Verkeerd SSL certificaat bij gebruik gasten wifi

[kaandorp]

Als ik met mijn MacBook op kantoor gebruik maak van het gasten wifi netwerk krijg ik sinds kort allemaal fouten bij het openen van websites. Het certificaat van de website lijkt te worden vervangen door een certificaat van een server van mijn werk.

Omdat er dan een andere hostname op het certificaat staat krijg je uiteraard SSL foutmelding.

Het certificaat heeft dan bij de common name: tlsproxy.bedrijfsnaam.com en bij de Organisation name mijn bedrijfsnaam. Zodra ik via mijn telefoon hotspot werk gaat alles weer goed. Het probleem lijkt zich te beperken tot mijn MacBook.

Het lijkt er dus op dat het verkeer via een proxy loopt en hierbij het SSL certificaat wordt vervangen. Het is alleen gek dat dit alleen bij mijn laptop lijkt te gebeuren. Ik heb het zowel bij Chrome als Safari. Het zit dus niet in de browser. Is er misschien een andere plek op de laptop waar ik iets kan resetten of verwijderen of zit het probleem echt aan de netwerk kant?

[Slonzo]

Je hebt waarschijnlijk het root of intermediate certificaat van de CA van je werkgever nodig in je cert store.
Maar het is raar dat dat op een gastennetwerk zou moeten, dat kan niet de bedoeling zijn.

[ Voor 29% gewijzigd door Slonzo op 15-12-2023 09:56 ]

[Korvaag]

Wat er geheid gebeurt (en ik ben het met de persoon hierboven eens dat dit niet zou moeten op een gastennetwerk) dat er op de proxy terminatie en packet inspection plaatsvindt waarna alles weer encrypted doorgestuurd wordt. Daarom wil je op bedrijfsnetwerken ook geen privedingen doen. Voor de bedrijfslaptops 'zie' je dit niet om de dat CA inderdaad in je browser is geladen als vertrouwd. Je denkt dus lekker veilig aan het internetten te zijn terwijl alles op de proxy wordt uitgekleed.

Voor het gastennetwerk is dit erg raar om te implementeren omdat al die browsers de CA niet vertrouwen.

[Frogmen]

Volgens mij betreft het gebruik van je prive laptop op het gastennetwerk van je werk/ kantoor. Dan lijkt het erop dat ze een transparant proxy gebruiken om te kunnen filteren of zo maar is het niet fijn geimplementeerd. Zou het eens voorleggen aan de verantwoordelijke.

[DukeBox]

Op het moment dat je een root CA vertrouwd die door je werk is uitgegeven, is het mogelijk om al jouw dataverkeer te de crypten. Een dergelijke MITM zou ik nooit toestaan/willen, zeker niet met mijn privé devices op een gasten netwerk.

[ Voor 5% gewijzigd door DukeBox op 15-12-2023 13:13 ]

[CAPSLOCK2000]

Je baas wil meekijken, niet doen, alles wat je online doet (inclusief je wachtwoorden) worden dan zichtbaar voor je baas.

Sterker nog, besef dat er dus ook wordt meegekeken bij je dagelijkse werkzaamheden. Ook als je prive even op Facebook kijkt of zo iets. Dat is op zich niet verboden maar je baas hoort wel duidelijk te maken dat er mee gekeken wordt, net als wanneer er camera's hangen in de ruimte waar je werkt.

SSL doet hier precies waar het voor bedacht is, voorkomen dat je data in de verkeerde handen valt.

[ Voor 10% gewijzigd door CAPSLOCK2000 op 15-12-2023 13:22 ]

[laurens0619]

Is er een captive portal aanwezig op de gastenwifi die je misschien nog niet hebt goedgekeurd?

Als je nog niet geauthenticeerd bent wordt alles richting die captive portal gestuurd en krijg je ook rare SSL fouten

[kaandorp]

Thanks allemaal! Het betreft een zeer grote werkgever in een wereldwijd netwerk waar het guest netwerk overal op dezelfde manier is geconfigureerd. Ik ga er dus maar even vanuit dat de intenties goed zijn. Een certificaat accepteren zou niet nodig moeten zijn aangezien het op andere devices wel prima werkt.
Ik vind de suggestie van de captive portal ook wel een goeie. Die ga ik nog even onderzoeken. Ik ga toch ook maar een intern ticket aanmaken en zal me terug melden als ik een reactie heb.

[kaandorp]

Nou het was allemaal ingewikkelder dan gedacht. Blijkbaar lag het aan een tunnel tussen de WLAN controller in onze site en de WLAN controller op het hoofdkantoor. Deze is weer hersteld en alles werkt weer. Dank voor alle hulp!