EduroamにはCA証明書のインストールが必要です-TLSトラフィックを復号化できますか？
Eduroam は、教育機関や一部の都市周辺に無料のWiFiを提供する組織です。認証のしくみがよくわかりませんが、接続するにはeduroam_WPA_EAP_TTLS_PAPというCA証明書をデバイスにインストールする必要があります。 TLS/SSLトラフィックを復号化するためにCA証明書が使用されていることを知っているので、電話に証明書がインストールされていることを考慮して、Eduroamがトラフィックを復号化できるという意味ではありませんか？任意の入力を歓迎します。
特定の証明書は次のようになります（番号はセキュリティのために変更されています）。
$ openssl x509 -inform der -in ca.skole.hr.der -noout -tex
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 0 (0x0)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C = HR, ST = Zagreb, L = Zagreb, O = MZOS, OU = CARNet, CN = CA Root certificate skole.hr
Validity
Not Before: Nov 15 14:17:58 2011 GMT
Not After : Nov 12 14:17:58 2021 GMT
Subject: C = HR, ST = Zagreb, L = Zagreb, O = MZOS, OU = CARNet, CN = CA Root certificate skole.hr
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public-Key: (1024 bit)
Modulus:
00:e5:a0:99:17:88:9d:1c:93:e5:d0:8f:97:da:63:
00:e5:a0:99:17:88:9d:1c:93:e5:d0:8f:97:da:63:
00:e5:a0:99:17:88:9d:1c:93:e5:d0:8f:97:da:63:
00:e5:a0:99:17:88:9d:1c:93:e5:d0:8f:97:da:63:
00:e5:a0:99:17:88:9d:1c:93:e5:d0:8f:97:da:63:
00:e5:a0:99:17:88:9d:1c:93:e5:d0:8f:97:da:63:
00:e5:a0:99:17:88:9d:1c:93:e5:d0:8f:97:da:63:
00:e5:a0:99:17:88:9d:1c:93:e5:d0:8f:97:da:63:
00:e5:a0:99:17:88:9d:1c:93
Exponent: 65537 (0x10001)
X509v3 extensions:
X509v3 Subject Key Identifier:
00:e5:a0:99:17:88:9d:1c:9300:e5:a0:99:17:88:9d:1c:93
X509v3 Authority Key Identifier:
keyid:00:e5:a0:99:17:88:9d:1c:93:00:e5:a0:99:17:88:9d:1c:93:00:e5:a0
X509v3 Basic Constraints:
CA:TRUE
Signature Algorithm: sha1WithRSAEncryption
00:e5:a0:99:17:88:9d:1c:93:00:e5:a0:99:17:88:9d:1c:93:
00:e5:a0:99:17:88:9d:1c:93:00:e5:a0:99:17:88:9d:1c:93:
00:e5:a0:99:17:88:9d:1c:93:00:e5:a0:99:17:88:9d:1c:93:
00:e5:a0:99:17:88:9d:1c:93:00:e5:a0:99:17:88:9d:1c:93:
00:e5:a0:99:17:88:9d:1c:93:00:e5:a0:99:17:88:9d:1c:93:
00:e5:a0:99:17:88:9d:1c:93:00:e5:a0:99:17:88:9d:1c:93:
00:e5:a0:99:17:88:9d:1c:93:00:e5:a0:99:17:88:9d:1c:93:
00:e5
これは、Eduroamアプリを使用してAndroid=資格情報ストレージにインストールされ、 "Wi-Fiにインストールされています"です。これは、資格情報がすべてのWiFiトラフィックに適用されることを意味します。
2つの理由で、受け入れられた回答に完全に同意しません。
まず、Androidは、理由のために2つの異なるインポートオプションを提供します。VPNとアプリは、すべての一般的なHTTPSトラフィック用ですブラウザを含むアプリ。たとえば、独自のトラフィックをインターセプトする場合は、ここに独自のCAをインストールできます。WiFiは、エンタープライズWiFiネットワークを識別するためのものです、しかし私の知る限りでは、通常のトラフィックには影響しません。
エンタープライズWiFiネットワークに接続するときは、常にCA証明書を指定する必要があります。 802.1Xは、多くの認証プロトコル（EAP-TLSなど）をサポートしています。 CAは通常、認証サーバーの証明書を検証するために使用されます。 CAを指定しない場合、クライアントは通信するサーバーを受け入れます。その結果、認証の種類によっては、プレーンテキストの資格情報（eduroamに参加している組織の資格情報）が攻撃者に渡される可能性があります。これは EAPHammer などのツールを使用して、evil twin攻撃で簡単に実行できます。 eduroam ESSIDを使用してこの攻撃を実行し、資格情報を盗むことを阻止するものは何もありません。このため、接続時には常にCAを指定する必要があります。
この CA Root certificate skole.hrは公式のEduroam証明書ではありませんではなく、CA証明書おそらく Eduroam WiFiを実装する学校からのもの。また、これがスパイに使用されるまったく無関係のサードパーティCA証明書であることも考えられます。それを確実に区別することはできません。
mightはWiFi認証に使用されますが、WPA_EAP_TTLS_PAPは、信頼できるCAとしてインストールされ、証明書の署名に使用される可能性があることを示唆しています。 CAをインストールすると、trust背後にいる人はだれでも、傍受するHTTPSプロキシなどでCAを使用できます。
WiFiに接続することだけが目的の場合は、証明書のインストールをすべてスキップして、証明書を信頼するだけですこの接続の場合で、インターネットアクセスを慎重に使用します。無料のWiFiを使用します。ただし、これはWiFiに使用しているアカウントを危険にさらす可能性があるため、最良の選択は、WiFi認証のみのCAの使用を制限することです、 multithr3at3d および Ángel からの回答で説明されています。
「Installed for Wi-Fi」です。これは、資格情報がすべてのWiFiトラフィックに適用されることを意味します。
いいえ、それはこれを意味するものではありません。
WiFiネットワークがユーザーを認証する方法はいくつかあります。最も一般的なものは次のとおりです。
- WPA-PSK両当事者は[〜＃〜] p [〜＃〜] re -[〜＃〜] s [〜＃〜] hared [〜＃〜] k [〜＃〜]自分自身を認証するために。これは、パスワードのみを使用するすべての人のためのメカニズムです。パスワードを知っている人は誰でもWiFiに接続できます。同じ名前で別のWiFiを作成してWiFiになりすまします。
- WPS（Wi-Fi Protected Setup）これにより、短いPINを使用して完全なPSKパスワードを回復することができます。安全ではありません。
- WPA-802.1X（WPA-エンタープライズ）ユーザーは、RADIUSサーバーに対してユーザー/パスワードのペアで認証します。
- キャプティブポータル。実際には、WiFiネットワークに対してユーザーを認証する方法ではなく、オープンWiFiの上での認証です。
多数のユーザーを安全に認証する場合は常に、WPA-802.1Xを使用する必要があります。これがEduroamの機能です。これには、ユーザーとパスワードをアクセスポイント（AP）に送信する必要があります。これらの資格情報（電子メールなどの大学の認証に使用するものと同じである場合もあります）は保護する必要があります。ただし、悪意のある人物がEduroamという名前のAPをセットアップして、コンピュータ/電話に接続させる（つまり、Eduroam資格情報を提供する）ことができます。デバイスがこれが正当なAPであることを識別する方法は、それによって提示された証明書を確認することです。 HTTPSでサーバーを認証するために使用されるものと同じです。与えられた証明書は、APによって使用されるものです（または、あなたの場合のように、APの証明書に署名する親証明書）。
最新の電話はこれらの証明書をグローバルCAとは別に保存するため、Webサイトに署名できるCAをインストールするのではなく、証明書をWiFi接続に追加します。これが、「Wi-Fi用にインストールされている」と表示されている理由です。 Wi-Fi経由でアクセスしたときにHTTPSページの証明書への署名が許可されているという意味ではありません。これは、Wi-Fi接続の認証にのみ使用されることを意味します。
Wi-Fiに接続すると、アプリは通常のCAバンドルを使用してサーバー証明書を検証します（Wi-Fiを使用しない場合と同様）。
要約すると、この証明書では、デバイスのWi-Fiにのみインストールされます暗号化された（HTTPS）トラフィックをスヌープできません（証明書がインストールされていない場合よりも多く）、および実際にはインストールする必要があります資格情報を悪意のあるAPに解放しないようにします。
PS：余談ですが、sha1を使用した1024ビットのRSA証明書は今日では日付が付けられていると見なされているため、更新する必要があります。いずれにしても、2021年11月21日より前に強制的に実行されます。
短い答え：
ネットワークがSSLトラフィックを復号化するかどうかを知りたい場合は firefox を使用し、SSLの問題を報告するかどうかを確認します（FFはシステム証明書を信頼しない）
長い答え：
A. Eduroamは関係する機関ごとに少し異なる認証/検証スキームを使用しています。提供された情報から正確な詳細を取得することはできません。
B.言及した証明書は、資格情報が大学に送信され、他の場所で使用されていないことを確認するために、マシンで使用する必要があります（スキームがホスト機関のIDを確認するかどうか、およびその方法を確認できません。
C. eduroamのブラウザ証明書をインストールしなかった（特にFirefoxの場合は、システムにインストールされた証明書を信頼しない）-つまり、SSLを開かないできない暗号化。
ここの証明書はSSLトラフィック用ではありません。これは、802.1x認証専用です。ほとんどの大学はPEAP-TTLSを使用しています。サーバーからの証明書が必要です。クライアントは証明書を提供する必要はありません。認証にはユーザー名とパスワードで十分です。ほとんどの大学では、認証用の公式証明書の購入や、自己署名証明書のプッシュを行っていません。これにより、「この証明書を信頼しますか？」というセキュリティ警告プロンプトが表示されます。これはSSLトラフィックとは関係ありません。認証が完了すると、eduroamワイヤレスネットワークへのアクセスが許可され、その証明書での作業が完了するためです。