আপনি যদি একটি শেয়ার্ড পাসওয়ার্ড সহ একটি স্টাফ SSID ব্যবহার করেন, তবে আপনি ইতিমধ্যেই প্যাটার্নটি জানেন। কেউ চলে যায় এবং পাসওয়ার্ড পরিবর্তন করা উচিত, কিন্তু হয় না। একটি ছোট প্রকল্পের জন্য একজন কনট্র্যাক্টর যুক্ত হয় এবং পরিকল্পিত সময়ের চেয়ে বেশি সময় অ্যাক্সেস ধরে রাখে। হেল্পডেস্ক ব্যবহারকারীদের কাছ থেকে টিকিট সমাধান করতেই থাকে যারা ভুলে গেছে কোন নেটওয়ার্কে যুক্ত হতে হবে, বা ভুল প্রম্পটে সঠিক পাসওয়ার্ড দিয়েছে, অথবা পাসওয়ার্ড পরিবর্তনের পর আটকে গেছে।
সংস্থাগুলি শেয়ার্ড WiFi পাসওয়ার্ডগুলি এই জন্য রাখে না যে তারা সেগুলি পছন্দ করে। তারা এগুলি রাখে কারণ এগুলি ব্যাখ্যা করা সহজ এবং দ্রুত মোতায়েন করা যায়। সমস্যাটি হল যে প্রথম দিনের অপারেশনাল সুবিধা ষষ্ঠ মাসের মধ্যে টেকনিক্যাল ঋণে পরিণত হয়। WiFi সার্টিফিকেট অথেন্টিকেশন নেটওয়ার্ক স্বয়ংক্রিয়ভাবে যাচাই করতে পারে এমন একটি ডিভাইস আইডেন্টিটি দিয়ে পুনরায় ব্যবহারযোগ্য গোপন পাসওয়ার্ড প্রতিস্থাপন করে এর সমাধান করে।
শেয়ার্ড WiFi পাসওয়ার্ড সমস্যার অবসান
একটি পরিচিত সোমবার সকালের চিত্রটি এমন দেখায়। ফ্যাসিলিটিজ একটি নতুন এলাকা খুলেছে, তাই WiFi পাসওয়ার্ড আরও বেশি লোকের কাছে হস্তান্তর করা হয়েছে। একজন কর্মচারী চলে গেছেন, একজন সরবরাহকারী এখনও সাইটে আছেন, এবং কেউ একজন কমস রুমের হোয়াইটবোর্ডে পাসওয়ার্ডটি লিখে রেখেছেন কারণ "এটি সেটআপের সময় সাহায্য করে"। দুপুরের খাবারের সময় নাগাদ, নেটওয়ার্কটি এখনও কাজ করছে, কিন্তু কেউ নিশ্চিতভাবে বলতে পারে না কোন ডিভাইসগুলি এতে থাকা উচিত।
এটিই হল PSK এবং ক্যাপটিভ পোর্টালগুলির সমস্যা। তারা শুরুতে অ্যাক্সেস সহজ করে তোলে, কিন্তু সময়ের সাথে সাথে নিয়ন্ত্রণ করা কঠিন করে তোলে। ক্রেডেনশিয়াল শেয়ার করা হয়, নোটে কপি করা হয়, আনম্যানেজড ডিভাইসে সেভ করা হয় এবং এটি সরিয়ে ফেলার সময় পার হয়ে যাওয়ার অনেক পরেও বহন করা হয়। আপনি যদি নিরাপত্তা এবং অপারেশনাল ট্রেড-অফগুলি বিবেচনা করছেন, তবে WPA2 Enterprise vs PSK -এর এই তুলনাটি একটি দরকারী কাঠামো হতে পারে।
পাসওয়ার্ড চলে গেলে কী পরিবর্তন হয়
সার্টিফিকেট অথেন্টিকেশনের মাধ্যমে, ব্যবহারকারীকে একেবারেই কোনো WiFi পাসওয়ার্ড টাইপ করতে হয় না। ডিভাইসটিকে তার নিজস্ব আইডেন্টিটি দিয়ে প্রভিশন করা হয় এবং সংযোগটি ব্যাকগ্রাউন্ডে স্বয়ংক্রিয়ভাবে ঘটে। এটি সরাসরি সাপোর্ট মডেলটিকে পরিবর্তন করে।
"পাসওয়ার্ড কে জানে?" জিজ্ঞাসা করার পরিবর্তে, আপনি জিজ্ঞাসা করেন, "এই ডিভাইসের কি অ্যাক্সেস থাকা উচিত?" এটি একটি অনেক ভাল প্রশ্ন। এটি অ্যাক্সেসকে একটি ম্যানেজড এন্ডপয়েন্ট, একজন ব্যবহারকারীর অবস্থা বা উভয়ের সাথে সংযুক্ত করে।
তিনটি ক্ষেত্রে একটি বাস্তবসম্মত পরিবর্তন ঘটে:
- অফবোর্ডিং সুনির্দিষ্ট হয়। আপনি সবার জন্য পাসওয়ার্ড পরিবর্তন করার পরিবর্তে একটি ডিভাইস বা একজন ব্যবহারকারীর অ্যাক্সেস রিভোক করতে পারেন।
- সাপোর্ট আরও সহজ হয়। সংযোগের সময় ব্যবহারকারীরা ম্যানুয়াল পছন্দ করা বন্ধ করে দেয়, তাই সেটিংস ভুল হওয়ার সম্ভাবনা কম থাকে।
- পলিসি প্রয়োগযোগ্য হয়। আপনি অভ্যন্তরীণ অ্যাক্সেসের জন্য ম্যানেজড ডিভাইস আবশ্যিক করতে পারেন এবং ব্যক্তিগত বা গেস্ট ডিভাইসগুলিকে একটি পৃথক পথে রাখতে পারেন।
শেয়ার্ড পাসওয়ার্ডগুলি একটি সংস্থার মধ্যে চারদিকে ছড়িয়ে পড়ে। সার্টিফিকেট তা করে না। সেগুলি আপনার ইস্যু করা ডিভাইস আইডেন্টিটির সাথেই সংযুক্ত থাকে।
কেন এটি বাস্তব পরিবেশে ভাল কাজ করে
সবচেয়ে বড় উন্নতি ক্রিপ্টোগ্রাফি আরও শক্তিশালী হওয়া নয়, যদিও এটি শক্তিশালী। আসল লাভ হল এর অপারেটিং মডেলটি অনেক বেশি যুক্তিযুক্ত। একটি স্টাফ নেটওয়ার্কের আচরণ অফিসের ব্যাজ অ্যাক্সেসের মতো হওয়া উচিত, আজকের পাসওয়ার্ড লিখে রাখা কোনো পাবের চকবোর্ডের মতো নয়।
এই কারণেই সার্টিফিকেট-ভিত্তিক WiFi একবার টিমগুলো সঠিকভাবে ডেপ্লয় করার পর স্থায়ীভাবে ব্যবহৃত হতে থাকে। এটি ঘর্ষণের একটি সম্পূর্ণ ক্যাটাগরি দূর করে এবং সিকিউরিটি টিমগুলোকে এমন কিছু প্রদান করে যা তারা সাধারণত লেগাসি WiFi সেটআপ থেকে পায় না: ব্যক্তিগত, অডিটযোগ্য নিয়ন্ত্রণ।
সার্টিফিকেট অথেন্টিকেশন পর্দার আড়ালে কীভাবে কাজ করে
WiFi সার্টিফিকেট অথেন্টিকেশন বোঝার সবচেয়ে সহজ উপায় হল পাসওয়ার্ডের কথা চিন্তা করা বন্ধ করা এবং বিল্ডিং অ্যাক্সেসের কথা চিন্তা করা শুরু করা।
একটি শেয়ারড WiFi পাসওয়ার্ড হল দেওয়ালে লিখে রাখা একটি দরজার কোডের মতো। যে কেউ এটি জানে সে প্রবেশ করতে পারে, এবং একবার এটি লিক হয়ে গেলে, আপনাকে সকলের জন্য এটি পরিবর্তন করতে হয়। একটি সার্টিফিকেট-ভিত্তিক নেটওয়ার্ক আইডি ব্যাজ, একজন রিসেপশনিস্ট এবং বিশ্বস্ত ব্যাজ ইস্যুকারীদের একটি কেন্দ্রীয় তালিকা সহ একটি সুরক্ষিত অফিসের মতো কাজ করে।
মূল অংশসমূহ
এখানে ব্যবহারিক ম্যাপিং দেওয়া হলো।
| উপাদান | বাস্তব জীবনের তুলনা | কাজ |
|---|---|---|
| 802.1X | প্রধান দরজার অ্যাক্সেস প্রক্রিয়া | একটি ডিভাইস কীভাবে প্রবেশের অনুরোধ করবে তা নিয়ন্ত্রণ করে |
| EAP-TLS | ব্যাজ পরিদর্শনের নিয়মাবলী | সার্টিফিকেটের মাধ্যমে কীভাবে পরিচয় যাচাই করা হবে তা নির্ধারণ করে |
| সার্টিফিকেট | টেম্পার-প্রতিরোধী আইডি ব্যাজ | ডিভাইসটির একটি ইস্যু করা পরিচয় আছে তা প্রমাণ করে |
| RADIUS সার্ভার | সিকিউরিটি ডেস্ক | উপস্থাপিত পরিচয় যাচাই করে এবং অনুমতি বা প্রত্যাখ্যান প্রদান করে |
| সার্টিফিকেট অথরিটি | ব্যাজ ইস্যুকারী অফিস | সার্টিফিকেট স্বাক্ষর করে যা নেটওয়ার্ক বিশ্বাস করতে সম্মত হয় |
| অ্যাক্সেস পয়েন্ট | দরজা বা টার্নস্টাইল | অথেন্টিকেশন RADIUS-এ পাঠায়, তারপর নেটওয়ার্ক অ্যাক্সেস উন্মুক্ত করে |
UK এন্টারপ্রাইজ এবং পাবলিক সেক্টর এনভায়রনমেন্টে, টেকনিক্যাল ভিত্তি হলো 802.1X/EAP-TLS। ডিভাইসটি একটি RADIUS-backed authentication server-এর কাছে একটি X.509 certificate পেশ করে, যা অ্যাক্সেস দেওয়ার আগে একটি বিশ্বস্ত CA-এর বিরুদ্ধে সেই সার্টিফিকেট যাচাই করে, এবং প্রাইভেট কী কখনই ডিভাইস থেকে বের হয় না, যেমনটি এই overview of WiFi certificate authentication -এ বর্ণনা করা হয়েছে। একই উৎস উল্লেখ করেছে যে, NCSC's 2023 Cyber Assessment Framework v3.1 গুরুত্বপূর্ণ পরিষেবাগুলির জন্য মূল নিয়ন্ত্রণ হিসাবে শক্তিশালী অথেন্টিকেশন এবং শক্তিশালী আইডেন্টিটি নিশ্চয়তার ওপর জোর দেয়, আর ঠিক এই কারণেই UK জিরো ট্রাস্ট আলোচনায় সার্টিফিকেট ভিত্তিক অ্যাক্সেস বারবার উঠে আসে।
যুক্ত হওয়ার সময় আসলে কী ঘটে
হ্যান্ডশেকটি জটিল মনে হতে পারে যতক্ষণ না আপনি এটিকে সিকোয়েন্সিয়াল চেকের একটি সিরিজ হিসাবে সহজ করে দেখছেন।
ডিভাইসটি SSID-এ যুক্ত হয়।
এটি কোনো পাসওয়ার্ড পাঠায় না। এটি একটি 802.1X এক্সচেঞ্জ শুরু করে।অ্যাক্সেস পয়েন্ট অনুরোধটি এগিয়ে পাঠায়।
AP নিজে ট্রাস্টের সিদ্ধান্ত নেয় না। এটি RADIUS সার্ভারে অথেন্টিকেশন রিলে করে।সার্ভারটি ডিভাইসের কাছে নিজের পরিচয় প্রমাণ করে।
ক্লায়েন্ট শুধুমাত্র একটি বিশ্বস্ত অথেন্টিকেশন সার্ভিসের সাথে ইন্টারঅ্যাক্ট করছে কিনা তা নিশ্চিত করতে ডিভাইসটি সার্ভার সার্টিফিকেট পরীক্ষা করে।ডিভাইসটি তার নিজস্ব সার্টিফিকেট পেশ করে।
এটি হলো ডিজিটাল ব্যাজ। প্রাইভেট কী ডিভাইসেই থাকে এবং মালিকানা প্রমাণ করতে ব্যবহৃত হয়।RADIUS সার্টিফিকেট চেইন যাচাই করে।
এটি পরীক্ষা করে যে সার্টিফিকেটটি একটি বিশ্বস্ত CA দ্বারা ইস্যু করা হয়েছে কিনা এবং পলিসি সেই ডিভাইসটিকে সেই নেটওয়ার্কে প্রবেশের অনুমতি দেয় কিনা।অ্যাক্সেস মঞ্জুর করা হয়।
যদি চেকগুলো পাস হয়, RADIUS সার্ভার অনুমোদন ফেরত পাঠায় এবং AP ডিভাইসটিকে নেটওয়ার্কে প্রবেশ করতে দেয়।
মিউচুয়াল অথেন্টিকেশন কেন গুরুত্বপূর্ণ
পাসওয়ার্ড ভিত্তিক WiFi সাধারণত কেবল একটি প্রশ্ন জিজ্ঞাসা করে: আপনি কি গোপন পাসওয়ার্ডটি জানেন? EAP-TLS দুটি প্রশ্ন জিজ্ঞাসা করে। নেটওয়ার্কটি কি সত্যিই সেটি যা এটি দাবি করছে, এবং ডিভাইসটি কি সত্যিই এমন একটি ডিভাইস যাকে আমরা আইডেন্টিটি ইস্যু করেছি?
ব্যবহারিক নিয়ম: আপনার ক্লায়েন্ট ডিভাইসগুলি যদি RADIUS সার্ভার সার্টিফিকেট যাচাই না করে, তবে আপনি সম্পূর্ণ ট্রাস্ট মডেলের সুবিধা না পেয়েই এন্টারপ্রাইজ WiFi-এর জটিলতা বজায় রেখেছেন।
এই মিউচুয়াল চেকটি একটি বড় কারণ কেন সার্টিফিকেট ভিত্তিক WiFi নিয়ন্ত্রিত এবং সিকিউরিটি-সংবেদনশীল এনভায়রনমেন্টে সবচেয়ে ভালো কাজ করে। এটি ওয়্যারলেস অ্যাক্সেসকে একটি শেয়ার্ড-সিক্রেট প্রক্রিয়া থেকে একটি আইডেন্টিটি ভেরিফিকেশন ওয়ার্কফ্লোতে রূপান্তরিত করে।
পাসওয়ার্ডহীন পদ্ধতিতে যাওয়ার অতুলনীয় সিকিউরিটি সুবিধা
সার্টিফিকেট ভিত্তিক WiFi-এর পক্ষে সবচেয়ে শক্তিশালী যুক্তিটি অমূর্ত নয়। এটি প্রতিদিনের ঘটনার আগের এবং পরের পার্থক্যের মধ্যে স্পষ্টভাবে দৃশ্যমান।
একটি শেয়ারড পাসওয়ার্ডের ক্ষেত্রে, মাত্র একটি ক্রেডেনশিয়াল ফাঁস হলে তা পুরো নেটওয়ার্ক জুড়ে এক বিশৃঙ্খল পরিস্থিতির সৃষ্টি করে। আপনাকে SSID সিক্রেট পরিবর্তন করতে হয়, প্রতিটি হ্যান্ডহেল্ড ডিভাইস আপডেট করতে হয়, কনফারেন্স রুমের হার্ডওয়্যারগুলো আবার সেট করতে হয় এবং আশা করতে হয় যে কেউ পুরোনো পাসওয়ার্ডটি অন্য কোথাও সেভ করে রাখেনি। সার্টিফিকেটের ক্ষেত্রে এই ঝুঁকির পরিধি অত্যন্ত সীমিত, কারণ নেটওয়ার্ক অ্যাক্সেসটি একটি নির্দিষ্ট ডিভাইসের আইডেন্টিটির সাথে যুক্ত থাকে, সবার ব্যবহার করা একটি সাধারণ সিক্রেটের সাথে নয়।
আপনি যদি পাসওয়ার্ডের বিকল্প কোনো কার্যকর পদ্ধতি মূল্যায়ন করতে চান, তবে passwordless WiFi হলো সঠিক সমাধান। এর প্রধান সুবিধা নতুনত্ব নয়, বরং এর নিয়ন্ত্রণ ক্ষমতা।
ডিভাইস হারানোর আগে এবং পরে
সার্টিফিকেট অথেন্টিকেশনের আগে, কোনো ল্যাপটপ হারিয়ে গেলে এক কঠিন সিদ্ধান্ত নিতে হতো। শেয়ারড পাসওয়ার্ডটি পরিবর্তন না করে ঝুঁকি মেনে নেওয়া, অথবা এটি পরিবর্তন করে প্রতিটি বৈধ ব্যবহারকারীর কাজে ব্যাঘাত ঘটানো।
সার্টিফিকেট অথেন্টিকেশনের পরে, এর সমাধান অত্যন্ত সহজ। আপনি কেবল সেই ডিভাইসটির ট্রাস্ট রিভোক বা বাতিল করে দেবেন এবং অন্য বাকিদের স্বাভাবিকভাবে কাজ করতে দেবেন। একটি পরিপক্ক ওয়্যারলেস অ্যাক্সেস ব্যবস্থা ঠিক এমনই হওয়া উচিত।
ফিশিং-স্টাইল প্রম্পটের আগে এবং পরে
পাসওয়ার্ড-ভিত্তিক WiFi ব্যবহারকারীদের বিভিন্ন প্রম্পটের ওপর বিশ্বাস করতে অভ্যস্ত করে তোলে। ডিভাইসটি যদি কোনো পরিচিত SSID দেখতে পায়, তবে অনেক ব্যবহারকারীই সেখানে তাদের সিক্রেট টাইপ করে দেন। বড় পরিসরে এই অভ্যাস প্রতিরোধ করা কঠিন।
সার্টিফিকেট-ভিত্তিক WiFi ক্লায়েন্টের এই আচরণ পরিবর্তন করে। ব্যবহারকারীর কাছ থেকে কোনো সিক্রেট বা পাসওয়ার্ড না চেয়ে ডিভাইসটি তার ইনস্টল করা আইডেন্টিটি ব্যবহার করে সরাসরি অথেন্টিকেট করে। এটি পুরো প্রক্রিয়ার সবচেয়ে ভুলপ্রবণ অংশ থেকে মানুষকে সরিয়ে দেয়।
কিছু সরাসরি উন্নতি সাধারণত সবচেয়ে বেশি গুরুত্বপূর্ণ:
- গ্রুপ ট্রাস্টের পরিবর্তে ডিভাইস-ভিত্তিক ট্রাস্ট। একটি সার্টিফিকেট কেবল একটি এন্ডপয়েন্টের জন্য নির্ধারিত থাকে, সম্পূর্ণ ডিপার্টমেন্টের জন্য নয়।
- সহজ অডিটিং। আপনি প্রতিটি অ্যাক্সেসের সিদ্ধান্তকে ইস্যু করা ক্রেডেনশিয়াল এবং লাইফসাইকেল ইভেন্টের সাথে মেলাতে পারবেন।
- দৃঢ় জিরো-ট্রাস্ট অ্যালাইনমেন্ট। নেটওয়ার্কটি ইন্টারনাল অ্যাক্সেস দেওয়ার আগে ভেরিফাইড আইডেন্টিটি দাবি করতে পারে।
- কম পার্শ্বপ্রতিক্রিয়া। একটি একক সমস্যার কারণে সবাইকে পাসওয়ার্ড রিসেট করতে বাধ্য হতে হয় না।
কেন ভুয়া নেটওয়ার্কগুলোর পক্ষে সুযোগ নেওয়া কঠিন হয়ে পড়ে
একটি "ইভিল টুইন" নেটওয়ার্ক মূলত বিভ্রান্তি তৈরির ওপর নির্ভর করে। এটি একটি বৈধ SSID নকল করে এবং ডিভাইস বা ব্যবহারকারীদের ভুল জায়গায় কানেক্ট করার জন্য অপেক্ষা করে। সার্টিফিকেট অথেন্টিকেশন এই আক্রমণকে কঠিন করে তোলে কারণ ক্লায়েন্টটি কানেকশন সম্পূর্ণ করার আগে সার্ভার সাইডটি ভ্যালিডেট করে নেয়।
তার মানে এই নয় যে এই ডিজাইনটি ডিফল্টভাবেই সম্পূর্ণ ত্রুটিমুক্ত। এর অর্থ হলো এর ডেপ্লয়মেন্ট সঠিকভাবে সম্পন্ন করতে হবে। টিমগুলো যদি সার্টিফিকেট ট্রাস্ট সেটিংস এড়িয়ে যায়, যেকোনো সার্ভার সার্টিফিকেট গ্রহণ করে, অথবা দুর্বল নির্দেশনার মাধ্যমে ডিভাইসগুলো অনবোর্ড করে, তবে তারা এর আসল সুবিধা থেকে বঞ্চিত হবে।
Passwordless WiFi কেবল তার ট্রাস্ট অ্যাঙ্কর এবং এনরোলমেন্ট প্রসেসের মতোই শক্তিশালী হতে পারে। হ্যান্ডশেক প্রক্রিয়াটি অত্যন্ত সুরক্ষিত, কিন্তু অসতর্ক অনবোর্ডিং নয়।
আসল কথাটি খুব সহজ। শেয়ারড সিক্রেট ঝুঁকিকে আনুভূমিকভাবে ছড়িয়ে দেয়। সার্টিফিকেট ট্রাস্টকে একটি নির্দিষ্ট এন্ডপয়েন্টের সাথে যুক্ত রাখে, যা একটি আধুনিক ওয়্যারলেস পলিসির আসল ভিত্তি হওয়া উচিত।
সার্টিফিকেট লাইফসাইকেল এবং প্রভিশনিং আয়ত্ত করা
অধিকাংশ ব্যর্থ সার্টিফিকেট WiFi প্রকল্পগুলো EAP-TLS ত্রুটিপূর্ণ হওয়ার কারণে ব্যর্থ হয় না। এগুলো ব্যর্থ হয় কারণ লাইফসাইকেলকে কেবল একটি এককালীন সেটআপ কাজ হিসেবে বিবেচনা করা হয়েছিল।
সার্টিফিকেট ইস্যু করা খুবই সহজ কাজ। এটিকে আপ-টু-ডেট রাখা, মেয়াদ শেষ হওয়ার আগে পরিবর্তন করা, প্রয়োজন হলে তা প্রত্যাহার করা এবং সঠিক ডিভাইসে সঠিক প্রোফাইল রয়েছে তা প্রমাণ করার মাধ্যমেই অপারেশনাল ম্যাচুরিটি প্রকাশ পায়। আপনি যদি লাইফসাইকেলটি সঠিকভাবে পরিচালনা করতে পারেন, তবে সার্টিফিকেট-ভিত্তিক WiFi পাসওয়ার্ড-ভিত্তিক WiFi-এর চেয়ে অনেক বেশি ঝামেলামুক্ত হয়ে ওঠে। আর যদি এটি ভুলভাবে করা হয়, তবে মেয়াদ শেষ হওয়ার দিনটি সার্ভিস ডেস্কের জন্য একটি বড় বিপর্যয় হয়ে দাঁড়ায়।
এনরোলমেন্ট পাথ দিয়ে শুরু করুন
কয়েকটি কার্যকর প্রভিশনিং মডেল রয়েছে, তবে সেগুলো সব সমান নয়।
ম্যানেজড ডিভাইসগুলোর জন্য সাধারণত MDM বা UEM-চালিত প্রভিশনিং সবচেয়ে পরিচ্ছন্ন বিকল্প। Microsoft Intune, Jamf এবং Workspace ONE এর মতো টুলগুলো একই সাথে সার্টিফিকেট পেলোড, ট্রাস্টেড রুট এবং WiFi সেটিংস পুশ করতে পারে। এটি ইউজারের হস্তক্ষেপ হ্রাস করে এবং রিনিউয়ালকে সহজ করে তোলে।
SCEP বা EST-ভিত্তিক ইস্যুয়েন্স তখন কার্যকর হয় যখন আপনি PKI ওয়ার্কফ্লোর সাথে যুক্ত একটি অটোমেটেড এনরোলমেন্ট চান। এই প্রোটোকলগুলো ডিভাইসগুলোকে ম্যানুয়াল ফাইল হ্যান্ডলিংয়ের উপর নির্ভর না করে একটি সুশৃঙ্খল উপায়ে সার্টিফিকেটের জন্য অনুরোধ করতে সাহায্য করে। PKI টিম এবং এন্ডপয়েন্ট টিমের মধ্যে সমন্বয় থাকলে এটি সবচেয়ে ভালো কাজ করে।
পাইলট প্রজেক্ট, ছোট পরিবেশ, বিশেষায়িত ডিভাইস বা কঠোরভাবে নিয়ন্ত্রিত ব্যতিক্রমী ক্ষেত্রে এখনও ম্যানুয়াল প্রভিশনিং ব্যবহার করা হয়। তবে দীর্ঘমেয়াদে বেশিরভাগ প্রতিষ্ঠান এই পদ্ধতির ওপর নির্ভর করতে চায় না।
একটি সহজ তুলনা নিচে দেওয়া হলো:
| প্রভিশনিং পদ্ধতি | সবচেয়ে উপযুক্ত ক্ষেত্র | সাধারণ দুর্বলতা |
|---|---|---|
| MDM/UEM | ম্যানেজড ল্যাপটপ, মোবাইল, ট্যাবলেট | সুস্থ ডিভাইস ম্যানেজমেন্ট কভারেজের উপর নির্ভরশীল |
| SCEP বা EST | অটোমেটেড এন্টারপ্রাইজ ইস্যুয়েন্স | PKI ডিজাইন শৃঙ্খলার প্রয়োজন হয় |
| ম্যানুয়াল ইনস্টল | পাইলট গ্রুপ এবং ব্যতিক্রমী ক্ষেত্র | স্কেল করা যায় না এবং মেয়াদ শেষ হওয়ার সমস্যা তৈরি করে |
প্রথম ডেপ্লয়মেন্টের চেয়ে লাইফসাইকেল শৃঙ্খলা বেশি গুরুত্বপূর্ণ
যুক্তরাজ্য সরকারের GovWifi সার্টিফিকেট-ভিত্তিক অথেনটিকেশন মডেলটি কর্মক্ষম বাস্তবতার একটি ভালো উদাহরণ। প্রতিটি পরিচালিত ডিভাইসে একটি অনন্য সার্টিফিকেট চেইন দেওয়া থাকে এবং তারপরে পাসওয়ার্ড না লিখেই কাছাকাছি GovWifi নেটওয়ার্কগুলোতে স্বয়ংক্রিয়ভাবে অথেনটিকেট হয়, কারণ ডিভাইসটি RADIUS সার্ভারে তার সার্টিফিকেট উপস্থাপন করে এবং সার্টিফিকেট ভেরিফিকেশন সফল হওয়ার পরেই অ্যাক্সেস দেওয়া হয়, যেমনটি GovWifi ডিভাইস অথেনটিকেশন নির্দেশিকায় বর্ণিত হয়েছে। একই নির্দেশিকায় সমঝোতার বিষয়ে অকপট বলা হয়েছে: সংস্থাগুলোকে PKI বুঝতে হবে এবং TLS সার্টিফিকেটগুলোকে আপ-টু-ডেট এবং সুরক্ষিত রাখতে হবে।
অভিজ্ঞ টিমগুলো ঠিক এই শেষ পয়েন্টটিতেই মনোযোগ দেয়। দুর্বল পয়েন্টটি সাধারণত হ্যান্ডশেক নয়। এটি হলো লাইফসাইকেল ম্যানেজমেন্ট।
একটি ভালো লাইফসাইকেল ম্যানেজমেন্ট দেখতে কেমন হয়
ভালো ডিপ্লয়মেন্টগুলোতে সাধারণত প্রথম থেকেই চারটি অভ্যাস চালু থাকে:
- স্বয়ংক্রিয় রিনিউয়াল: শেষ হওয়ার আগে ডিভাইসগুলো পর্যাপ্ত সময় রেখে রিনিউ করে যাতে কোনো কঠিন পরিস্থিতির সৃষ্টি না হয়।
- রিভোকেশন ওয়ার্কফ্লো: সিকিউরিটি এবং এন্ডপয়েন্ট টিমগুলো ঠিকঠাক জানে যে কীভাবে একটি হারিয়ে যাওয়া, চুরি হওয়া বা রিটায়ার হওয়া ডিভাইসকে বাতিল করতে হয়।
- ট্রাস্ট-স্টোর ম্যানেজমেন্ট: রুট এবং ইন্টারমিডিয়েট সার্টিফিকেটগুলো সমস্ত প্ল্যাটফর্ম জুড়ে ধারাবাহিকভাবে বিতরণ করা হয়।
- ডিকমিশনিং: অফবোর্ডিংয়ের অংশ হিসেবে রিটায়ার হওয়া ডিভাইসগুলো সার্টিফিকেট এবং WiFi প্রোফাইল হারিয়ে ফেলে।
সার্টিফিকেট নিজেই কোনো প্রোডাক্ট নয়। প্রোডাক্ট হলো সেই সার্টিফিকেটের চারপাশে একটি কার্যকর লাইফসাইকেল তৈরি করা।
বাস্তবে কোন জিনিসগুলো ভালোভাবে কাজ করে না
কয়েকটি অ্যান্টি-প্যাটার্ন বারবার দেখা যায়:
- "আমরা এগুলো পরে রিনিউ করব।" মেয়াদ শেষ হওয়া ভবিষ্যতের কোনো সমস্যা নয়। এটি প্রাথমিক ডিজাইনেরই অংশ।
- কোনো শেয়ার্ড প্রসেস ছাড়াই আলাদা আলাদা টিম। PKI, এন্ডপয়েন্ট এবং নেটওয়ার্ক টিম প্রত্যেকেই সত্যের এক-তৃতীয়াংশের মালিক, এবং পুরো পথের মালিকানা কারও নেই।
- ম্যানুয়াল ব্যতিক্রমগুলো স্ট্যান্ডার্ডে পরিণত হওয়া। ওয়ান-অফ ইনস্টলেশনগুলো একটি অনিয়ন্ত্রিত এস্টেটে পরিণত হয়।
- কোনো রিভোকেশন টেস্টিং না থাকা। টিমগুলো ধরে নেয় যে রিভোকেশন কাজ করছে কারণ PKI এটি সমর্থন করে, কিন্তু নেটওয়ার্ক কীভাবে আচরণ করে তা কখনই যাচাই করে না।
সবচেয়ে স্থিতিশীল পরিবেশগুলো WiFi সার্টিফিকেট অথেনটিকেশনকে এন্ডপয়েন্ট আইডেন্টিটি প্লাম্বিংয়ের মতো বিবেচনা করে, কোনো SSID ফিচার হিসেবে নয়। এই মানসিকতা এড়ানো সম্ভব এমন বেশিরভাগ বিভ্রাট এড়াতে সাহায্য করে।
আপনার আইডেন্টিটি প্রোভাইডারের সাথে WiFi অথেনটিকেশন ইন্টিগ্রেট করা
একবার সার্টিফিকেট-ভিত্তিক WiFi চালু হয়ে গেলে, পরবর্তী ম্যাচিউরিটি ধাপটি স্পষ্ট। ওয়্যারলেস অ্যাক্সেসকে একটি আলাদা আইল্যান্ড হিসেবে বিবেচনা করা বন্ধ করুন এবং এটিকে এমন আইডেন্টিটি সিস্টেমের সাথে সংযুক্ত করুন যা ইতিমধ্যে ব্যবহারকারী, গ্রুপ এবং ডিভাইসের অবস্থা পরিচালনা করে।
তার মানে হলো নেটওয়ার্ক অ্যাক্সেস পলিসিকে একটি identity provider যেমন Microsoft Entra ID, Google Workspace, বা Okta-এর সাথে লিঙ্ক করা। বাস্তবে, ওয়্যারলেস নেটওয়ার্কটি আর একটি আলাদা অথেন্টিকেশন সমস্যা হিসেবে থাকে না এবং আপনার বিদ্যমান আইডেন্টিটি মডেলের আরেকটি প্রকাশ হয়ে ওঠে।
কেন এটি ক্রিয়াকলাপ পরিবর্তন করে
IdP ইন্টিগ্রেশন ছাড়া, WiFi অ্যাক্সেস প্রায়শই একটি পার্শ্ববর্তী প্রক্রিয়ার মধ্যে সীমাবদ্ধ থাকে। ডিরেক্টরিতে একজন ব্যবহারকারী তৈরি করা হয়, তারপর কেউ আলাদাভাবে ডিভাইস অ্যাক্সেস অনুমোদন করে, একটি প্রোফাইল তৈরি করে, বা একটি নেটওয়ার্ক কনসোলে একটি নিয়ম যোগ করে। এই দ্বৈত কাজের কারণেই বিলম্ব এবং অসঙ্গতি দেখা দেয়।
ইন্টিগ্রেশনের সাথে, ডিরেক্টরিটি তথ্যের আসল উৎস বা সোর্স অফ ট্রুথ হয়ে ওঠে। যখন HR একজন নতুন কর্মীকে যুক্ত করে, তখন অ্যাকাউন্ট লাইফসাইকেলটি ডিভাইস এনরোলমেন্ট এবং প্রোফাইল অ্যাসাইনমেন্ট শুরু করতে পারে। যখন কেউ চলে যায়, তখন একটি ম্যানুয়াল নেটওয়ার্কিং কাজের জন্য অপেক্ষা না করেই একই আইডেন্টিটি ইভেন্ট অ্যাক্সেস সরিয়ে দিতে পারে।
এটি আপনাকে এমন জায়গাগুলোতে ধারাবাহিকতা দেয় যা সাধারণত আলাদা হয়ে যায়:
- ব্যবহারকারীর স্থিতি এবং WiFi অ্যাক্সেস সবসময় সামঞ্জস্যপূর্ণ থাকে
- গ্রুপ মেম্বারশিপ পলিসি পরিচালনা করতে পারে
- ডিভাইস কমপ্লায়েন্স অভ্যন্তরীণ SSID অ্যাক্সেস কারা পাবে তা নির্ধারণ করতে পারে
- অফবোর্ডিং টিকিট-চালিত হওয়ার পরিবর্তে অবিলম্বে কার্যকর হয়
প্ল্যাটফর্মগুলো কোথায় খাপ খায়
আপনি এটি কয়েকটি উপায়ে তৈরি করতে পারেন। কিছু সংস্থা RADIUS, PKI, এবং MDM সরাসরি সংযুক্ত করে এবং কন্ট্রোল প্লেন ইন-হাউস রাখে। অন্যরা সেই স্ট্যাকটিকে সহজ করতে ক্লাউড-ম্যানেজড পরিষেবা ব্যবহার করে।
একটি ম্যানেজড অপশন যেমন RADIUS-as-a-Service ডিরেক্টরি সিস্টেমের সাথে পলিসি যুক্ত রাখার পাশাপাশি অন-প্রেম অথেন্টিকেশন ইনফ্রাস্ট্রাকচার চালানোর অপারেশনাল চাপ কমাতে পারে। এই মডেলটি সাধারণত তখন বেশি পছন্দ করা হয় যখন নেটওয়ার্ক টিম আরেকটি সার্ভার প্ল্যাটফর্ম পরিচালনা না করেই সার্টিফিকেট-গ্রেড অ্যাক্সেস কন্ট্রোল চায়।
ব্যবহারিক ডিজাইনের পছন্দ
ডিজাইনের প্রশ্নটি "আমার WiFi কি সার্টিফিকেট ব্যবহার করতে পারে?" তা নয়। এটি হলো "কোন আইডেন্টিটি ইভেন্টগুলোর অ্যাক্সেস প্রদান করা, পরিবর্তন করা বা সরিয়ে দেওয়া উচিত?"
একটি বাস্তবসম্মত মডেল প্রায়শই এইরকম দেখায়:
| আইডেন্টিটি ইভেন্ট | নেটওয়ার্ক ফলাফল |
|---|---|
| ব্যবহারকারী যুক্ত হলে | নির্ধারিত ডিভাইসটি সঠিক WiFi প্রোফাইল পায় |
| ব্যবহারকারীর ভূমিকা পরিবর্তন হলে | গ্রুপ-ভিত্তিক পলিসি VLAN, ACL, বা SSID এনটাইটেলমেন্ট সমন্বয় করে | অভ্যন্তরীণ অ্যাক্সেস সীমিত বা সরিয়ে দেওয়া হয় |
| ব্যবহারকারী চলে গেলে | অফবোর্ডিংয়ের অংশ হিসেবে অ্যাক্সেস বাতিল করা হয় |
যদি আপনার IdP ইতিমধ্যেই সিদ্ধান্ত নেয় যে কে ইমেল, SaaS, এবং VPN অ্যাক্সেস করতে পারবে, তবে এটি আপনার অভ্যন্তরীণ WiFi-তেও কে যুক্ত হতে পারবে তা নির্ধারণ করা উচিত।
যখন টিমগুলো এই পরিবর্তনটি করে, তখন WiFi আর একটি বিচ্ছিন্ন অপারেশনাল কাজ হিসেবে থাকে না। এটি আইডেন্টিটি-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণের অংশ হয়ে ওঠে, যেখানে এটির থাকা উচিত।
ডিপ্লয়মেন্ট এবং মাইগ্রেশনের সর্বোত্তম অনুশীলন
সবচেয়ে পরিচ্ছন্ন মাইগ্রেশনগুলো কদাচিৎ দ্রুততম হয়। এগুলো পর্যায়ক্রমিক, পর্যবেক্ষণযোগ্য এবং সাধারণ হয়। সেটি একটি ভালো দিক।
PSK বা captive portal অ্যাক্সেস থেকে সার্টিফিকেট-ভিত্তিক WiFi-এ স্থানান্তরিত হওয়ার প্রক্রিয়াটি একরাতের মধ্যে আকস্মিক পরিবর্তনের মাধ্যমে শুরু করা উচিত নয়। একটি সমান্তরাল ডিজাইনের সাথে ট্রাস্ট চেইন, ক্লায়েন্টের আচরণ এবং লাইফসাইকেল মেকানিক্স প্রমাণ করার মাধ্যমে এটি শুরু করুন। ব্যবহারিক ক্ষেত্রে, এর অর্থ সাধারণত পাইলট ডিভাইসের জন্য একটি ডেডিকেটেড স্টাফ SSID, একটি ছোট এনরোলমেন্ট গ্রুপ এবং পরিষ্কার রোলব্যাক অপশন রাখা।
পর্যায়ক্রমে রোল আউট করুন
বেশিরভাগ এস্টেটে একটি সহজ ধারাবাহিকতা ভালো কাজ করে:
একটি পাইলট SSID তৈরি করুন
এটিকে শুধুমাত্র IT, সিকিউরিটি এবং পাওয়ার ইউজারদের একটি ছোট গ্রুপের মধ্যে সীমাবদ্ধ রাখুন। প্রোফাইল ডিপ্লয়মেন্ট, রোমিং আচরণ এবং ফেইলিওর মোডগুলো যাচাই করুন।শুধুমাত্র প্রথমবার যুক্ত হওয়াই নয়, সম্পূর্ণ লাইফসাইকেল পরীক্ষা করুন
রিনিউয়াল, রিভোকেশন, সার্টিফিকেট প্রতিস্থাপন এবং অফবোর্ডিং - সবকিছুরই রিহার্সাল প্রয়োজন। প্রথম দিনের সাফল্য নিজে থেকে খুব কমই তথ্য দেয়।ডিভাইসের শ্রেণী অনুযায়ী প্রসারিত করুন
ম্যানেজড ল্যাপটপ এবং মোবাইল দিয়ে শুরু করুন। স্পেশালিস্ট কিট এবং জটিল প্ল্যাটফর্মগুলোকে পরবর্তী ধাপের জন্য রেখে দিন।ধীরে ধীরে লিগ্যাসি অ্যাক্সেস বন্ধ করুন
ব্যবহারকারীদের স্থানান্তরিত হওয়ার জন্য সময় দিন। ম্যানেজড পাথটি স্থিতিশীল হওয়ার পরেই কেবল শেয়ার্ড-পাসওয়ার্ডের নির্ভরতা দূর করুন।
প্রথম দিন থেকেই রিভোকেশনের জন্য প্রস্তুতি নিন
EAP-TLS-ভিত্তিক WiFi সার্টিফিকেট অথেন্টিকেশন mutual certificate validation ব্যবহার করে। ক্লায়েন্ট RADIUS সার্ভার সার্টিফিকেট যাচাই করে, এবং RADIUS সার্ভার একটি Access-Accept ইস্যু করার আগে ক্লায়েন্ট সার্টিফিকেটের সিগনেচার, ইস্যুকারী, মেয়াদ এবং রিভোকেশন স্ট্যাটাস যাচাই করে, যেমনটি EAP-TLS সার্টিফিকেট WiFi সংক্রান্ত এই গাইডে ব্যাখ্যা করা হয়েছে। সেই একই নির্দেশিকাতে উল্লেখ করা হয়েছে যে CRL বা OCSP কনফিগার করা উচিত, এবং উচ্চ-নিরাপত্তা, কম-ল্যাটেন্সি ডিপ্লয়মেন্টের জন্য OCSP বাধ্যতামূলক।
এর একটি ব্যবহারিক ফলাফল রয়েছে। সিকিউরিটি এবং ল্যাটেন্সি রিভোকেশন ডিজাইনের সাথে সম্পর্কিত। যদি রিভোকেশন চেকগুলোকে পরবর্তীতে ভাবার বিষয় হিসেবে রাখা হয়, তবে আপনি শেষ পর্যন্ত মেয়াদোত্তীর্ণ ট্রাস্ট সিদ্ধান্ত বা কষ্টদায়ক বিলম্বের সম্মুখীন হতে পারেন।
একটি দরকারী প্ল্যানিং চেকলিস্ট:
- আপনার রিভোকেশন মডেলটি শুরুতেই বেছে নিন। ব্যবহারকারীরা কানেক্ট করার আগে পর্যন্ত CRL বা OCSP-এর সিদ্ধান্তগুলো ফেলে রাখবেন না।
- সার্টিফিকেট রিনিউয়াল স্বয়ংক্রিয় করুন। কোনো গুরুতর ডিপ্লয়মেন্টে MDM বা UEM-চালিত রিনিউয়াল ঐচ্ছিক নয়।
- ক্লায়েন্টদের ক্ষেত্রে সার্ভার সার্টিফিকেট ট্রাস্ট যাচাই করুন। যে ক্লায়েন্ট এই চেকটি এড়িয়ে যায় তা পুরো ডিজাইনটিকে দুর্বল করে দেয়।
- টেস্টিং চলাকালীন জয়েন করার আচরণ পরিমাপ করুন। এমন বিলম্বের দিকে নজর রাখুন যা রিভোকেশন বা PKI পাথের সমস্যাগুলোকে নির্দেশ করে।
ফিল্ড নোট: WiFi সার্টিফিকেট অথেন্টিকেশন যতটা নেটওয়ার্ক প্রজেক্ট, ঠিক ততটাই একটি PKI অপারেশনস প্রজেক্ট।
802.1X সহজে হ্যান্ডেল করতে পারে না এমন ডিভাইসগুলো পরিচালনা করা
কিছু লেগাসি এন্ডপয়েন্ট, এমবেডেড ডিভাইস এবং অদ্ভুত IoT প্ল্যাটফর্ম সহজে ম্যানেজ করা যায় এমন উপায়ে সার্টিফিকেট-ভিত্তিক 802.1X সমর্থন করবে না। অন্যরকম কিছু ভাবলে তা কেবল প্রজেক্টের গতি ধীর করে দেবে।
সেই ডিভাইসগুলোর জন্য একটি আলাদা কৌশল ব্যবহার করুন এবং সেটিকে কঠোরভাবে সীমাবদ্ধ রাখুন। যেসব ডিভাইসের জন্য অনন্য ক্রিডেনশিয়াল প্রয়োজন কিন্তু সম্পূর্ণ সার্টিফিকেট অথেন্টিকেশন করতে পারে না, সেগুলোর জন্য Identity PSK একটি ব্যবহারিক সমাধান হতে পারে। মূল বিষয় হলো, এই ব্যতিক্রমগুলো যেন স্টাফদের মূল ডিজাইনকে ব্যাহত করতে না পারে। এই ডিভাইসগুলোকে সংকীর্ণ অ্যাক্সেস সহ আইসোলেটেড পলিসি পাথে রাখুন।
ব্যবহারকারীদের জন্য অনবোর্ডিং সহজ রাখুন
ভালো সার্টিফিকেট WiFi প্রায়শই ব্যবহারকারীর কাছে অদৃশ্য থাকে। আর খারাপ সার্টিফিকেট WiFi তাদের একটি PDF, তিনটি ট্রাস্ট প্রম্পট এবং একটি সাপোর্ট নম্বর দেয়।
ম্যানেজড ডিভাইসের জন্য, অনবোর্ডিংয়ের লক্ষ্য হলো শূন্য সিদ্ধান্ত বিন্দু। সার্টিফিকেট, ট্রাস্ট চেইন এবং WiFi প্রোফাইল একসাথে আসা উচিত। BYOD-এর জন্য, সহজ ভাষা এবং এই ডিভাইসগুলো কী ধরণের অ্যাক্সেস পাবে সে সম্পর্কে স্পষ্ট সীমানা সহ একটি আলাদা ওয়ার্কফ্লো ব্যবহার করুন।
বাস্তব-ক্ষেত্রের ব্যবহার এবং উন্নত পরিস্থিতি
ল্যাব ডায়াগ্রামের পরিবর্তে বাস্তব পরিবেশে প্রয়োগ করলেই সার্টিফিকেট অথেন্টিকেশনের আসল মূল্য সবচেয়ে সহজে বোঝা যায়।
একটি হাসপাতালে, সমস্যাটি এটি নয় যে কর্মীরা পাসওয়ার্ড মনে রাখতে পারেন কিনা। সমস্যাটি হলো ম্যানেজড ক্লিনিকাল ডিভাইস, হুইলযুক্ত ওয়ার্কস্টেশন এবং স্পেশালিস্ট এন্ডপয়েন্টগুলো শেয়ার করা ক্রিডেনশিয়াল আদান-প্রদান না করেই ধারাবাহিকভাবে কানেক্ট করতে পারছে কিনা। সার্টিফিকেট-ভিত্তিক অ্যাক্সেস এই মডেলের সাথে খাপ খায় কারণ ট্রাস্টের সিদ্ধান্তটি কোনো সিক্রেটের পরিবর্তে ডিভাইসের আইডেন্টিটি অনুসরণ করে যা ছড়িয়ে পড়ার সম্ভাবনা থাকে।
একটি রিটেইল বা হসপিটালিটি সেটিংয়ে, প্যাটার্নটি কিছুটা আলাদা। স্টাফ ডিভাইসের জন্য নিরাপদ ইন্টারনাল অ্যাক্সেস প্রয়োজন, অন্যদিকে গেস্ট অ্যাক্সেস সহজ এবং সেগমেন্টেড রাখা প্রয়োজন। এখানেই আইডেন্টিটি-নেড ওয়্যারলেস ডিজাইন কাজে আসতে শুরু করে। একই ভেন্যু সার্টিফিকেট-সমর্থিত স্টাফ অ্যাক্সেস এবং সহজ অনবোর্ডিংয়ের ভিত্তিতে তৈরি একটি আলাদা গেস্ট অভিজ্ঞতা উভয়ই প্রদান করতে পারে।
যেখানে এটি বিশেষভাবে ভালো কাজ করে
- কর্পোরেট অফিস: ম্যানেজড ল্যাপটপ এবং ফোনগুলো স্বয়ংক্রিয়ভাবে যুক্ত হয়, এবং অ্যাক্সেস ডিরেক্টরি ও ডিভাইস পলিসি অনুসরণ করতে পারে।
- হেলথকেয়ার এস্টেট: কার্ট, ট্যাবলেট এবং ক্লিনিকাল কাজের ক্ষেত্র থেকে শেয়ার করা পাসওয়ার্ডের ঝামেলা দূর হয়।
- শিক্ষা ক্যাম্পাস: বিভিন্ন ভবন জুড়ে বারবার প্রম্পট ছাড়াই স্টাফ এবং প্রতিষ্ঠানের ম্যানেজড ডিভাইসগুলো কানেক্ট হতে পারে।
- Industrial and IoT-heavy sites: যেসব ডিভাইস সার্টিফিকেট সমর্থন করে সেগুলির জন্য শক্তিশালী আইডেন্টিটি কন্ট্রোল সেট করা হয়, আর সার্টিফিকেট সমর্থন না করা হার্ডওয়্যারগুলিকে ব্যতিক্রমী পাথের মাধ্যমে আলাদা (isolated) করা হয়।
উন্নত পরিকল্পনা যা বিবেচনা করা উচিত
মাল্টি-টেন্যান্ট প্রপার্টি, স্টুডেন্ট অ্যাকোমোডেশন এবং বড় ভেন্যুগুলির প্রায়ই ভিন্নধর্মী নেটওয়ার্কের প্রয়োজন হয়। একটি নেটওয়ার্কের অভিজ্ঞতা ব্যবহারকারীর কাছে অত্যন্ত সহজ মনে হতে হবে, কিন্তু ব্যাকএন্ডের এনফোর্সমেন্ট অত্যন্ত কঠোর হওয়া প্রয়োজন। স্টাফ এবং ম্যানেজড-ডিভাইসের ক্ষেত্রে সার্টিফিকেটগুলি বেশ সাহায্য করে কারণ পুরো পরিবেশটি শেয়ার্ড থাকা সত্ত্বেও এগুলি ডিভাইস-ভিত্তিক বিশ্বাসযোগ্যতা বজায় রাখে।
Passpoint এবং OpenRoaming -ও স্বাভাবিকভাবেই এই বিষয়ের সাথে সামঞ্জস্যপূর্ণ, বিশেষ করে গেস্ট অ্যাক্সেস এবং পুনরায় ভিজিট করার ক্ষেত্রে। এগুলি অভ্যন্তরীণ EAP-TLS স্টাফ অথেনটিকেশনের মতো এক জিনিস নয়, তবে এগুলি একই নীতি অনুসরণ করে: ব্যাকগ্রাউন্ডে বিশ্বাসযোগ্যতা ও ধারাবাহিকতা বজায় রেখে সংযোগের সময় জটিলতা হ্রাস করা।
সবচেয়ে শক্তিশালী ডিপ্লয়মেন্টগুলি প্রতিটি ডিভাইস এবং প্রতিটি ব্যবহারকারীর উপর জোর করে একটিমাত্র পদ্ধতি চাপিয়ে দেওয়ার চেষ্টা করে না। তারা ম্যানেজড ডিভাইসগুলির জন্য সার্টিফিকেট অথেনটিকেশন, ভিজিটরদের জন্য সেগমেন্টেড গেস্ট অ্যাক্সেস এবং লেগাসি হার্ডওয়্যারের জন্য নিয়ন্ত্রিত এক্সেপশন হ্যান্ডলিংয়ের সমন্বয় করে।
আপনি যদি শেয়ার্ড WiFi পাসওয়ার্ডের ব্যবহার বন্ধ করার পরিকল্পনা করে থাকেন, তবে আপনার বিদ্যমান PKI, MDM, RADIUS এবং আইডেন্টিটি স্ট্যাকের পাশাপাশি মূল্যায়ন করার জন্য Purple একটি চমৎকার বিকল্প হতে পারে। এটি স্টাফ, গেস্ট এবং মাল্টি-টেন্যান্ট পরিবেশের জন্য আইডেন্টিটি-ভিত্তিক WiFi অ্যাক্সেসের উপর জোর দেয়, যার মধ্যে রয়েছে পাসওয়ার্ডহীন অ্যাক্সেস প্যাটার্ন, ক্লাউড-ম্যানেজড অথেনটিকেশন এবং ডিরেক্টরি প্ল্যাটফর্মগুলির সাথে ইন্টিগ্রেশন।
