9 votos

¿Cómo maneja Android las CAs de root wifi? ¿Deben ser una preocupación de seguridad?

Mi universidad me exige que instale una CA Root personalizada para conectarme a su red wifi. Cuando lo instalé en mi teléfono, me permitió especificar "Wifi" o "VPN y aplicaciones". Elegí el wifi y pude conectarme con éxito.

Sin embargo, me preocupa la seguridad de este certificado. No sé quién es el responsable en mi universidad y si es un grupo de estudiantes voluntarios que no saben lo que hacen.

Cuando elijo la opción "Wifi", ¿significa eso que la CA sólo se utilizará para autenticarse con la red wifi y no para nada más? Así que si la clave privada se filtra y alguien intenta hacer un sitio de phishing usando HTTPs para dirigirse a los estudiantes, ¿aceptaría Chrome/el navegador que tenga instalado un certificado HTTPs para un sitio firmado por la CA que instalé para wifi?

Estoy en Android 7.1.1

1 votos

Tengo una curiosidad: echa un vistazo a la cadena de certificación de algo tan sencillo como Google.com. Si la suya es muy diferente de la mía, me preocuparía: imgur.com/a/s7pLV

0 votos

Oh, una advertencia, si su cadena de CA se parece a la mía, no significa que todo esté bien, pero aquí es donde yo miraría primero. Si es diferente, esperaría ver algo como Bluecoat, indicando un proxy man-in-the-middle.

1voto

Yogesh Arora Puntos 833

Una autoridad de certificación firma los certificados digitales. A menudo, las empresas pagan a una CA de confianza internacional, como VeriSign o DigiCert, para que firme certificados en su propio dominio.

En algunos casos puede tener más sentido actuar como su propia CA, en lugar de pagar a una CA como DigiCert. Su universidad está haciendo exactamente eso, es decir, utilizando su propia autoridad de certificación.

Lo primero que hay que entender es que la CA root que has instalado no es una clave privada, sino una clave pública. Echa un vistazo a tus certificados en el navegador que estés utilizando y mira en la pestaña de autoridades, verás un montón de Root CA como VeriSign.

Digamos que su universidad tiene una página web informativa university.edu. Sin la instalación de la CA root en su dispositivo, si usted fuera a la página web, vería un error que le advertiría que el sitio no es de confianza. Después de instalar la CA root, el sitio se mostrará como seguro ya que está verificando que es válido utilizando la clave pública de su dispositivo. El servidor web de unversity.edu tendrá una clave privada que se correlaciona con la clave pública que tienes. Así que cuando accedes a la página web se verifica que es un sitio válido.

En esencia, tener la CA root no es un problema. La única clave que podría causar problemas importantes si se compromete es la clave privada de la CA root. Normalmente, las CA se configuran con una CA root y una CA intermedia. La clave root se mantiene fuera de línea para que no pueda ser comprometida. De este modo, si la clave privada utilizada para firmar las solicitudes de certificados en la CA intermedia se ve comprometida, se generaría una nueva clave privada utilizando la clave privada de root. Esto requeriría volver a emitir claves a todos los servidores que se verifiquen, pero protege el entorno.

Espero que esto ayude.

Consulte esta documentación sobre la configuración de una autoridad de certificación para conocer con más detalle el funcionamiento de una autoridad de certificación.

https://jamielinux.com/docs/openssl-certificate-authority/introduction.html

0voto

Phil Brooks Puntos 53

La otra respuesta me parece muy engañosa.

Instalar una CA root es un riesgo ENORME. Eso significa que casi todo el tráfico de su red puede ser interceptado (lo que puede llevar a problemas mayores).

Pero, No estoy seguro de que este sea el caso. Creo que no has instalado una CA de root de confianza, sino sólo una CA de "autenticación de servidor" para que tu cliente (tu teléfono) pueda verificar el servidor RADIUS que se utiliza para autenticar tus credenciales en la Wi-Fi WPA2-Enterprise.

Esto es bastante común en las universidades.

Esto significa que su universidad no puede firmar ningún certificado para ningún otro dominio que no sea el servidor especificado.

Aunque esto no es seguro. Si pudieras actualizar tu pregunta con algunas capturas de pantalla de la solicitud que recibiste - puedo decir con certeza.

PreguntAndroid.com

PreguntAndroid es una comunidad de usuarios de Android en la que puedes resolver tus problemas y dudas.
Puedes consultar las preguntas de otros usuarios, hacer tus propias preguntas o resolver las de los demás.

Powered by:

X