Ce certificat racine CA skole.hr n'est pas un certificat officiel Eduroam , mais un certificat CA probablement de l'école qui implémente Eduroam WiFi . Il est également plausible qu'il s'agisse d'un certificat d'autorité de certification tiers totalement indépendant utilisé pour l'espionnage; nous ne pouvons pas distinguer cela avec certitude.

Bien qu'il puisse être utilisé pour l'authentification WiFi, comme le suggère le WPA_EAP_TTLS_PAP , installé en tant qu'autorité de certification de confiance, il peut être utilisé pour signer n'importe quel certificat. Si vous installez l'autorité de certification, vous faites confiance à celui qui est derrière, et ils pourraient l'utiliser sur un proxy HTTPS d'interception, entre autres.

Si votre seule intention est de vous connecter au WiFi, il serait possible de sauter complètement l'installation du certificat, de faire confiance à n'importe quel certificat pour cette connexion et d'utiliser l'accès Internet avec prudence, comme vous utiliseriez n'importe quel WiFi gratuit. Cependant, comme cela pourrait compromettre le compte que vous utilisez pour le WiFi, le meilleur choix serait de limiter l’utilisation de l’autorité de certification uniquement pour l’authentification WiFi , comme expliqué dans les réponses de multithr3at3d et Ángel.

Premièrement, Android propose deux options d'importation distinctes pour une raison. VPN et applications est destiné au trafic HTTPS général de toutes vos applications, y compris les navigateurs. Vous pouvez installer vos propres autorités de certification ici si vous souhaitez par exemple intercepter votre propre trafic. Le WiFi sert à identifier les réseaux WiFi d'entreprise, mais n'affecte pas le trafic normal, à ma connaissance. Cela nous amène à la partie suivante.

Vous devez toujours spécifier un certificat CA lorsque vous vous connectez aux réseaux WiFi d'entreprise. 802.1X prend en charge un certain nombre de protocoles d'authentification (par exemple EAP-TLS); l'autorité de certification est généralement utilisée pour vérifier le certificat du serveur d'authentification. Si vous ne spécifiez pas d'autorité de certification, votre client acceptera le serveur avec lequel il communique. Le résultat, selon le type d'authentification, est que vous transmettez peut-être des informations d'identification en texte brut (vos informations d'identification pour votre organisation participant à eduroam) à un attaquant. Cela peut être fait facilement avec une attaque jumelle diabolique, en utilisant un outil tel que EAPHammer. Rien n'empêche quelqu'un d'effectuer cette attaque avec l'EDuroam ESSID et de voler vos informations d'identification. Pour cette raison, vous devez toujours spécifier une autorité de certification lors de la connexion.

est "Installé pour le Wi-Fi", ce qui, je suppose, signifie que les informations d'identification sont appliquées à tout le trafic WiFi.

Non. Cela ne veut pas dire cela.

Il existe plusieurs façons dont un réseau WiFi peut authentifier un utilisateur. Les plus courants sont:

• WPA-PSK Les deux parties utilisent un P re S hared K ey pour s'authentifier. C'est le mécanisme pour tous ceux qui n'utilisent qu'un mot de passe. Toute personne connaissant le mot de passe peut se connecter au WiFi. En plus d'usurper l'identité du WiFi en créant un autre avec le même nom.
• WPS (Wi-Fi Protected Setup) Cela permet d'utiliser un code PIN court pour récupérer le mot de passe PSK complet. Non sécurisé.
• Les utilisateurs WPA-802.1X (WPA-Entreprise) s'authentifient avec une paire d'utilisateur / mot de passe sur un serveur RADIUS.
• Portail captif. En fait, ce n'est pas un moyen d'authentifier les utilisateurs sur le réseau WiFi, mais une authentification au sommet d'un WiFi ouvert.

Chaque fois que vous souhaitez autoriser en toute sécurité un grand nombre d'utilisateurs, vous devez utiliser WPA- 802.1X - c'est ce que fait Eduroam. Cela nécessitera que vous envoyiez au point d'accès (AP) un utilisateur et un mot de passe. Ces informations d'identification (qui peuvent être les mêmes que celles que vous utilisez pour vous authentifier auprès de votre université, par exemple pour les e-mails) doivent être protégées. Cependant, un acteur pervers pourrait mettre en place un AP nommé Eduroam afin que votre ordinateur / téléphone s'y connecte (c'est-à-dire lui fournir vos informations d'identification Eduroam). La manière pour votre appareil d'identifier qu'il s'agit du point d'accès légitime est de vérifier un certificat présenté par celui-ci. Tout comme ceux utilisés pour authentifier un serveur en HTTPS. Le certificat que vous avez reçu est celui utilisé par l'AP (ou, comme dans votre cas, un certificat parent qui signe ceux de l'AP).

Les téléphones modernes stockent ces certificats séparément de l'autorité de certification globale, vous ajoutez donc le certificat à la connexion WiFi, plutôt que d'installer une autorité de certification qui pourrait signer des sites Web. C'est pourquoi il indique qu'il est "Installé pour le Wi-Fi". Cela ne signifie pas qu'il est autorisé à signer les certificats des pages HTTPS lorsqu'elles sont accessibles via Wi-Fi. Cela signifie qu'il ne sera utilisé que pour certifier la connexion Wi-Fi.

Une fois que vous êtes connecté au Wi-Fi, vos applications utiliseront le bundle CA normal pour valider les certificats de serveur (comme si ce n'est pas le cas en utilisant le Wi-Fi).

En résumé, avec ce certificat, installé uniquement pour le Wi-Fi sur votre appareil, ne leur permettra pas d'espionner votre trafic chiffré (HTTPS) (pas plus qu'ils ne le pourraient sans le certificat installé), et en fait, vous devriez l'installer pour éviter de divulguer vos informations d'identification à un point d'accès non autorisé.

PS: En remarque, un certificat RSA 1024 bits utilisant sha1 est considéré comme daté de nos jours, ils devraient le mettre à jour. Ce qu'ils seront obligés de faire de toute façon avant le 21 novembre 2021.

Réponse courte:

Si vous voulez savoir si votre réseau déchiffre le trafic SSL - utilisez firefox et voyez s'il signale des problèmes SSL (FF ne fait pas confiance aux certificats système)

Réponse longue:

A. Eduroam utilise un schéma d'authentification / vérification un peu différent pour chaque institut impliqué, je ne peux pas obtenir les détails exacts des informations que vous avez fournies.

B. le certificat que vous mentionnez doit être utilisé par votre ordinateur pour vérifier que vos informations d'identification sont envoyées à votre université et ne sont pas utilisées ailleurs (je ne sais pas si et comment le système vérifie l'identité de l'institut hôte.

C. Je n'ai jamais installé de certificat de navigateur pour eduroam (surtout pas pour Firefox - qui ne font pas confiance aux certificats installés par le système) - cela signifie qu'ils n'ouvrent pas le cryptage SSL.

Le certificat ici n'est pas pour le trafic SSL. C'est uniquement pour l'authentification 802.1x. La plupart des universités utilisent PEAP-TTLS. Ce qui nécessite un certificat du serveur. Le client n'a pas besoin de fournir de certificat. Le nom d'utilisateur et le mot de passe suffisent pour l'authentification. La plupart des universités ne prennent pas la peine d'acheter un certificat officiel pour l'authentification et poussent un certificat auto-signé. Cela se traduit par une invite d'avertissement de sécurité indiquant «faites-vous confiance à ce certificat». Cela n'a rien à voir avec votre trafic SSL. Parce qu'une fois l'authentification terminée, vous êtes autorisé à accéder au réseau sans fil eduroam et vous avez terminé avec ce certificat.