFi, es wäre möglich, die Installation des Zertifikats insgesamt zu überspringen, einfach jedem Zertifikat für diese Verbindung zu vertrauen und den Internetzugang mit Vorsicht zu verwenden, genau wie Sie jedes kostenlose WiFi verwenden würden. Da dies jedoch das Konto gefährden kann, das Sie für das WLAN verwenden, ist die beste Wahl, die Verwendung der Zertifizierungsstelle nur für die WLAN-Authentifizierung zu beschränken , wie in den Antworten von multithr3at3d und Ángel.

Erstens bietet Android aus einem bestimmten Grund zwei unterschiedliche Importoptionen. VPN und Apps gelten für den allgemeinen HTTPS-Verkehr aller Ihrer Apps, einschließlich der Browser. Sie können hier Ihre eigenen Zertifizierungsstellen installieren, wenn Sie beispielsweise Ihren eigenen Datenverkehr abfangen möchten. WiFi dient meines Wissens zur Identifizierung von WiFi-Netzwerken in Unternehmen, hat jedoch meines Wissens keinen Einfluss auf den normalen Datenverkehr. Dies bringt uns zum nächsten Teil.

Sie sollten immer ein CA-Zertifikat angeben, wenn Sie eine Verbindung zu Unternehmens-WiFi-Netzwerken herstellen. 802.1X unterstützt eine Reihe von Authentifizierungsprotokollen (z. B. EAP-TLS). Die Zertifizierungsstelle wird normalerweise verwendet, um das Zertifikat des Authentifizierungsservers zu überprüfen. Wenn Sie keine Zertifizierungsstelle angeben, akzeptiert Ihr Client den Server, mit dem er kommuniziert. Abhängig vom Authentifizierungstyp können Sie Klartext-Anmeldeinformationen (Ihre Anmeldeinformationen für Ihre an eduroam teilnehmende Organisation) an einen Angreifer übergeben. Dies kann leicht mit einem bösen Zwillingsangriff mit einem Tool wie EAPHammer erreicht werden. Nichts hindert jemanden daran, diesen Angriff mit der eduroam ESSID durchzuführen und Ihre Anmeldeinformationen zu stehlen. Aus diesem Grund sollten Sie beim Herstellen einer Verbindung immer eine Zertifizierungsstelle angeben.

ist "Installiert für Wi-Fi", was meiner Meinung nach bedeutet, dass der Berechtigungsnachweis auf den gesamten WiFi-Verkehr angewendet wird.

Nein. Dies bedeutet dies nicht.

Es gibt verschiedene Möglichkeiten, wie ein WiFi-Netzwerk einen Benutzer authentifizieren kann. Die häufigsten sind:

• WPA-PSK Beide Parteien verwenden ein P Re S Hared K Sie müssen sich authentifizieren. Das ist der Mechanismus für alle, die nur ein Passwort verwenden. Jeder, der das Passwort kennt, kann eine Verbindung zum WLAN herstellen. Sie können sich nicht nur als WLAN ausgeben, indem Sie ein anderes mit demselben Namen erstellen.
• WPS (Wi-Fi Protected Setup) Hiermit können Sie eine kurze PIN verwenden, um das vollständige PSK-Kennwort wiederherzustellen. Unsicher.
• WPA-802.1X (WPA-Enterprise) Benutzer authentifizieren sich mit einem Paar Benutzer / Kennwort bei einem RADIUS-Server.
• Captive-Portal. Eigentlich keine Möglichkeit, Benutzer im WiFi-Netzwerk zu authentifizieren, sondern eine Authentifizierung über einem offenen WiFi.

Wann immer Sie eine große Anzahl von Benutzern sicher autorisieren möchten, sollten Sie WPA- verwenden. 802.1X - genau das macht Eduroam. Dazu müssen Sie dem Access Point (AP) einen Benutzer und ein Kennwort senden. Diese Anmeldeinformationen (die möglicherweise sogar dieselben sind, mit denen Sie sich beispielsweise bei Ihrer Universität für E-Mails authentifizieren) sollten geschützt werden. Ein böser Schauspieler könnte jedoch einen AP namens Eduroam einrichten, damit Ihr Computer / Telefon eine Verbindung dazu herstellt (d. H. Ihre Eduroam-Anmeldeinformationen bereitstellen). Um festzustellen, ob dies der legitime AP ist, kann Ihr Gerät ein von ihm vorgelegtes Zertifikat überprüfen. Genau wie bei der Authentifizierung eines Servers in HTTPS. Das Zertifikat, das Sie erhalten haben, wird vom AP verwendet (oder, wie in Ihrem Fall, ein übergeordnetes Zertifikat, das die des AP signiert).

Moderne Telefone speichern diese Zertifikate getrennt von der globalen Zertifizierungsstelle. Sie fügen das Zertifikat daher der WiFi-Verbindung hinzu, anstatt eine Zertifizierungsstelle zu installieren, die Websites signieren kann. Aus diesem Grund wird angezeigt, dass es für Wi-Fi installiert ist. Dies bedeutet nicht, dass die Zertifikate von HTTPS-Seiten signiert werden dürfen, wenn über WLAN auf sie zugegriffen wird. Dies bedeutet, dass es nur zum Zertifizieren der Wi-Fi-Verbindung verwendet wird.

Sobald Sie mit dem Wi-Fi verbunden sind, verwenden Ihre Apps das normale CA-Bundle, um Serverzertifikate zu validieren (genau wie wenn nicht) Verwenden von Wi-Fi).

Zusammenfassend lässt sich sagen, dass mit diesem Zertifikat, das nur für Wi-Fi auf Ihrem Gerät installiert ist, kein Zugriff auf Ihren verschlüsselten (HTTPS) Datenverkehr möglich ist (nicht mehr als ohne das installierte Zertifikat), und tatsächlich sollten Sie es installieren, um zu vermeiden, dass Ihre Anmeldeinformationen an einen nicht autorisierten AP weitergegeben werden.

PS: Als Randnotiz gilt ein 1024-Bit-RSA-Zertifikat mit sha1 heutzutage als veraltet. Sie sollten es aktualisieren. Was sie ohnehin vor dem 21. November 2021 tun müssen.

Kurze Antwort:

Wenn Sie wissen möchten, ob Ihr Netzwerk den SSL-Verkehr entschlüsselt, verwenden Sie Firefox und prüfen Sie, ob SSL-Probleme gemeldet werden (FF vertraut Systemzertifikaten nicht).

Lange Antwort:

A. Eduroam verwendet für jedes beteiligte Institut ein etwas anderes Authentifizierungs- / Verifizierungsschema. Ich kann die genauen Details aus den von Ihnen angegebenen Informationen nicht abrufen.

B. Das von Ihnen erwähnte Zertifikat sollte von Ihrem Computer verwendet werden, um zu überprüfen, ob Ihre Anmeldeinformationen an Ihre Universität gesendet und nicht anderweitig verwendet wurden (ich bin nicht sicher, ob und wie das Schema die Identität des Gastinstituts überprüft.

C. Ich habe nie ein Browserzertifikat für eduroam installiert (insbesondere nicht für Firefox, das den vom System installierten Zertifikaten nicht vertraut). Dies bedeutet, dass die SSL-Verschlüsselung nicht geöffnet wird.

Das Zertifikat hier ist nicht für SSL-Verkehr. Es ist ausschließlich für die 802.1x-Authentifizierung vorgesehen. Die meisten Universitäten verwenden PEAP-TTLS. Dafür ist ein Zertifikat vom Server erforderlich. Der Client muss kein Zertifikat bereitstellen. Benutzername und Passwort reichen für die Authentifizierung aus. Die meisten Universitäten kaufen kein offizielles Zertifikat zur Authentifizierung und senden ein selbstsigniertes Zertifikat. Dies führt zu einer Sicherheitswarnung mit der Aufschrift "Vertrauen Sie diesem Zertifikat?". Dies hat nichts mit Ihrem SSL-Verkehr zu tun. Denn sobald die Authentifizierung abgeschlossen ist, dürfen Sie das drahtlose Netzwerk von eduroam betreten und sind mit diesem Zertifikat fertig.