EAP-TLS বনাম PEAP: আপনার নেটওয়ার্কের জন্য কোন অথেন্টিকেশন প্রোটোকলটি সঠিক?
আপনার নেটওয়ার্কের প্রতিটি ডিভাইস গ্রুপের কোন 802.1X পদ্ধতি ব্যবহার করা উচিত তা নির্ধারণ করুন: কর্পোরেট মালিকানাধীন ডিভাইস যা এনরোল করা সম্ভব সেগুলির জন্য EAP-TLS, ব্যক্তিগত ও ঠিকাদার ডিভাইসের জন্য লকড সার্ভার সার্টিফিকেট ভ্যালিডেশন সহ PEAP, এবং অতিথিদের জন্য একটি Captive Portal বা OpenRoaming। আপনি একটি মাইগ্রেশনের পরিকল্পনাও করতে পারেন যা কোনো ডাউনটাইম ছাড়াই একটি RADIUS সার্ভিসে উভয় পদ্ধতি একসাথে পরিচালনা করে।
Video overview
এই গাইডটি শুনুন
পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
আমাদের মূল সিরিজের অংশ: এন্টারপ্রাইজ WiFi সিকিউরিটি গাইড →
EAP-TLS vs PEAP authentication decision tool
Evaluate your directory infrastructure, device ownership mix, and security compliance to determine the optimal 802.1X wireless protocol for your organisation.
Determines credential protocols supported at directory level.
Governs certificate provisioning capability without user intervention.
Sets threshold for password elimination and hardware TPM isolation.
EAP-TLS (Mutual Certificate-Based 802.1X)
Eliminate password-based attacks with cryptographic device certificates.
Evil Twin & MITM resistance
Immune to Evil Twin rogue APs: client and server each prove possession of a private key, so there is no reusable password for a rogue AP to capture.
Helpdesk & credential friction
0% password-related WiFi lockouts. Certificates renew silently in the background via MDM.
Microsoft Entra ID does not support legacy password hashing (NTLM/MSCHAPv2) natively. EAP-TLS with Microsoft Intune Cloud PKI / SCEP and Cloud RADIUS provides the direct native integration path.
Migrate your enterprise WiFi to certificate-based 802.1X
Connect with Purple technical architects to design your zero-trust wireless authentication, integrate Cloud RADIUS with Microsoft Entra ID, and eliminate credential exposure.
আপনি যখন ডিভাইসগুলো নিয়ন্ত্রণ করেন তখন EAP-TLS বেছে নিন। প্রতিটি ডিভাইস একটি সার্টিফিকেটের মাধ্যমে তার পরিচয় প্রমাণ করে, তাই ফিশিং বা ক্র্যাক করার মতো কোনো পাসওয়ার্ড থাকে না। আপনি যখন সার্টিফিকেট ইস্যু করতে পারেন না, যেমন ব্যক্তিগত ডিভাইসে, তখন PEAP বেছে নিন এবং প্রতিটি ক্লায়েন্টে সার্ভার সার্টিফিকেট ভ্যালিডেশন বাধ্যতামূলক করুন। কোনোটিই বেনামী অতিথিদের জন্য উপযুক্ত নয়, তাই এর বদলে একটি Captive Portal বা OpenRoaming ব্যবহার করুন।
আপনার কি EAP-TLS নাকি PEAP বেছে নেওয়া উচিত?
উভয় প্রোটোকলই পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের স্ট্যান্ডার্ড IEEE 802.1X-এর ভেতরে চলে। 802.1X অ্যাক্সেস পয়েন্ট কোনো ডিভাইসের ট্র্যাফিক ফরোয়ার্ড করার আগেই সেটিকে তার পরিচয় প্রমাণ করতে বাধ্য করে। সেই প্রমাণটি EAP (Extensible Authentication Protocol) মেসেজ হিসেবে RADIUS সার্ভারে যায়, যা প্রতিটি কানেকশন অনুমোদন বা প্রত্যাখ্যান করার সার্ভিস।
EAP-TLS এবং PEAP হলো সেই প্রমাণ বহন করার দুটি পদ্ধতি। পার্থক্য হলো ডিভাইসটি কী উপস্থাপন করে।
- EAP-TLS RFC 5216-এ সংজ্ঞায়িত এবং RFC 9190-এ TLS 1.3-এর জন্য আপডেট করা হয়েছে। সার্ভার এবং ডিভাইস প্রতিটি একটি করে ডিজিটাল সার্টিফিকেট উপস্থাপন করে। পরিচয় একটি প্রাইভেট কী-এর উপর নির্ভর করে যা কখনোই ডিভাইস থেকে বাইরে যায় না।
- PEAP (Protected EAP) কেবল সার্ভারের কাছে সার্টিফিকেট চায়। ডিভাইসটি সার্ভারের সাথে একটি এনক্রিপ্টেড টানেল তৈরি করে, তারপর তার ভেতরে একটি ব্যবহারকারীর নাম এবং পাসওয়ার্ড পাঠায়, যা প্রায় সবসময় MSCHAPv2-এর মাধ্যমে ঘটে।
সংক্ষিপ্ত সুপারিশ:
- ম্যানেজ করা ল্যাপটপ, ট্যাবলেট, স্ক্যানার এবং পেমেন্ট ডিভাইস: EAP-TLS।
- ব্যক্তিগত ফোন এবং কন্ট্রাক্টরদের ডিভাইস যা আপনি এনরোল করতে পারেন না: PEAP, সার্ভার সার্টিফিকেট ভ্যালিডেশন লকড অন সহ।
- গেস্ট, ভক্ত, যাত্রী এবং ক্রেতা: কোনোটিই নয়। Guest WiFi-এর মাধ্যমে একটি Captive Portal বা OpenRoaming ব্যবহার করুন।
অধিকাংশ প্রতিষ্ঠান ডিভাইসের মালিকানার ভিত্তিতে আলাদা করে একটি RADIUS সার্ভিসে উভয় পদ্ধতিই চালায়। এই গাইডের বাকি অংশে দেখানো হয়েছে যে সেই সীমানা কোথায় এবং প্রতিটি পরিচালনা করতে কত খরচ হয়।
বাস্তবে EAP-TLS এবং PEAP কীভাবে আলাদা?
EAP-TLS হ্যান্ডশেক কীভাবে কাজ করে
RADIUS সার্ভার প্রথমে তার সার্টিফিকেট পাঠায়। ডিভাইসটি একটি বিশ্বস্ত রুট সার্টিফিকেট অথরিটির (CA) সাথে এটি পরীক্ষা করে। ডিভাইসটি তার নিজস্ব সার্টিফিকেট পাঠায় এবং প্রমাণ করে যে এটির কাছে ম্যাচিং প্রাইভেট কী রয়েছে।
সার্ভার নিশ্চিত করে যে ডিভাইসের সার্টিফিকেটটি বৈধ এবং এটি বাতিল করা হয়নি। এটি একটি সার্টিফিকেট রিভোকেশন লিস্ট (CRL) বা OCSP (Online Certificate Status Protocol, RFC 6960)-এর মাধ্যমে বাতিলকরণ পরীক্ষা করে। কেবল তখনই অ্যাক্সেস পয়েন্ট ডিভাইসটিকে প্রবেশ করতে দেয়।
কোনো পর্যায়েই নেটওয়ার্কে কোনো পাসওয়ার্ড আদান-প্রদান হয় না। ফিশিং করা পাসওয়ার্ড দিয়ে নেটওয়ার্ক খোলা যায় না, কারণ নেটওয়ার্ক কখনোই পাসওয়ার্ড চায় না।
PEAP হ্যান্ডশেক কীভাবে কাজ করে
RADIUS সার্ভার তার সার্টিফিকেট পাঠায় এবং ডিভাইস এটি ভ্যালিডেট করে। দুটি পক্ষ একটি TLS টানেল তৈরি করে। সেই টানেলের ভেতরে, ডিভাইসটি Active Directory-এর মতো একটি ডিরেক্টরির বিরুদ্ধে MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol version 2) চালায়। যদি ক্রেডেনশিয়াল মিলে যায়, ডিভাইসটি অ্যাক্সেস পায়।
Microsoft, Cisco এবং RSA Security একসাথে PEAP তৈরি করেছে। এটি কখনোই একটি IETF স্ট্যান্ডার্ড হয়ে ওঠেনি। Microsoft তার MS-PEAP প্রোটোকল স্পেসিফিকেশনে অধিকাংশ ডিভাইসের ব্যবহৃত ভার্সনটি প্রকাশ করে।
কেন সার্ভার সার্টিফিকেট ভ্যালিডেশন PEAP-এর সিকিউরিটি নির্ধারণ করে
ডিভাইসটি অন্য প্রান্তে কে আছে তা যাচাই করলেই কেবল টানেলটি পাসওয়ার্ডটি সুরক্ষিত রাখে। সেই চেকটি বাদ দিলে, একজন আক্রমণকারী "evil twin" নামে পরিচিত একটি অননুমোদিত অ্যাক্সেস পয়েন্ট থেকে আপনার নেটওয়ার্কের নাম ব্রডকাস্ট করতে পারে। ডিভাইসটি তখন আক্রমণকারীর সাথে MSCHAPv2 সম্পন্ন করে এবং একটি চ্যালেঞ্জ ও রেসপন্স হস্তান্তর করে।
2012 সালে, Microsoft Security Advisory 2743314 সতর্ক করেছিল যে এনক্যাপসুলেট না করা MSCHAPv2 এক্সচেঞ্জগুলি ক্র্যাক করা সম্ভব। Microsoft-এর সমাধান ছিল সার্ভার সার্টিফিকেট ভ্যালিডেশন বাধ্যতাবোধক করে সেগুলিকে PEAP-এ আবদ্ধ করা। এটি আজও নিয়ম হিসাবে রয়ে গেছে।
EAP-TLS-এ এই দুর্বলতা নেই। একটি ডিভাইস কোনো অননুমোদিত অ্যাক্সেস পয়েন্টে পৌঁছালেও তার দেওয়ার মতো কোনো পুনরায় ব্যবহারযোগ্য পাসওয়ার্ড থাকে না।
পাশাপাশি EAP-TLS বনাম PEAP
| EAP-TLS | PEAP (MSCHAPv2) | |
|---|---|---|
| ডিভাইসটি যা উপস্থাপন করে | তার নিজস্ব সার্টিফিকেট এবং প্রাইভেট কি | একটি TLS টানেলের ভেতরে ইউজারনেম এবং পাসওয়ার্ড |
| প্রয়োজনীয় সার্টিফিকেটসমূহ | সার্ভার এবং প্রতিটি ক্লায়েন্ট ডিভাইস | কেবল সার্ভার |
| সংজ্ঞায়িত স্পেসিফিকেশন | IETF RFC 5216 এবং RFC 9190 | Microsoft MS-PEAP স্পেসিফিকেশন |
| ফিশিং হওয়া বা পুনরায় ব্যবহৃত পাসওয়ার্ডের ঝুঁকি | নেই - কোনো পাসওয়ার্ডের অস্তিত্ব নেই | সম্পূর্ণ - পাসওয়ার্ডটিই হলো ক্রিডেনশিয়াল |
| Evil twin ঝুঁকি | কম - ক্যাপচার করার মতো কোনো পুনরায় ব্যবহারযোগ্য গোপন তথ্য নেই | সার্ভার ভ্যালিডেশন বন্ধ থাকলে বেশি |
| WPA3-Enterprise 192-bit মোড | সমর্থিত | সমর্থিত নয় |
| Windows Credential Guard | অপ্রভাবিত | সেভ করা MSCHAPv2 ক্রিডেনশিয়াল ব্লক করে |
| আপনার প্রয়োজনীয় ইনফ্লাস্ট্রাকচার | RADIUS, PKI, MDM বা অনবোর্ডিং টুল | RADIUS, সার্ভার সার্টিফিকেট, ডিরেক্টরি |
| হারিয়ে যাওয়া একটি ডিভাইস বাতিল করা | কেবল সেই একটি সার্টিফিকেট বাতিল করুন | অ্যাকাউন্ট রিসেট করুন, যা সেই ব্যক্তির সমস্ত ডিভাইসকে প্রভাবিত করে |
| পাসওয়ার্ড পরিবর্তনের প্রভাব | কোনো প্রভাব নেই | প্রতিটি সংরক্ষিত WiFi প্রোফাইল আপডেট করা প্রয়োজন |
| সবচেয়ে উপযোগী | প্রতিষ্ঠানের মালিকানাধীন ডিভাইস, পেমেন্ট এবং ক্লিনিকাল ডিভাইস | ব্যক্তিগত ডিভাইস, কন্ট্রাক্টর, PKI ছাড়া এস্টেট |
প্ল্যাটফর্মের দুটি পরিবর্তন যা সিদ্ধান্তকে প্রভাবিত করে
Windows. Microsoft-এর Credential Guard ডকুমেন্টেশনে উল্লেখ করা হয়েছে যে Credential Guard চালু থাকলে MSCHAPv2-ভিত্তিক WiFi এবং VPN কানেকশনগুলি সেভ করা ক্রিডেনশিয়াল ব্যবহার করতে পারে না। ভার্সন 22H2 থেকে উপযুক্ত Windows 11 Enterprise এবং Education ডিভাইসগুলিতে ডিফল্টভাবে Credential Guard সক্ষম থাকে। Microsoft সার্টিফিকেট-ভিত্তিক পদ্ধতি যেমন EAP-TLS-এ স্থানান্তরিত হওয়ার পরামর্শ দেয়।
Android. সাম্প্রতিক Android ভার্সনগুলি সার্ভার সার্টিফিকেট ভ্যালিডেশন স্কিপ করার অপশনটি সরিয়ে দিয়েছে। PEAP প্রোফাইলগুলিতে এখন অবশ্যই একটি CA সার্টিফিকেট এবং একটি সার্ভার ডোমেন উল্লেখ করতে হবে। এটি evil twin ফাঁকটি বন্ধ করে, তবে এটি কর্মীদের জন্য ম্যানুয়াল সেটআপ আরও কঠিন করে তোলে।
কখন EAP-TLS সঠিক সিদ্ধান্ত?
যখন তিনটি শর্ত পূরণ হয় তখন EAP-TLS বেছে নিন। ডিভাইসগুলি আপনার মালিকানাধীন, আপনি সেগুলিতে কনফিগারেশন পুশ করতে পারেন এবং একটি ক্ষতিগ্রস্ত পাসওয়ার্ড প্রকৃত ক্ষতি করতে পারে।
- Microsoft Intune-এর মতো একটি MDM (মোবাইল ডিভাইস ম্যানেজমেন্ট) প্ল্যাটফর্মের মাধ্যমে পরিচালিত কর্পোরেট-মালিকানাধীন ল্যাপটপ।
- PCI-DSS-এর আওতায় থাকা নেটওয়ার্কগুলিতে থাকা পয়েন্ট-অফ-সেল টার্মিনাল এবং হ্যান্ডহেল্ড স্ক্যানার।
- Healthcare-এ ব্যবহৃত ক্লিনিকাল ট্যাবলেট এবং কার্ট, যেখানে শেয়ার করা ওয়ার্ড পাসওয়ার্ড একটি স্থায়ী ঝুঁকি।
- হোটেলগুলির ব্যাক-অফিস, ফ্রন্ট-ডেস্ক এবং হাউসকিপিং ডিভাইস।- WPA3-Enterprise 192-bit মোডের জন্য তৈরি নেটওয়ার্ক, যা WPA3 স্পেসিফিকেশন EAP-TLS সাইফার স্যুটের সাথে যুক্ত করে।
সার্টিফিকেট অফবোর্ডিংকেও নিখুঁত করে তোলে। একটি সার্টিফিকেট বাতিল করলে কেবল একটি ডিভাইসের অ্যাক্সেস বন্ধ হয়, আর সেই ব্যক্তির অন্যান্য ডিভাইসগুলো কাজ করতে থাকে। এটি আপনার MDM এবং ডিরেক্টরিতে জয়েনার, মুভার এবং লিভারদের সাথে নিখুঁতভাবে মেলে।
প্রাইভেট কীগুলোকে নন-এক্সপোর্টেবল হিসেবে ডিভাইসের TPM (ট্রাস্টেড প্ল্যাটফর্ম মডিউল) বা সিকিউর এনক্লেভে সংরক্ষণ করুন যেখানে হার্ডওয়্যার এটি সাপোর্ট করে। যে সার্টিফিকেটটি ডিভাইস থেকে কপি করা যায় না, তা অন্য কোথাও পুনরায় ব্যবহার করাও সম্ভব নয়।
বাস্তব দৃশ্যপট: ৩০টি প্রপার্টির একটি হোটেল গ্রুপ
এই গাইডের দৃশ্যপটগুলো সাধারণ ডেপ্লয়মেন্টের একটি মিশ্র রূপ, কোনো নির্দিষ্ট গ্রাহকের ফলাফল নয়।
পরিস্থিতি। একটি হোটেল গ্রুপ প্রায় ২০০টি রুম বিশিষ্ট ৩০টি প্রপার্টি পরিচালনা করে। ব্যাক-অফিসের ল্যাপটপ, হাউসকিংপিংয়ের ট্যাবলেট এবং ফ্রন্ট-ডেস্কের PC একটি একক Staff WiFi নেটওয়ার্ক শেয়ার করে। ডিভাইসগুলো কয়েকটি শেয়ার করা Active Directory অ্যাকাউন্ট ব্যবহার করে PEAP-এর মাধ্যমে সাইন ইন করে। যখন একটি ট্যাবলেট হারিয়ে যায়, তখন IT শেয়ার করা পাসওয়ার্ড রিসেট করে এবং এটি ব্যবহার করে এমন প্রতিটি ডিভাইস পুনরায় কনফিগার করে।
যা করা হয়েছিল। প্রতিটি ডিভাইস ইতিমধ্যেই একটি MDM-এ এনরোল করা ছিল। টিম একটি ক্লাউড PKI (পাবলিক কী ইনফ্রাস্ট্রাকচার, যে সিস্টেমটি সার্টিফিকেট ইস্যু এবং বাতিল করে) চালু করেছে। তারা SCEP (সিম্পল সার্টিফিকেট এনরোলমেন্ট প্রোটোকল, RFC 8894) ব্যবহার করে ডিভাইস সার্টিফিকেট পুশ করেছে। এরপর Staff WiFi প্রোফাইলটি EAP-TLS-এ স্যুইচ করা হয়েছে। কাটওভার জুড়ে একই RADIUS সার্ভিসে PEAP সচল ছিল। ডায়নামিক VLAN অ্যাসাইনমেন্ট হাউসকিংপিংয়ের ট্যাবলেটগুলোকে ফাইন্যান্স ল্যাপটপ থেকে একটি ভিন্ন সেগমেন্টে রেখেছিল।
ফলাফল। শেয়ার করা WiFi অ্যাকাউন্ট শূন্যে নেমে এসেছে। একটি হারিয়ে যাওয়া ট্যাবলেটের জন্য এখন ডজন ডজন ডিভাইসে পাসওয়ার্ড রিসেট করার বদলে শুধু একটি সার্টিফিকেট বাতিল করতে হয়। পাসওয়ার্ড রোটেশন এখন আর WiFi সংযোগকে ব্যাহত করে না, কারণ কোনো WiFi পাসওয়ার্ড অবশিষ্ট নেই। হসপিটালিটি নেটওয়ার্ক সম্পর্কিত আরও তথ্যের জন্য আমাদের Hotels পৃষ্ঠাটি দেখুন।
কখন PEAP সঠিক সিদ্ধান্ত?
PEAP বেছে নিন যখন আপনি ডিভাইসে একটি সার্টিফিকেট রাখতে পারেন না এবং সাইন ইন করা ব্যক্তির একটি ডিরেক্টরি অ্যাকাউন্ট থাকে।
- BYOD (ব্রিং ইউর ওন ডিভাইস) নীতির অধীনে ব্যক্তিগত ফোনে থাকা স্টাফ, যেখানে MDM এনরোলমেন্ট গ্রহণযোগ্য নয়।
- অল্প সময়ের জন্য অ্যাকাউন্ট থাকা কন্ট্রাক্টর, অস্থায়ী ইভেন্ট স্টাফ এবং এজেন্সি কর্মী।
- Active Directory থাকা কিন্তু PKI না থাকা এস্টেটগুলো, EAP-TLS-এর দিকে একটি অন্তর্বর্তীকালীন পদক্ষেপ হিসেবে।
PEAP কেবল তিনটি নিয়ন্ত্রণ ব্যবস্থা বহাল থাকলেই এই ক্ষেত্রগুলোর জন্য গ্রহণযোগ্য।
- প্রতিটি ডিভাইসে সার্ভার সার্টিফিকেট ভ্যালিডেশন লক করুন। বিশ্বস্ত CA এবং সঠিক সার্ভারের নাম নির্ধারণ করুন। গ্রুপ পলিসি, একটি MDM প্রোফাইল বা কোনো অনবোর্ডিং টুলের মাধ্যমে এটি ডেপ্লয় করুন, কখনো হাতে করবেন না।
- সার্ভার সার্টিফিকেটটি অনুমেয় রাখুন। আপনার ডিভাইসগুলো ইতিমধ্যে বিশ্বাস করে এমন একটি CA থেকে এটি ইস্যু করুন এবং নবায়নের সময় সার্ভারের নামটি অপরিবর্তিত রাখুন।
- ডিরেক্টরি পাসওয়ার্ড সুরক্ষিত করুন। PEAP কেবল টানেলের ভেতরের পাসওয়ার্ডের মতোই শক্তিশালী। পাসওয়ার্ডের দৈর্ঘ্য কঠোরভাবে প্রয়োগ করুন এবং ডিরেক্টরিতে পরিচিত-কম্প্রোমাইজড পাসওয়ার্ডগুলো ব্লক করুন।
বাস্তব দৃশ্যপট: সিজনাল স্টাফদের একটি কনফারেন্স সেন্টার
পরিস্থিতি। একটি সিটি-সেন্টার কনফারেন্স এবং ইভেন্ট ভেন্যু প্রতি পিক সিজনে প্রায় 300 জন অস্থায়ী কর্মী নিয়োগ করে। তারা রোস্টারিং এবং রেডিও অ্যাপের জন্য তাদের নিজস্ব ফোন ব্যবহার করে। ভেন্যু তাদের ব্যক্তিগত ফোনগুলি একটি MDM-এ এনরোল করতে বলতে পারে না। তার আগ পর্যন্ত, স্টাফ রুমের নোটিশবোর্ডে একটি শেয়ার করা WPA2-Personal পাসওয়ার্ড ঝুলানো ছিল।
যা করা হয়েছিল। IT প্রতিটি অস্থায়ী কর্মীর জন্য একটি মেয়াদের শেষ তারিখ সহ ডিরেক্টরি অ্যাকাউন্ট তৈরি করেছে। স্টাফ WiFi PEAP-এ স্থানান্তরিত করা হয়েছে। একটি ওয়ান-টাইম অনবোর্ডিং প্রোফাইল প্রতিটি ফোনে CA এবং সার্ভারের নাম ফিক্সড করেছে। চুক্তির শেষ তারিখে অ্যাকাউন্টগুলি স্বয়ংক্রিয়ভাবে নিষ্ক্রিয় হয়ে যায়। অ্যাটেন্ডিরা একটি আলাদা Captive Portal নেটওয়ার্কে ছিলেন।
ফলাফল। শেয়ার করা পাসওয়ার্ডটি সরিয়ে নেওয়া হয়েছে। চাকরি ছেড়ে যাওয়া ব্যক্তিরা এখন পরবর্তী পাসওয়ার্ড পরিবর্তনের সময় নয়, বরং তাদের শেষ তারিখেই অ্যাক্সেস হারান। প্রতিটি স্টাফ সংযোগ RADIUS লগগুলিতে একটি নির্দিষ্ট অ্যাকাউন্টের সাথে ম্যাপ করে, যা সিকিউরিটি টিম প্রতিটি ইভেন্টের পরে অডিট করতে পারে।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।
EAP-TLS এবং PEAP চালাতে কত খরচ হয়?
কোনো প্রোটোকলের জন্যই লাইসেন্স ফি লাগে না। উভয়ই Windows, macOS, iOS, Android এবং ChromeOS-এ বিল্ট-ইন থাকে। মূল খরচ হয় ইনফ্রাস্ট্রাকচার এবং স্টাফদের পেছনে দেওয়া সময়ের ক্ষেত্রে।
| খরচের খাত | EAP-TLS | PEAP |
|---|---|---|
| RADIUS পরিষেবা | প্রয়োজনীয় | প্রয়োজনীয় |
| RADIUS সার্ভার সার্টিফিকেট | প্রয়োজনীয়, CA-এর সময়সূচী অনুযায়ী রিনিউ করা হয় | প্রয়োজনীয়, CA-এর সময়সূচী অনুযায়ী রিনিউ করা হয় |
| ক্লায়েন্ট সার্টিফিকেট ইস্যু করার জন্য PKI | প্রয়োজনীয়, অন-প্রিমিসেস বা ক্লাউড | প্রয়োজনীয় নয় |
| MDM বা অনবোর্ডিং টুল | একটি পাইলটের বাইরে প্রয়োজনীয় | সার্ভার ভ্যালিডেশন জোরদার করতে সুপারিশকৃত |
| ক্লায়েন্ট সার্টিফিকেট রিনিউয়াল | আপনার নির্ধারিত সময়সূচী অনুযায়ী প্রতিটি ডিভাইস | কোনোটিই নয় |
| WiFi পাসওয়ার্ড টিকিট | কোনোটিই নয় | প্রতিটি পরিবর্তনের পর লকআউট এবং প্রোফাইল আপডেট |
| ওয়্যারলেস অ্যাক্সেসের জন্য অডিট প্রমাণ | সার্টিফিকেট ইস্যু এবং রিভোকেশন লগ | অ্যাকাউন্ট এবং পাসওয়ার্ড পলিসি রেকর্ড |
EAP-TLS যেখানে খরচ বাড়ায়
EAP-TLS-এ শুরুতেই খরচ বেশি হয়। আপনাকে একটি PKI এবং সার্টিফিকেট টেমপ্লেট, এনরোলমেন্ট এবং রিভোকেশন ডিজাইন করার জন্য স্টাফদের সময়ের পেছনে পে করতে হয়। আপনি যদি ইতিমধ্যেই একটি MDM চালান, তবে ডেলিভারি খরচের অনেকটাই কভার হয়ে যায়। চালুর পরে, প্রধান পুনরাবৃত্তিমূলক কাজটি হলো সার্টিফিকেট রিনিউয়াল, যা একটি MDM স্বয়ংক্রিয়ভাবে সম্পন্ন করে।
PEAP যেখানে খরচ বাড়ায়
PEAP সস্তায় শুরু হয় তবে কাজ চালানোর সাথে সাথে এর খরচ বাড়তে থাকে। প্রতিটি পাসওয়ার্ড পরিবর্তন ফোন এবং ল্যাপটপে পুরনো ক্রিডেনশিয়াল রেখে যেতে পারে। বারংবার ব্যর্থ চেষ্টাগুলোর ফলে Active Directory-তে অ্যাকাউন্ট লক হয়ে যেতে পারে, যা একটি হেল্পডেস্ক টিকিট তৈরি করে। কর্মীদের সংখ্যা এবং পাসওয়ার্ড পরিবর্তনের ফ্রিকোয়েন্সির সাথে এই খরচগুলোও বাড়ে।
সার্ভার সার্টিফিকেটের মেয়াদের দিকে নজর রাখুন
আপনার RADIUS সার্ভার সার্টিফিকেট যদি একটি পাবলিক CA থেকে আসে, তবে এর মেয়াদ ক্রমশ ছোট হয়ে আসছে। CA/Browser Forum-এর Ballot SC-081 পর্যায়ক্রমে সর্বোচ্চ পাবলিক TLS সার্টিফিকেট মেয়াদ কমিয়ে দিচ্ছে। ২০২৬ সালের মার্চ থেকে সীমা কমে ২০০ দিনে এবং ২০২৯ সালের মার্চ থেকে ৪৭ দিনে নেমে আসবে। অনেক টিম এর পরিবর্তে একটি প্রাইভেট CA থেকে RADIUS সার্টিফিকেট ইস্যু করে, যা রিনিউয়ালকে তাদের নিজস্ব সময়সূচীতে রাখে।
ভুল করার মাশুল
IBM's Cost of a Data Breach Report 2024-এ বিশ্বব্যাপী গড় ডেটা লঙ্ঘনের খরচ USD 4.88 মিলিয়ন হিসেবে প্রকাশ করা হয়েছে। চুরি বা আপস করা শংসাপত্রগুলি সেই রিপোর্টের সবচেয়ে সাধারণ প্রাথমিক আক্রমণ ভেক্টরগুলির মধ্যে ছিল। EAP-TLS এর আওতাভুক্ত প্রতিটি ডিভাইসের জন্য আক্রমণের ক্ষেত্র থেকে WiFi পাসওয়ার্ড সরিয়ে দেয়।
কার্যকর দৃশ্যপট: একটি ১২০ টি স্টোরের খুচরা বিক্রেতা
পরিস্থিতি। একজন খুচরা বিক্রেতা PEAP-এ হ্যান্ডহেল্ড স্ক্যানার এবং মোবাইল পয়েন্ট-অফ-সেল ডিভাইস সহ ১২০ টি স্টোর পরিচালনা করেন। ডিভাইসগুলি একটি সাধারণ পরিষেবা অ্যাকাউন্ট শেয়ার করে। সেই অ্যাকাউন্টের প্রতিটি নির্ধারিত পরিবর্তনের ফলে যে সমস্ত স্টোরের ডিভাইস পুরানো পাসওয়ার্ড রেখেছিল সেখানে রাতারাতি প্রমাণীকরণ ব্যর্থতা তৈরি হয়।
যা করা হয়েছিল। IT আগে থেকেই চালিত MDM ব্যবহার করে স্ক্যানার এবং পেমেন্ট ডিভাইসগুলিকে EAP-TLS-এ স্থানান্তরিত করেছে। প্রতিটি ডিভাইস তার নিজের ডিজিটাল সার্টিফিকেট পেয়েছে। স্টোর কর্মীদের ফোনগুলি PEAP-এ রাখা হয়েছে, কার্ডহোল্ডার ডেটা এনভায়রনমেন্টের কোনো রুট ছাড়া একটি পৃথক VLAN-এ।
ফলাফল। রোটেশন দিনের বিভ্রাট বন্ধ হয়েছে, কারণ ইন-স্কোপ ডিভাইসগুলি আর একটি শেয়ার করা পাসওয়ার্ডের উপর নির্ভরশীল ছিল না। বাতিলের প্রক্রিয়া প্রতিটি স্টোরের পরিবর্তে প্রতি ডিভাইসের ভিত্তিতে হয়েছে। PCI-DSS প্রয়োজনীয়তা 11.2.1 এর অধীনে ত্রৈমাসিক রোগ অ্যাক্সেস পয়েন্ট পরীক্ষা অপরিবর্তিত রাখা হয়। স্টোর নেটওয়ার্ক সম্পর্কে আরও জানতে আমাদের Retail পৃষ্ঠা দেখুন।
প্রতিটি প্রোটোকল কীভাবে ভেঙে পড়ে এবং কীভাবে আপনি এটি প্রতিরোধ করবেন?
মেয়াদোত্তীর্ণ সার্টিফিকেট
যদি CA সার্টিফিকেট বা RADIUS সার্ভার সার্টিফিকেট মেয়াদ শেষ হয়ে যায়, তবে প্রতিটি প্রমাণীকরণ একসাথে ব্যর্থ হয়। এটি EAP-TLS এবং PEAP উভয়কেই একইভাবে প্রভাবিত করে। প্রতিটি মেয়াদের শেষ তারিখের ৯০, ৩০ এবং সাত দিন আগে সতর্কতা সেট করুন এবং প্রতিটি সার্টিফিকেটের জন্য একজন মালিক নির্বাচন করুন।
সার্ভার ভ্যালিডেশন বন্ধ রাখা
একটি PEAP প্রোফাইল যা সার্ভার ভ্যালিডেশন উপেক্ষা করে তা যেকোনো ইভিল টুইনের হাতে শংসাপত্র তুলে দেয়। নিয়মিত ডিভাইস প্রোফাইল অডিট করুন এবং আপনার সুরক্ষা পর্যালোচনাতে চেক যোগ করুন। কর্মীদের "Don't validate" এ ট্যাপ করতে বলা এমন সমস্ত ম্যানুয়াল সেটআপ নির্দেশাবলী সরিয়ে ফেলুন।
RADIUS ল্যাটেন্সি এবং একক ব্যর্থতার পয়েন্ট
প্রমাণীকরণ একটি গুরুত্বপূর্ণ পথে অবস্থান করে। কন্ট্রোলার, RADIUS সার্ভার এবং ডিরেক্টরির মধ্যে উচ্চ ল্যাটেন্সি EAP টাইমআউট ঘটায়। রিডানডেন্সি সহ RADIUS পরিচালনা করুন, অথবা একাধিক অঞ্চল সহ ক্লাউড RADIUS ব্যবহার করুন। Trains-এর স্টেশন এবং রোলিং স্টকের মতো বিতরণ করা সম্পত্তিতে, অ্যাক্সেস পয়েন্টের কাছাকাছি একটি স্থানীয় RADIUS প্রক্সি রাখুন।
অননুমোদিত রোগ অ্যাক্সেস পয়েন্ট
অননুমোদিত ডিভাইসগুলিকে ক্রমাগত চিহ্নিত করতে আপনার অ্যাক্সেস পয়েন্ট প্ল্যাটফর্মে নির্মিত ওয়্যারলেস ইন্ট্রুশন ডিটেকশন ব্যবহার করুন। আপনি যদি কার্ডের মাধ্যমে অর্থপ্রদান গ্রহণ করেন, তবে PCI-DSS প্রয়োজনীয়তা 11.2.1 অনুযায়ী আপনাকে অন্তত প্রতি তিন মাসে অননুমোদিত অ্যাক্সেস পয়েন্টগুলি পরীক্ষা করতে হবে।
প্রমাণীকরণের পর ফ্ল্যাট নেটওয়ার্ক
একটি সফল 802.1X লগইন পুরো নেটওয়ার্ক খুলবে না। ডায়নামিক VLAN অ্যাসাইনমেন্ট ব্যবহার করুন, যেখানে RADIUS, RFC 3580-এ সংজ্ঞায়িত বৈশিষ্ট্যগুলি ব্যবহার করে প্রতিটি ডিভাইসের জন্য VLAN (ভার্চুয়াল LAN) প্রদান করে। এর ফলে পেমেন্ট ডিভাইস, কর্মীদের ফোন এবং বিল্ডিং সিস্টেমগুলি তাদের নিজস্ব অ্যাক্সেস কন্ট্রোল সহ পৃথক সেগমেন্টে যুক্ত হয়।
আপনার সম্পত্তির জন্য আপনি কীভাবে সিদ্ধান্ত নেবেন?
প্রোটোকলের পছন্দের দিক থেকে নয়, ডিভাইসের মালিকানা থেকে শুরু করুন। নিচের ম্যাট্রিক্সটি সাধারণ পরিস্থিতিগুলিকে একটি সুপারিশের সাথে মানচিত্রভুক্ত করে।
| আপনার পরিস্থিতি | সুপারিশকৃত পদ্ধতি | কেন |
|---|---|---|
| MDM-এ থাকা কর্পোরেট ল্যাপটপ | EAP-TLS | আপনার ইতিমধ্যে পরিশোধ করা টুলিংয়ের মাধ্যমে সার্টিফিকেটগুলো ডেপ্লয় হয় |
| PCI DSS স্কোপে থাকা পেমেন্ট টার্মিনাল এবং স্ক্যানার | EAP-TLS | রোটেট বা লিক হওয়ার মতো কোনো শেয়ার্ড পাসওয়ার্ড নেই |
| হাসপাতালের ওয়ার্ডে থাকা ক্লিনিক্যাল ডিভাইস | EAP-TLS | ডিভাইস-প্রতি রিভোকেশন, কোনো শেয়ার্ড ওয়ার্ড পাসওয়ার্ড নেই |
| কর্মীদের ব্যক্তিগত ফোন, কোনো MDM অনুমতি নেই | লক করা সার্ভার ভ্যালিডেশন সহ PEAP | ফোন এনরোল না করেই ডিরেক্টরি লগইন |
| মৌসুমী এবং চুক্তিভিত্তিক কর্মী | তারিখ যুক্ত অ্যাকাউন্ট সহ PEAP | চুক্তির শেষ তারিখে অ্যাক্সেস স্বয়ংক্রিয়ভাবে শেষ হয়ে যায় |
| 802.1X বিহীন স্মার্ট টিভি, প্রিন্টার এবং সেন্সর | একটি ডেডিকেটেড VLAN-এ iPSK | ডিভাইস প্রতি ইউনিক কী, কোনো 802.1X সাপ্লিক্যান্টের প্রয়োজন নেই |
| হোটেলের অতিথি, অনুরাগী, যাত্রী এবং ক্রেতা | Captive portal বা OpenRoaming | কোনো ডিরেক্টরি অ্যাকাউন্ট এবং ম্যানেজ করার মতো কোনো ডিভাইস নেই |
iPSK (আইডেন্টিটি প্রি-শেয়ার্ড কী, যাকে PPSK-ও বলা হয়) একটি নেটওয়ার্ক নামে প্রতিটি ডিভাইস বা গ্রুপকে তার নিজের WiFi কী দেয়। 802.1X সাপ্লিক্যান্ট চালাতে পারে না এমন ডিভাইসগুলোর জন্য এটি ব্যবহার করুন।
সিদ্ধান্তে পৌঁছানোর একটি চার-ধাপের পথ
- মালিকানা অনুযায়ী ডিভাইসের ইনভেন্টরি করুন। এগুলোকে কর্পোরেট-ম্যানেজড, ব্যক্তিগত, হেডলেস এবং গেস্টে বিভক্ত করুন।
- আপনি ইতিমধ্যে কী চালাচ্ছেন তা পরীক্ষা করুন। একটি বিদ্যমান MDM ম্যানেজড ডিভাইসগুলোর জন্য EAP-TLS-কে একটি সাশ্রয়ী প্রজেক্টে পরিণত করে।
- টার্গেট স্টেট সেট করুন। প্রতিটি ম্যানেজড ডিভাইসের জন্য EAP-TLS, কেবল যেখানে এনরোলমেন্ট অসম্ভব সেখানে PEAP।
- যথাস্থানে মাইগ্রেট করুন। একটি RADIUS সার্ভিসে উভয় মেথড চালান, ম্যানেজড ডিভাইসগুলোকে EAP-TLS-এ সরিয়ে নিন, তারপর সেগুলোর PEAP প্রোফাইলগুলো অবসর দিন।
Purple কোথায় ফিট করে?
Purple হার্ডওয়্যার-অ্যাগোনেস্টিক। আমরা Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এ একটি ক্লাউড ওভারলে হিসেবে চলি। এখানে কোনো রিপ অ্যান্ড রিপ্লেসের ঝামেলা নেই। আপনি আজ যে নেটওয়ার্কটি চালাচ্ছেন Purple তার উপরেই লেয়ার তৈরি করে।
কর্মী এবং বাসিন্দাদের জন্য, Purple-এর Identity-Based Networks স্টাফ WiFi এবং Multi-Tenant WiFi অ্যাক্সেসকে পরিচয়ের সাথে যুক্ত করে। এগুলো Microsoft Entra ID, Okta বা Google Workspace-এর সাথে সংযুক্ত ক্লাউড RADIUS-এর মাধ্যমে কাজ করে। ফলে নতুন যোগদানকারী, পদ পরিবর্তনকারী এবং ত্যাগকারীদের ডিরেক্টরি থেকেই হ্যান্ডেল করা হয়, হাতে কলমে করতে হয় না। যে ডিভাইসগুলো 802.1X চালাতে পারে না সেগুলো iPSK পায়।
গেস্টদের জন্য, Purple-এর Guest WiFi একটি Captive portal (অ্যাক্সেসের আগে প্রদর্শিত একটি ওয়েব পেজ) অফার করে, যেখানে সচেতন-পছন্দের অপ্ট-ইন রয়েছে। এটি Passpoint (Hotspot 2.0)-এর উপর নির্মিত ওয়ারলেস ব্রডব্যান্ড অ্যালায়েন্স ফেডারেশন, OpenRoaming-কেও সাপোর্ট করে। OpenRoaming রিটার্নিং ডিভাইসগুলোকে একটি এনক্রিপ্টেড কানেকশনের মাধ্যমে স্বয়ংক্রিয়ভাবে যুক্ত হতে দেয়। Purple-এর Connect প্ল্যানে OpenRoaming-এর জন্য একটি আইডেন্টিটি প্রোভাইডার অন্তর্ভুক্ত রয়েছে। WiFi Analytics তারপর সেই কানেকশনগুলোকে অবস্থানের সময় এবং পুনরায় ভিজিটের ফার্স্ট-পার্টি ডেটায় রূপান্তরিত করে।
Purple ৮০,০০০+ এরও বেশি লাইভ ভেন্যুতে সচল রয়েছে এবং ২০২৪ সালে ৪৪০ মিলিয়ন লগইন হ্যান্ডেল করেছে (Purple-এর নিজস্ব ডেটা)। Purple ISO 27001 সার্টিফাইড, GDPR কমপ্লায়েন্ট এবং Cyber Essentials সার্টিফাইড।
প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী
EAP-TLS কি PEAP-এর চেয়ে বেশি নিরাপদ?
হ্যাঁ। EAP-TLS উভয় পক্ষকেই সার্টিফিকেট দিয়ে প্রমাণীকরণ করে, তাই কোনো ফেক অ্যাক্সেস পয়েন্ট থেকে চুরি, অনুমান বা ক্যাপচার করার মতো কোনো পাসওয়ার্ড থাকে না। PEAP একটি এনক্রিপ্ট করা টানেলের ভেতর পাসওয়ার্ড সুরক্ষিত রাখে। এর নিরাপত্তা প্রতিটি ডিভাইস সার্ভার সার্টিফিকেট যাচাই করার ওপর নির্ভর করে। সঠিকভাবে কনফিগার করা হলে, PEAP ব্যক্তিগত ডিভাইসের জন্য গ্রহণযোগ্য। কর্পোরেট-মালিকানাধীন ডিভাইস, পেমেন্ট টার্মিনাল এবং ক্লিনিক্যাল সরঞ্জামের জন্য, EAP-TLS শংসাপত্র হামলার একটি পুরো শ্রেণীকে দূর করে।
PCI DSS কি ওয়্যারলেস নেটওয়ার্কের জন্য EAP-TLS বাধ্যতামূলক করে?
না। PCI DSS v4.0 নির্দিষ্ট কোনো EAP পদ্ধতির নাম উল্লেখ করে না। রিকোয়ারমেন্ট 11.2.1 এর অধীনে কার্ডহোল্ডার ডেটা বহনকারী ওয়্যারলেস নেটওয়ার্কে শক্তিশালী ক্রিপ্টোগ্রাফি এবং অননুমোদিত অ্যাক্সেস পয়েন্টের জন্য ত্রৈমাসিক পরীক্ষা প্রয়োজন। এটি পাসওয়ার্ড ব্যবহারের ক্ষেত্রে পাসওয়ার্ড নিয়ন্ত্রণও নির্ধারণ করে। EAP-TLS ইন-স্কোপ ডিভাইসগুলোর জন্য WiFi পাসওয়ার্ডকে স্কোপের বাইরে নিয়ে যায়, যা আপনার প্রমাণের কাজকে সহজ করে। PEAP-ও নিয়ম মেনে চলতে পারে, যদি সার্ভার ভ্যালিডেশন এবং পাসওয়ার্ড পলিসি বলবৎ ও নথিভুক্ত করা হয়।
আমরা কি কোনো ডাউনটাইম ছাড়াই PEAP থেকে EAP-TLS-এ স্থানান্তরিত হতে পারি?
হ্যাঁ। একটি RADIUS-as-a-Service একই নেটওয়ার্ক নামে উভয় পদ্ধতি গ্রহণ করতে পারে। প্রতিটি ডিভাইস তার প্রোফাইল নির্দেশিত পদ্ধতিটি ব্যবহার করে। সার্টিফিকেট ইস্যু করুন এবং আপনার MDM এর মাধ্যমে নতুন EAP-TLS প্রোফাইল পুশ করুন, তারপর ডিভাইসগুলো সুইচ করার সময় RADIUS লগ পর্যবেক্ষণ করুন। যখন কোনো পরিচালিত ডিভাইস আর PEAP দিয়ে প্রমাণীকরণ করবে না, তখন তাদের PEAP প্রোফাইলগুলো সরিয়ে ফেলুন। PEAP কেবল সেই ব্যক্তিগত ডিভাইসগুলোর জন্য রাখুন যা আপনি নথিভুক্ত করতে পারছেন না।
EAP-TLS চালানোর জন্য কি আমাদের একটি MDM প্রয়োজন?
কয়েকটি ডিভাইসের বেশি হলে, বাস্তবে হ্যাঁ। প্রতিটি ডিভাইসের জন্য একটি সার্টিফিকেট, একটি বিশ্বস্ত CA এবং একটি WiFi প্রোফাইল প্রয়োজন। মেয়াদ শেষ হওয়ার আগেই প্রতিটি সার্টিফিকেট নবায়ন করতে হবে। Microsoft Intune এর মতো একটি MDM এটিকে SCEP বা একটি অনুরূপ নথিভুক্তকরণ প্রোটোকলের মাধ্যমে স্বয়ংক্রিয় করে। এটি ছাড়া, একটি অনবোর্ডিং টুল ব্যক্তিগত ডিভাইসে সার্টিফিকেট ইনস্টল করতে পারে, তবে ম্যানুয়াল ইনস্টলেশন একটি পাইলট প্রকল্পের বাইরে কার্যকর হয় না।
PEAP-এর তুলনায় EAP-TLS-এর খরচ কেমন?
কোনো প্রোটোকলেরই লাইসেন্স ফি নেই। পার্থক্য হলো অবকাঠামো এবং কর্মীদের সময়। PEAP-এর জন্য একটি RADIUS পরিষেবা, একটি সার্ভার সার্টিফিকেট এবং একটি ডিরেক্টরি প্রয়োজন যা সম্ভবত আপনি ইতিমধ্যেই পরিচালনা করছেন। EAP-TLS ক্লাউডে বা অন-প্রেমিসে একটি PKI এবং সার্টিফিকেট বিতরণ ও নবায়নের জন্য একটি MDM যোগ করে। আপনি যদি ইতিমধ্যেই একটি MDM-এর জন্য অর্থ প্রদান করে থাকেন, তবে অতিরিক্ত খরচ মূলত PKI-এর। এর বিনিময়ে, WiFi পাসওয়ার্ড রিসেট এবং রোটেশন সংক্রান্ত লকআউট দূর হয়ে যায়।
Purple কি আমাদের বর্তমান অ্যাক্সেস পয়েন্টগুলোর সাথে কাজ করবে?
হ্যাঁ। Purple হার্ডওয়্যার-নিরপেক্ষ এবং Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks এবং Fortinet-এ একটি ক্লাউড ওভারলে হিসেবে চলে। এর সবই একটি এক্সটার্নাল RADIUS সার্ভারের সাথে 802.1X সমর্থন করে। আপনার অ্যাক্সেস পয়েন্টগুলো EAP-TLS এবং PEAP-এর মধ্য থেকে পছন্দের ক্ষেত্রে কোনো বাধা তৈরি করে না। কোনো কিছু সম্পূর্ণ পরিবর্তন করার প্রয়োজন নেই: Purple আপনার বর্তমানে পরিচালিত নেটওয়ার্কের ওপর একটি লেয়ার হিসেবে কাজ করে।
অতিথিদের কি EAP-TLS নাকি PEAP ব্যবহার করা উচিত?
না। উভয় প্রোটোকলই একজন পরিচিত ব্যক্তি বা একটি ম্যানেজড ডিভাইস অনুমান করে নেয়, এবং হোটেল, স্টেডিয়াম ও স্টেশনের অতিথিরা এর কোনোটিই নন। অপ্ট-ইন এবং ব্যবহারের শর্তাবলীর জন্য একটি Captive Portal ব্যবহার করুন। Passpoint-এর ওপর তৈরি OpenRoaming ব্যবহার করুন, যাতে পুনরায় ফিরে আসা ডিভাইসগুলো একটি এনক্রিপ্ট করা লিঙ্কের মাধ্যমে স্বয়ংক্রিয়ভাবে কানেক্ট হয়। Purple-এর Guest WiFi উভয়কেই কভার করে, এবং Connect প্ল্যানটিতে OpenRoaming-এর জন্য একটি আইডেন্টিটি প্রোভাইডার অন্তর্ভুক্ত রয়েছে।
2026 সালে কি PEAP ব্যবহার করা এখনও নিরাপদ?
হ্যাঁ, নির্দিষ্ট সীমার মধ্যে। লক করা সার্ভার সার্টিফিকেট ভ্যালিডেশন এবং শক্তিশালী ডিরেক্টরি পাসওয়ার্ড সহ PEAP ব্যক্তিগত ডিভাইসের জন্য একটি যুক্তিসঙ্গত পছন্দ হিসেবে রয়ে গেছে। Windows-এ এর ভূমিকা সংকুচিত হচ্ছে, যেখানে Credential Guard সেভ করা MSCHAPv2 ক্রেডেনশিয়াল ব্লক করে। Microsoft এর বদলে সার্টিফিকেটভিত্তিক অথেন্টিকেশনের পরামর্শ দেয়। প্রতিটি ম্যানেজড Windows ডিভাইসের জন্য EAP-TLS-এর পরিকল্পনা করুন, এবং আপনি যে ডিভাইসগুলো নিয়ন্ত্রণ করেন না সেগুলোর জন্য PEAP রাখুন।
মূল সংজ্ঞাসমূহ
IEEE 802.1X
পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের জন্য IEEE স্ট্যান্ডার্ড। অ্যাক্সেস পয়েন্ট ডিভাইসটির ট্রাফিক এগিয়ে নেওয়ার আগে ডিভাইসটিকে অথেন্টিকেট করতে হয়, যা RADIUS সার্ভারে EAP বার্তা হিসেবে আদান-প্রদান করা হয়।
EAP-TLS এবং PEAP উভয়ই 802.1X-এর ভেতরে চলে, তাই এই গাইডের মূল বিষয় হলো আপনার 802.1X ডিপ্লয়মেন্ট কোন EAP পদ্ধতিটি ব্যবহার করে তা নির্বাচন করা, 802.1X ব্যবহার করবেন কিনা তা নয়।
EAP-TLS
IETF RFC 5216-এ সংজ্ঞায়িত এবং RFC 9190-এ TLS 1.3-এর জন্য আপডেট করা একটি EAP পদ্ধতি। সার্ভার এবং ডিভাইস প্রতিটি একটি ডিজিটাল সার্টিফিকেট প্রদর্শন করে, এবং ডিভাইসটি প্রমাণ করে যে এটি একটি প্রাইভেট কি ধারণ করে যা কখনোই ডিভাইস থেকে বের হয় না।
কর্পোরেট-মালিকানাধীন ল্যাপটপ, পেমেন্ট টার্মিনাল, স্ক্যানার এবং ক্লিনিকাল ডিভাইসের জন্য প্রস্তাবিত পদ্ধতি, কারণ কোনো পাসওয়ার্ড নেটওয়ার্ক অতিক্রম করে না এবং একটি হারানো ডিভাইসের জন্য কেবল একটি সার্টিফিকেট বাতিল করতেই হয়।
PEAP
Protected EAP, যা Microsoft, Cisco এবং RSA Security দ্বারা তৈরি এবং IETF স্ট্যান্ডার্ডের বদলে Microsoft-এর MS-PEAP প্রোটোকল স্পেসিফিকেশনে ডকুমেন্ট করা হয়েছে। কেবল সার্ভার একটি সার্টিফিকেট প্রদান করে; ডিভাইসটি একটি TLS টানেলের মধ্যে ক্রিডেনশিয়াল পাঠায়।
ব্যক্তিগত ফোন এবং ঠিকাদার ডিভাইসের জন্য বিকল্প সমাধান যা আপনি এনরোল করতে পারেন না। এটি কেবল সার্ভার সার্টিফিকেট ভ্যালিডেশন চালু রেখে এবং শক্তিশালী ডিরেক্টরি পাসওয়ার্ড সহ গ্রহণযোগ্য।
MSCHAPv2
Microsoft Challenge Handshake Authentication Protocol version 2, এটি পাসওয়ার্ড-ভিত্তিক ইনার মেথড যা প্রায় সবসময় PEAP-এর ভেতরে ব্যবহৃত হয়। Microsoft Security Advisory 2743314 (2012) সতর্ক করেছে যে আনএনক্যাপসুলেটেড MSCHAPv2 এক্সচেঞ্জ ক্র্যাক করা সম্ভব।
এর দুর্বলতার কারণেই সার্ভার সার্টিফিকেট ভ্যালিডেশন PEAP-এর সুরক্ষা নির্ধারণ করে, এবং এই কারণেই Windows Credential Guard এখন সেভ করা MSCHAPv2 WiFi ক্রিডেনশিয়াল ব্লক করে।
RADIUS
অটেনটিকেশন সার্ভিস যা অ্যাক্সেস পয়েন্ট দ্বারা রিলে করা EAP মেসেজ গ্রহণ করে এবং প্রতিটি 802.1X কানেকশন অনুমোদন বা প্রত্যাখ্যান করে, পাশাপাশি ঐচ্ছিকভাবে ডিভাইসের জন্য VLAN-এর মতো অ্যাট্রিবিউট প্রদান করে।
একটি RADIUS সার্ভিস একই নেটওয়ার্ক নেমে EAP-TLS এবং PEAP উভয়ই গ্রহণ করতে পারে, যা জিরো-ডাউনটাইম মাইগ্রেশন সম্ভব করে তোলে। এটি রিডানডেন্সির সাথে চালান, কারণ অটেনটিকেশন ক্রিকিট্যাল পাথে থাকে।
Evil twin
একটি রোগ (rogue) অ্যাক্সেস পয়েন্ট যা আপনার নেটওয়ার্ক নেম ব্রডকাস্ট করে। একটি PEAP ক্লায়েন্ট যা সার্ভার সার্টিফিকেট ভ্যালিডেশন এড়িয়ে যায়, তা এর সাথে MSCHAPv2 সম্পন্ন করে এবং একটি চ্যালেঞ্জ ও রেসপন্স প্রদান করে।
PEAP-এর মূল ঝুঁকি। সাম্প্রতিক Android সংস্করণগুলোতে ভ্যালিডেশন এড়িয়ে যাওয়ার অপশন সরিয়ে দেওয়া হয়েছে, এবং PCI DSS রিকোয়ারমেন্ট 11.2.1-এ অননুমোদিত অ্যাক্সেস পয়েন্টের জন্য ত্রৈমাসিক যাচাইকরণের প্রয়োজন হয়।
OCSP and CRL
Online Certificate Status Protocol (RFC 6960) এবং সার্টিফিকেট রিভোকেশন লিস্ট, এই দুটি মেকানিজম একটি RADIUS সার্ভার ব্যবহার করে নিশ্চিত করে যে EAP-TLS হ্যান্ডশেকের সময় কোনও ক্লায়েন্ট সার্টিফিকেট রিভোক করা হয়েছে কিনা।
রিভোকেশন চেকিংয়ের মাধ্যমেই প্রতি-ডিভাইস অফবোর্ডিং কাজ করে: একটি সার্টিফিকেট রিভোক করলে কেবল সেই ডিভাইসটি অ্যাক্সেস হারায়।
PKI
Public key infrastructure, যা অন-প্রেমিসেস বা ক্লাউডে পরিচালিত এমন একটি সিস্টেম যা সার্টিফিকেট ইস্যু এবং রিভোক করে। প্রতিটি ক্লায়েন্ট ডিভাইসে সার্টিফিকেট ইস্যু করার জন্য EAP-TLS-এর এটি প্রয়োজন।
EAP-TLS-এর প্রধান প্রারম্ভিক খরচ। আপনি যদি ইতোমধ্যে MDM-এর জন্য অর্থ প্রদান করে থাকেন, তবে PEAP-এর তুলনায় PKI-তেই অতিরিক্ত খরচের বেশিরভাগ অংশ যায়।
SCEP
Simple Certificate Enrollment Protocol, যা RFC 8894-এ নির্দিষ্ট করা হয়েছে, এটি Microsoft Intune-এর মতো MDM প্ল্যাটফর্মগুলো দ্বারা অটোমেটিকভাবে ডিভাইস সার্টিফিকেট অনুরোধ এবং ইনস্টল করতে ব্যবহৃত হয়।
যেভাবে সার্টিফিকেটগুলো স্কেলে ম্যানেজড ডিভাইসে পৌঁছায় এবং মেয়াদ শেষ হওয়ার আগে নবায়ন করা হয়, যে কারণে ম্যানুয়াল ইনস্টলেশন একটি পাইলটের বাইরে স্কেল করে না।
Dynamic VLAN assignment
RFC 3580-এ সংজ্ঞায়িত টানেল অ্যাট্রিবিউট ব্যবহার করে প্রতিটি অটেনটিকেটেড ডিভাইসের জন্য RADIUS কর্তৃক একটি VLAN (ভার্চুয়াল LAN) রিটার্ন করা, যাতে অ্যাক্সেস পয়েন্ট ডিভাইসটিকে সঠিক সেগমেন্টে রাখে।
একটি সফল 802.1X লগইনকে ফ্ল্যাট নেটওয়ার্ক খোলা থেকে বাধা দেয়, যা পেমেন্ট ডিভাইসগুলোকে কর্মীদের ফোন থেকে দূরে এবং কার্ডহোল্ডার ডাটা এনভায়রনমেন্টের নাগালের বাইরে রাখে।
Windows Credential Guard
একটি Windows সিকিউরিটি ফিচার যা, Microsoft-এর ডকুমেন্টেশন অনুযায়ী, সেভ করা ক্রিডেনশিয়াল ব্যবহার করে MSCHAPv2-ভিত্তিক WiFi এবং VPN কানেকশন প্রতিরোধ করে। এটি সংস্করণ 22H2 থেকে উপযুক্ত Windows 11 Enterprise এবং Education ডিভাইসগুলোতে ডিফল্টভাবে সক্রিয় থাকে।
একটি প্ল্যাটফর্ম পরিবর্তন যা ম্যানেজড Windows ফ্লিটের জন্য EAP-TLS-এর দিকে সিদ্ধান্তকে প্রভাবিত করে, কারণ Microsoft সার্টিফিকেট-ভিত্তিক পদ্ধতির সুপারিশ করে।
iPSK
Identity pre-shared key, যাকে PPSK-ও বলা হয়, যা 802.1X সাপ্লিক্যান্ট ছাড়াই একটি নেটওয়ার্ক নেমে প্রতিটি ডিভাইস বা গ্রুপকে নিজস্ব WiFi কি প্রদান করে।
স্মার্ট টিভি, প্রিন্টার এবং সেন্সর যা EAP-TLS বা PEAP চালাতে পারে না সেগুলোর জন্য সঠিক পছন্দ, যা একটি ডেডিকেটেড VLAN-এ রাখা হয়।
সমাধানকৃত উদাহরণসমূহ
একটি ৩০টি প্রোপার্টির হোটেল গ্রুপ কিছু যৌথ Active Directory অ্যাকাউন্ট ব্যবহার করে PEAP-এর মাধ্যমে একই Staff WiFi নেটওয়ার্কে ব্যাক-অফিস ল্যাপটপ, হাউসকিপিং ট্যাবলেট এবং ফ্রন্ট-ডেস্ক পিসি পরিচালনা করে। প্রতিটি হারানো ট্যাবলেটের কারণে একটি যৌথ পাসওয়ার্ড রিসেট করতে হয় এবং এটি ব্যবহারকারী প্রতিটি ডিভাইস পুনরায় কনফিগার করতে হয়।
প্রতিটি ডিভাইস ইতিমধ্যেই একটি MDM-এ এনরোল করা ছিল, তাই টিম একটি ক্লাউড PKI তৈরি করে এবং SCEP (RFC 8894) ব্যবহার করে ডিভাইস সার্টিফিকেট পাঠায়। এরপর Staff WiFi প্রোফাইলটি EAP-TLS-এ পরিবর্তিত হয়, যখন কাটওভারের পুরো সময়জুড়ে একই RADIUS সার্ভিসে PEAP লাইভ ছিল। ডাইনামিক VLAN অ্যাসাইনমেন্ট হাউসকিপিং ট্যাবলেটগুলিকে ফাইন্যান্স ল্যাপটপ থেকে একটি ভিন্ন সেগমেন্টে রাখে। যৌথ WiFi অ্যাকাউন্ট শূন্যে নেমে এসেছে। একটি হারানো ট্যাবলেটের জন্য এখন ডজন ডজন ডিভাইসে পাসওয়ার্ড রিসেট করার বদলে শুধু একটি সার্টিফিকেট বাতিল করতে হয়, এবং পাসওয়ার্ড রোটেশন আর WiFi সংযোগ বিচ্ছিন্ন করে না কারণ এতে কোনো WiFi পাসওয়ার্ডই অবশিষ্ট থাকে না।
একটি শহরের কেন্দ্রস্থলের কনফারেন্স ভেন্যু প্রতি পিক সিজনে প্রায় ৩০০ জন অস্থায়ী কর্মী নিয়োগ করে। তারা ডিউটি শিডিউল এবং রেডিও অ্যাপের জন্য ব্যক্তিগত ফোন ব্যবহার করে, তাদের একটি MDM-এ এনরোল করতে বলা সম্ভব নয়, এবং স্টাফ রুমের নোটিশবোর্ডে পিন করা একটি যৌথ WPA2-Personal পাসওয়ার্ড শেয়ার করেছে।
IT বিভাগ প্রতিটি অস্থায়ী কর্মীর জন্য মেয়াদের শেষ তারিখ সহ একটি ডিরেক্টরি অ্যাকাউন্ট তৈরি করে এবং Staff WiFi-কে PEAP-এ সরিয়ে নেয়। একটি এককালীন অনবোর্ডিং প্রোফাইল প্রতিটি ফোনে বিশ্বস্ত CA এবং সার্ভারের নাম নির্দিষ্ট করে দেয়, যা MDM এনরোলমেন্ট ছাড়াই ইভিল টুইন ঝুঁকি বন্ধ করে। চুক্তির শেষ তারিখে অ্যাকাউন্টগুলি স্বয়ংক্রিয়ভাবে নিষ্ক্রিয় হয়ে যায় এবং দর্শনার্থীরা একটি পৃথক Captive Portal নেটওয়ার্কে থাকে। যৌথ পাসওয়ার্ডটি বন্ধ করে দেওয়া হয়। চাকরি ছেড়ে যাওয়া ব্যক্তিরা পরবর্তী পাসওয়ার্ড পরিবর্তনের বদলে তাদের চুক্তির শেষ তারিখেই অ্যাক্সেস হারান, এবং প্রতিটি ইভেন্টের পর অডিটের জন্য RADIUS লগে প্রতিটি স্টাফ কানেকশন একটি নির্দিষ্ট নামে চিহ্নিত অ্যাকাউন্টের সাথে ম্যাপ করা থাকে।
একটি ১২০টি স্টোরের খুচরা বিক্রেতা প্রতিষ্ঠান যৌথ সার্ভিস অ্যাকাউন্ট সহ PEAP-এ হ্যান্ডহেল্ড স্ক্যানার এবং মোবাইল পয়েন্ট-অফ-সেল ডিভাইস পরিচালনা করে। সেই অ্যাকাউন্টের প্রতিটি নির্ধারিত রোটেশনের ফলে যেসব স্টোরের ডিভাইসে পুরোনো পাসওয়ার্ড থেকে যায় সেগুলিতে রাতারাতি অথেন্টিকেশন ব্যর্থতা ঘটে।
IT বিভাগ তাদের বিদ্যমান MDM-এর মাধ্যমে স্ক্যানার এবং পেমেন্ট ডিভাইসগুলিকে EAP-TLS-এ সরিয়ে নেয়, যা প্রতিটি ডিভাইসকে তার নিজস্ব সার্টিফিকেট দেয়। স্টোর কর্মীদের ফোনগুলি PEAP-তেই থেকে যায়, একটি পৃথক VLAN-এ যার কার্ডহোল্ডার ডেটা এনভায়রনমেন্টের কোনো রুট নেই। রোটেশনের দিনের বিভ্রাট বন্ধ হয়েছে কারণ ইন-স্কোপ ডিভাইসগুলি আর যৌথ পাসওয়ার্ডের ওপর নির্ভর করে না, এবং সার্টিফিকেট বাতিল পুরো স্টোরের বদলে এখন প্রতি ডিভাইসভিত্তিক করা হয়। PCI DSS প্রয়োজনীয়তা 11.2.1-এর অধীনে ত্রৈমাসিক রোগ অ্যাক্সেস পয়েন্ট চেক অপরিবর্তিত থাকে, অন্যদিকে ইন-স্কোপ ডিভাইস থেকে WiFi পাসওয়ার্ড সরিয়ে নেওয়ায় অডিটের জন্য প্রয়োজনীয় প্রমাণের পরিমাণ কমে এসেছে।
অনুশীলনী প্রশ্নসমূহ
Q1. একটি বিশ্ববিদ্যালয়ের IT বিভাগ ২০,০০০ শিক্ষার্থীর জন্য ক্যাম্পাস জুড়ে নিরাপদ WiFi চালু করছে। শিক্ষার্থীরা তাদের নিজস্ব ল্যাপটপ এবং স্মার্টফোন আনছে যাতে Windows, macOS, iOS, এবং Android-এর মিশ্রণ রয়েছে। IT ডিরেক্টর সর্বোচ্চ সুরক্ষার জোর দিচ্ছেন এবং EAP-TLS-এর প্রস্তাব করছেন। আপনার আর্কিটেকচারাল সুপারিশ কী?
ইঙ্গিত: একটি বৈচিত্র্যময় ডিভাইস এস্টেট জুড়ে আনম্যানেজড, ব্যক্তিগত মালিকানাধীন ডিভাইসগুলোতে সার্টিফিকেট ব্যবস্থাপনার অপারেশনাল ওভারহেড বিবেচনা করুন।
মডেল উত্তর দেখুন
এই নির্দিষ্ট ব্যবহারের ক্ষেত্রে EAP-TLS ব্যবহারের বিরুদ্ধে পরামর্শ দিন। যদিও EAP-TLS সর্বোচ্চ সিকিউরিটি প্রদান করে, তবে MDM সলিউশন ছাড়া আনম্যানেজড স্টুডেন্ট ডিভাইসে ২০,০০০+ ক্লায়েন্ট সার্টিফিকেট ডিপ্লয় এবং ম্যানেজ করা একটি অসম্ভব সাপোর্ট বার্ডেন তৈরি করবে। শিক্ষার্থীরা ঘন ঘন ডিভাইস পরিবর্তন করে, এবং MDM অটোমেশন ছাড়া iOS, Android, Windows, এবং macOS জুড়ে সার্টিফিকেট ইনস্টলেশনের অনবোর্ডিং প্রক্রিয়া অত্যন্ত জটিল। ইউনিভার্সিটির স্টুডেন্ট ডিরেক্টরি সার্ভিসের সাথে ইন্টিগ্রেটেড PEAP (অথবা EAP-TTLS) সুপারিশ করুন। সার্ভার সার্টিফিকেট কঠোরভাবে ভ্যালিডেট করার জন্য স্টুডেন্ট ডিভাইসগুলো কনফিগার করতে যেন শক্তিশালী অনবোর্ডিং টুল ব্যবহার করা হয় তা নিশ্চিত করুন। ঐচ্ছিকভাবে, স্টাফদের বিশ্ববিদ্যালয়-ম্যানেজড ডিভাইসগুলোর জন্য একটি আলাদা SSID-এ EAP-TLS ডিপ্লয় করুন, যা একটি টায়ার্ড সিকিউরিটি আর্কিটেকচার তৈরি করবে।
Q2. একটি সিকিউরিটি অডিটের সময়, একজন পেনিট্রেশন টেস্টার একই SSID ব্রডকাস্ট করে এমন একটি রোগ অ্যাক্সেস পয়েন্ট সেট আপ করে আপনার PEAP-সুরক্ষিত ওয়্যারলেস নেটওয়ার্ক থেকে সফলভাবে ইউজার ক্রেডেনশিয়াল সংগ্রহ করে। এই ভালনারেবিলিটির মূল কারণ কী এবং এর প্রতিকার কী?
ইঙ্গিত: PEAP-এ TLS টানেল এস্টাবলিশমেন্ট ফেজের সময় কী ঘটে এবং ক্লায়েন্ট ডিভাইসটি কী চেক করছে - বা করছে না - তা চিন্তা করুন।
মডেল উত্তর দেখুন
এর মূল কারণ হলো সাপ্লিক্যান্ট মিসকনফিগারেশন। ক্লায়েন্ট ডিভাইসগুলোকে RADIUS সার্ভারের ডিজিটাল সার্টিফিকেট কঠোরভাবে ভ্যালিডেট করার জন্য কনফিগার করা হয়নি। যখন রোগ AP একটি ভুয়া সার্টিফিকেট উপস্থাপন করে, তখন ক্লায়েন্ট ডিভাইসগুলো অন্ধভাবে তা বিশ্বাস করে, অ্যাটাকারের সাথে TLS টানেল তৈরি করে এবং MSCHAPv2 অথেন্টিকেশন এক্সচেঞ্জ ট্রান্সমিট করে। অ্যাটাকার এটি অফলাইনে ক্র্যাক করতে পারে। এর প্রতিকার তিনটি ধাপে সম্ভব: (১) সমস্ত ক্লায়েন্ট ডিভাইসে গ্রুপ পলিসি বা MDM প্রোফাইলের মাধ্যমে কঠোর সার্ভার সার্টিফিকেট ভ্যালিডেশন বাধ্য করা; (২) অন্যান্য ডোমেইন থেকে সার্টিফিকেট গ্রহণ প্রতিরোধ করতে সাপ্লিক্যান্ট কনফিগারেশনে সঠিক প্রত্যাশিত RADIUS সার্ভার ডোমেইন নেম উল্লেখ করা; (৩) রোগ অ্যাক্সেস পয়েন্ট সনাক্ত এবং সতর্ক করতে একটি Wireless Intrusion Detection System (WIDS) ডিপ্লয় করা।
Q3. একটি হেলথকেয়ার প্রোভাইডার পেশেন্ট রেকর্ড অ্যাক্সেসকারী মোবাইল নার্সিং ওয়ার্কস্টেশনগুলোকে সাপোর্ট করার জন্য তার নেটওয়ার্ক আপগ্রেড করছে। এই ওয়ার্কস্টেশনগুলো কর্পোরেট-মালিকানাধীন, Microsoft Intune-এর মাধ্যমে IT দ্বারা কঠোরভাবে ম্যানেজ করা হয় এবং এনভায়রনমেন্টটিকে অবশ্যই হেলথকেয়ার ডেটা প্রোটেকশন রেগুলেশন মেনে চলতে হবে। তাদের কি PEAP নাকি EAP-TLS ডিপ্লয় করা উচিত?
ইঙ্গিত: রেগুলেটরি এনভায়রনমেন্ট, ডিভাইস কন্ট্রোলের লেভেল এবং অ্যাক্সেস করা ডেটার সংবেদনশীলতা মূল্যায়ন করুন।
মডেল উত্তর দেখুন
দ্বিধা ছাড়াই EAP-TLS ডিপ্লয় করুন। হেলথকেয়ার এনভায়রনমেন্টে কঠোর কমপ্লায়েন্স এবং ক্রেডেনশিয়াল চুরির বিরুদ্ধে সর্বোচ্চ সিকিউরিটির প্রয়োজন - হেলথকেয়ার নেটওয়ার্কে একটি কম্প্রোমাইজড পাসওয়ার্ড পেশেন্ট রেকর্ড এক্সপোজ করতে পারে এবং GDPR ও খাত-নির্দিষ্ট ডেটা প্রোটেকশন রিকোয়ারমেন্টের অধীনে উল্লেখযোগ্য রেগুলেটরি পেনাল্টি ডেকে আনতে পারে। যেহেতু ডিভাইসগুলো কর্পোরেট-মালিকানাধীন এবং Microsoft Intune-এর মাধ্যমে কঠোরভাবে ম্যানেজ করা হয়, তাই ক্লায়েন্ট সার্টিফিকেট ডিপ্লয় করা অপারেশনালি সম্ভব এবং এটি সম্পূর্ণ স্বয়ংক্রিয় হতে পারে। EAP-TLS প্রয়োজনীয় মিউচুয়াল অথেন্টিকেশন প্রদান করে নিশ্চিত করে যে শুধুমাত্র অথরাইজড, কর্পোরেট-ম্যানেজড ডিভাইসগুলোই ক্লিনিকাল নেটওয়ার্ক অ্যাক্সেস করতে পারে। উপরন্তু, EAP-TLS কমপ্লায়েন্স অডিটকে সহজ করে - নেটওয়ার্ক আর্কিটেকচার রিভিউ করা অডিটররা একটি সার্টিফিকেট-ভিত্তিক, পাসওয়ার্ডহীন অথেন্টিকেশন সিস্টেম দেখতে পাবেন যা পাসওয়ার্ড-ভিত্তিক অল্টারনেটিভগুলোর চেয়ে জন্মগতভাবেই বেশি ডিফেন্সেবল।
প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী
What is the key difference between EAP-TLS and PEAP?
The fundamental difference is mutual authentication using digital certificates. EAP-TLS requires cryptographic X.509 certificates on both the RADIUS server and the client device, completely eliminating passwords and credential-based attacks. PEAP (typically PEAP-MSCHAPv2) only requires a digital certificate on the RADIUS server, while client devices authenticate using traditional usernames and passwords tunneled through an encrypted TLS session.
Why is PEAP-MSCHAPv2 considered vulnerable to credential theft and rogue AP attacks?
PEAP-MSCHAPv2 relies on the client device validating the RADIUS server certificate before transmitting credentials. In practice, unmanaged endpoints and misconfigured supplicants often fail to validate the server certificate or domain name. An attacker operating a rogue access point (Evil Twin) can present a fake certificate, capture the MSCHAPv2 challenge and response exchange, and crack the user password offline using cloud-based dictionary or rainbow table attacks.
Can EAP-TLS be deployed on unmanaged or BYOD devices?
Deploying EAP-TLS on unmanaged personal devices requires an automated onboarding workflow or captive portal onboarding assistant that provisions a short-lived or revocable client certificate. Because manual certificate installation is complex for non-technical users, organisations lacking an automated certificate onboarding mechanism often deploy EAP-TTLS with cloud directory credentials or WPA3-Enterprise with Passpoint profiles for BYOD fleets.
How does Microsoft Entra ID handle EAP-TLS compared to PEAP?
Microsoft Entra ID (formerly Azure AD) does not support legacy password-based authentication protocols like MSCHAPv2 because it does not store password hashes on-premises. As a result, native cloud Entra ID environments cannot directly authenticate PEAP-MSCHAPv2 without legacy hybrid domain controllers. EAP-TLS is the standard for Entra ID networks, pairing Microsoft Intune and Cloud PKI or SCEP with a cloud RADIUS server to authenticate devices based on verified directory identity.
What operational infrastructure is required to manage EAP-TLS client certificates?
EAP-TLS requires a Public Key Infrastructure (PKI) - either an on-premises Certificate Authority (such as AD CS) or a cloud PKI service - and a mobile device management (MDM) platform like Microsoft Intune, Jamf, or Workspace ONE to automatically issue, renew, and revoke certificates via SCEP (RFC 8894) or EST. The wireless network also requires an 802.1X-capable RADIUS server to validate incoming certificate chains and check revocation status via CRL or OCSP.
How does Cloud RADIUS simplify migrating from PEAP to EAP-TLS?
Cloud RADIUS eliminates the need to deploy and patch physical on-premises RADIUS servers (such as Windows Server NPS or FreeRADIUS clusters). Modern cloud RADIUS platforms integrate directly with cloud identity providers like Microsoft Entra ID, Okta, and Google Workspace, validate client certificates dynamically against issuing CAs, and assign role-based VLANs and access policies without on-premises hardware or VPN tunnels.
সূত্রসমূহ
- IETF RFC 5216: The EAP-TLS Authentication Protocol
- IETF RFC 9190: EAP-TLS 1.3
- IETF RFC 3580: IEEE 802.1X RADIUS Usage Guidelines
- Microsoft Security Advisory 2743314
- Microsoft Learn: Credential Guard overview
- PCI Security Standards Council document library (PCI DSS v4.0)
- CA/Browser Forum
- IBM Cost of a Data Breach Report
এই সিরিজে পড়া চালিয়ে যান
WiFi-এর জন্য Microsoft Cloud PKI: Intune এবং Entra ID সহ EAP-TLS সার্টিফিকেট ডিপ্লয়মেন্ট
আপনি সিদ্ধান্ত নিতে পারবেন যে Microsoft Cloud PKI, একটি Cloud PKI root নাকি আপনার নিজস্ব CA (BYOCA) আনা আপনার প্রতিষ্ঠানের সাথে মানানসই। তারপর আপনি NDES ছাড়াই Intune-পরিচালিত ডিভাইসগুলিতে EAP-TLS WiFi সার্টিফিকেট ডিপ্লয় করতে পারবেন। এই নির্দেশিকাটিতে RADIUS কীভাবে চেইনকে ট্রাস্ট করায়, CRL-এর মাধ্যমে সার্টিফিকেট বাতিল করে এবং আটটি সর্বাধিক সাধারণ ত্রুটি সমাধান করে তাও অন্তর্ভুক্ত রয়েছে।
ক্লাউড RADIUS সহ Juniper Mist-এ 802.1X কনফিগার করা
আপনি Juniper Mist-এ একটি WPA2 বা WPA3-Enterprise WLAN কনফিগার করতে পারবেন যা ক্লাউড RADIUS-এর বিরুদ্ধে প্রমানিত হয়, UDP RADIUS, RadSec এবং একটি Mist Edge প্রক্সির মধ্যে সিদ্ধান্ত নিতে পারবেন এবং RADIUS অ্যাট্রিবিউটগুলিকে ডায়নামিক VLAN-এ ম্যাপিং করতে পারবেন। আপনি এটিও জানতে পারবেন যে Mist-এর ক্লায়েন্ট ইনসাইট টাইমেলাইন এবং Marvis ঠিক কোথায় ব্যর্থ প্রমাণীকরণ হয়েছে তা দেখায়।
iOS এবং macOS 802.1X ট্রাবলশুটিং: Intune, Jamf এবং Entra ID-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট
iPhones, iPads এবং Macs কেন Intune বা Jamf Pro-তে 802.1X ব্যর্থ হয় তা সনাক্ত করতে এই চেকলিস্টটি ব্যবহার করুন। প্রতিটি ব্যর্থতার পিছনে চারটি কারণের যেকোনো একটি থাকে: সার্ভার ট্রাস্ট, আইডেন্টিটি সার্টিফিকেট, macOS মোড বা Entra ID গ্রুপ স্কোপিং। আপনি eapolclient এবং RADIUS লগ থেকে এর কারণ নিশ্চিত করবেন, সমাধান প্রয়োগ করবেন এবং ভবিষ্যতের সার্টিফিকেট রোটেশন পরিচালনা করবেন।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।