কোনো कर्मचारी চলে গেলে কীভাবে WiFi অ্যাক্সেস বাতিল করবেন

Purple টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগতম। আমি আপনাদের হোস্ট, এবং আজ আমরা এন্টারপ্রাইজ অফবোর্ডিংয়ের অন্যতম সাধারণ ঘাটতি নিয়ে আলোচনা করছি: কোনো কর্মচারী চলে গেলে আসলে WiFi অ্যাক্সেসের কী হয়? এটি শুনতে সহজ মনে হয়। কেউ তার ব্যাজ জমা দেয়, HR তাদের অ্যাকাউন্ট বন্ধ করে দেয় এবং আপনি এগিয়ে যান। কিন্তু আপনার নেটওয়ার্ক যদি এখনও একটি শেয়ার্ড WPA2 পাসওয়ার্ডে চলে, তবে সেই ব্যক্তিটি পাসওয়ার্ড জেনেই দরজা দিয়ে বাইরে চলে গেছেন। এবং আপনি যদি সবার জন্য এটি পরিবর্তন না করেন, তবে তারা কার পার্কিং থেকেও পুনরায় সংযোগ করতে পারে। আজ আমরা এই সমস্যারই সমাধান করছি। আমরা প্রতি-ব্যবহারকারী WiFi অ্যাক্সেস বাতিলকরণের তিনটি নির্ভরযোগ্য মডেল কভার করব, একই দিনে অ্যাক্সেস বাতিলকরণের একটি চেকলিস্টের মধ্য দিয়ে যাব এবং একজন ISO 27001 বা SOC 2 অডিটর আপনার লগে ঠিক কী দেখতে চান তা বিস্তারিত ব্যাখ্যা করব। চলুন শুরু করা যাক। সেকশন এক: কেন শেয়ার্ড পাসওয়ার্ড এই কাজের জন্য ভুল টুল। WPA2-Personal, যা সাধারণ হোম-রাউটার সেটআপ, একটি একক প্রি-শেয়ার্ড কী ব্যবহার করে। নেটওয়ার্কের প্রত্যেকে একই পাসওয়ার্ড জানে। যখন একজন ব্যক্তি চলে যান, তখন সেই পাসওয়ার্ডটি তাদের ফোন, তাদের ল্যাপটপ বা তাদের সংযুক্ত করা যেকোনো ডিভাইসে তখনও বৈধ থাকে। তাদের অ্যাক্সেস বাতিল করার একমাত্র উপায় হলো পুরো নেটওয়ার্কের পাসওয়ার্ড পরিবর্তন করা এবং বাকি সমস্ত ব্যবহারকারী ও ডিভাইসে তা পুনরায় বিতরণ করা। ২০০ জন কর্মী বিশিষ্ট একটি হোটেলে এর অর্থ হলো প্রতিটি পয়েন্ট-অফ-সেল টার্মিনাল, প্রতিটি ব্যাক-অফিস PC, প্রতিটি ম্যানেজারের ফোন আপডেট করা। ৫০টি স্টোর বিশিষ্ট একটি রিটেইল চেইনে এর অর্থ হলো প্রতিটি সাইটে একটি সমন্বित রোলআউট করা। এর অপারেশনাল খরচ অনেক বেশি, ব্যাঘাতটি বাস্তব এবং চলে যাওয়া ব্যক্তির শেষ দিন এবং পাসওয়ার্ড পরিবর্তন সম্পন্ন হওয়ার মধ্যবর্তী সময়টি একটি প্রকৃত নিরাপত্তা ঘাটতি। পেমেন্ট কার্ড ইন্ডাস্ট্রির স্ট্যান্ডার্ড PCI-DSS-এর জন্য প্রয়োজনীয়ता হলো, যখনই কোনো কর্মী চলে যান যিনি শেয়ার্ড ক্রেডেনশিয়াল জানেন, তখনই তা পরিবর্তন করতে হবে। তাই আপনার ক্যাশ রেজিস্টারগুলো যদি আপনার স্টাফ WiFi-এর মতো একই নেটওয়ার্কে থাকে, তবে একজন কর্মচারীর চলে যাওয়া কেবল একটি সর্বোত্তম অনুশীলনের সুপারিশ নয়, বরং একটি কমপ্লায়েন্সের বাধ্যবাধকতা তৈরি করে। মূল कारणটি সহজ: একটি শেয়ার্ড পাসওয়ার্ডের সাথে কোনো আইডেন্টিটি যুক্ত থাকে না। নেটওয়ার্ক একজন বর্তমান कर्मचारी और एक पूर्व कर्मचारी के बीच अंतर नहीं कर सकता है। इसे ठीक करने के लिए, आपको प्रति-उपयोगकर्ता क्रेडेंशियल्स की आवश्यकता है। सेक्शन दो: तीन मॉडल जो वास्तव में काम करते हैं। मॉडल एक EAP-TLS सर्टिफिकेट-आधारित ऑथेंटिकेशन के साथ 802.1X है। यह एंटरप्राइज़ WiFi सुरक्षा के लिए गोल्ड स्टैंडर्ड है। इस मॉडल में, प्रत्येक उपयोगकर्ता या डिवाइस आपके Certificate Authority या CA द्वारा जारी एक अद्वितीय डिजिटल सर्टिफिकेट रखता है। जब वे WiFi से कनेक्ट होते हैं, तो RADIUS सर्वर उस सर्टिफिकेट को क्रिप्टोग्राफिक रूप से सत्यापित करता है। सर्टिफिकेट एक पहचान से जुड़ा होता है, पासवर्ड से नहीं। एक्सेस रद्द करने के लिए, आप CA स्तर पर सर्टिफिकेट रद्द करते हैं। RADIUS सर्वर OCSP (Online Certificate Status Protocol) का उपयोग करके वास्तविक समय में निरस्तीकरण स्थिति की जांच करता है। जब आप किसी सर्टिफिकेट को निरस्त के रूप में चिह्नित करते हैं, तो अगली बार जब वह डिवाइस प्रमाणित करने का प्रयास करता है, तो RADIUS सर्वर OCSP रिस्पॉन्डर से पूछताछ करता है, एक निरस्त प्रतिक्रिया प्राप्त करता है, और एक्सेस पॉइंट को एक Access-Reject भेजता है। डिवाइस अगले प्रमाणीकरण प्रयास के कुछ सेकंड के भीतर नेटवर्क से बाहर हो जाता है। सक्रिय सत्रों के लिए, आप मौजूदा सत्र को तुरंत समाप्त करने के लिए RADIUS Change of Authorisation या CoA का उपयोग करते हैं। संयुक्त रूप से, OCSP और CoA का अर्थ है कि आप एक मिनट से भी कम समय में जाने वाले व्यक्ति का WiFi एक्सेस रद्द कर सकते हैं, जिसका पूरा ऑडिट ट्रेल आपके RADIUS लॉग में होता है। EAP-TLS के साथ चुनौती PKI ओवरहेड है। आपको एक Certificate Authority, उपकरणों को सर्टिफिकेट जारी करने का एक तंत्र (आमतौर पर Microsoft Intune जैसे MDM के माध्यम से) और उन्हें रद्द करने की एक प्रक्रिया की आवश्यकता होती है। परिपक्व MDM और पहचान बुनियादी ढांचे वाले संगठनों के लिए, यही सही उत्तर है। छोटे संगठनों या IoT उपकरणों वाले वातावरण के लिए जो सर्टिफिकेट प्रमाणीकरण का समर्थन नहीं कर सकते हैं, आपको एक अलग दृष्टिकोण की आवश्यकता है। मॉडल दो iPSK, Identity Pre-Shared Key है। Cisco इसे iPSK कहता है, Ruckus इसे DPSK कहता है, Aruba इसे MPSK कहता है, लेकिन अवधारणा वही है: प्रत्येक उपयोगकर्ता या डिवाइस को एक अद्वितीय पासवर्ड मिलता है, भले ही वे सभी एक ही SSID से कनेक्ट हों। RADIUS सर्वर प्रत्येक अद्वितीय कुंजी को एक विशिष्ट पहचान और वैकल्पिक रूप से एक विशिष्ट VLAN से मैप करता है। जब आप RADIUS डेटाबेस से उस कुंजी को हटाते हैं, तो डिवाइस अब प्रमाणित नहीं हो सकता है। जाने वाले व्यक्ति का प्रभाव क्षेत्र (blast radius) ठीक एक व्यक्ति है। बाकी सभी की चाबियां वैध रहती हैं। iPSK विशेष रूप से मिश्रित डिवाइस प्रकारों वाले वातावरण के लिए उपयुक्त है। IoT डिवाइस, पॉइंट-ऑफ-सेल टर्मिनल और लीगेसी हार्डवेयर जो 802.1X सर्टिफिकेट का समर्थन नहीं कर सकते हैं, वे सभी iPSK का उपयोग कर सकते हैं। यह एक पूर्ण PKI परिनियोजन की तुलना में संचालित करने में भी सरल है, जो बुनियादी ढांचे के ओवरहेड के बिना प्रति-उपयोगकर्ता निरस्तीकरण की आवश्यकता वाले मध्यम आकार के संगठनों के लिए इसे सही विकल्प बनाता है। iPSK के लिए निरस्तीकरण का समय आमतौर पर कुछ मिनट होता है, सेकंड नहीं। कुंजी विलोपन RADIUS सर्वर पर प्रसारित होता है, लेकिन सक्रिय सत्र तब तक बने रह सकते हैं जब तक कि डिवाइस फिर से प्रमाणित न हो जाए या जब तक आप जबरन डिस्कनेक्ट करने के लिए CoA पैकेट न भेजें। मॉडल तीन SCIM-संचालित डीप्रोविज़निंग है। SCIM का अर्थ System for Cross-domain Identity Management है। यह एक खुला मानक है, जिसे RFC 7643 और RFC 7644 में परिभाषित किया गया है, जो आपके पहचान प्रदाता को वास्तविक समय में डाउनस्ट्रीम सिस्टम में उपयोगकर्ता जीवनचक्र घटनाओं को भेजने की अनुमति देता है। व्यवहार में यह कैसे काम करता है यह यहाँ दिया गया है। आपका पहचान प्रदाता, चाहे वह Microsoft Entra ID, Okta, या Google Workspace हो, उपयोगकर्ता खातों के लिए सत्य का आधिकारिक स्रोत है। जब HR विभाग पहचान प्रदाता में जाने वाले व्यक्ति का खाता निष्क्रिय करता है, तो SCIM आपके WiFi प्रबंधन प्लेटफ़ॉर्म सहित प्रत्येक कनेक्टेड सिस्टम को एक अनुरोध भेजता है। Purple SCIM के माध्यम से आपके पहचान प्रदाता से जुड़ता है। जैसे ही आप Entra ID, Okta, या Google Workspace में किसी उपयोगकर्ता को निष्क्रिय करते हैं, Purple SCIM इवेंट प्राप्त करता है और अगले प्रमाणीकरण पर उनके WiFi क्रेडेंशियल्स को रद्द कर देता है। घटना को टाइमस्टैम्प, उपयोगकर्ता की पहचान और की गई कार्रवाई के साथ लॉग किया जाता है। वह लॉग प्रविष्टि ठीक वही है जो एक ISO 27001 ऑडिटर देखना चाहता है। SCIM 802.1X या iPSK को प्रतिस्थापित नहीं करता है। यह उनके ऊपर काम करता है। SCIM पहचान जीवनचक्र का प्रबंधन करता है; प्रमाणीकरण प्रोटोकॉल नेटवर्क प्रवर्तन का प्रबंधन करता है। SCIM और 802.1X का संयोजन आपको एक पूर्ण ऑडिट ट्रेल और शून्य मैन्युअल चरणों के साथ स्वचालित, वास्तविक समय निरस्तीकरण प्रदान करता है। सेक्शन तीन: उसी दिन निरस्तीकरण की चेकलिस्ट। जब जाने वाले व्यक्ति का अंतिम दिन आता है, तो आपकी IT टीम को जिस अनुक्रम का पालन करना चाहिए वह यहाँ दिया गया है। धাপ এক: আপনার আইডেন্টিটি প্রোভাইডারে অ্যাকাউন্টটি নিষ্ক্রিয় করুন। এটি অন্য সবকিছুর জন্য ট্রিগার। Microsoft Entra ID-তে অ্যাকাউন্টটি নিষ্ক্রিয় (disabled) হিসেবে সেট করুন। Okta-তে ব্যবহারকারীকে নিষ্ক্রিয় (deactivate) করুন। Google Workspace-এ অ্যাকাউন্টটি স্থগিত (suspend) করুন। ধাপ দুই: আপনি যদি SCIM ব্যবহার করেন, তবে ডিপ্রোভিশনিং ইভেন্টটি কার্যকর হয়েছে কিনা তা যাচাই করুন। সংশ্লিষ্ট ইভেন্টের জন্য আপনার SCIM লগ বা আপনার WiFi ম্যানেজমেন্ট প্ল্যাটফর্ম পরীক্ষা করুন। যদি SCIM চালু না থাকে, তবে আপনার CA-তে ম্যানুয়ালি সার্টিফিকেটটি বাতিল করুন অথবা আপনার RADIUS ডেটাবেস থেকে iPSK কী-টি মুছে দিন। ধাপ তিন: যেকোনো সক্রিয় WiFi সেশন বন্ধ করতে একটি RADIUS CoA পাঠান। বেশিরভাগ এন্টারপ্রাইজ RADIUS সার্ভার এবং Purple-এর মতো প্ল্যাটফর্মগুলো একটি ডিপ্রোভিশনিং ইভেন্টে এটি স্বয়ংক্রিয়ভাবে করতে পারে। আপনি যদি এটি ম্যানুয়ালি করেন, তবে MAC অ্যাড্রেস বা সেশন ID দ্বারা ব্যবহারকারীর ডিভাইসটি ডিসকানেক্ট করতে আপনার RADIUS সার্ভারের CoA ইন্টারফেস ব্যবহার করুন। ধাপ চার: কোনো সক্রিয় সেশন অবশিষ্ট নেই তা নিশ্চিত করুন। আপনার WiFi কন্ট্রোলার ড্যাশবোর্ড পরীক্ষা করুন। Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, বা Fortinet-এ আপনি ইউজারনেম বা ডিভাইস দ্বারা অনুসন্ধান করতে এবং শূন্য সক্রিয় অ্যাসোসিয়েশন নিশ্চিত করতে সক্ষম হবেন। ধাপ পাঁচ: অডিট লগ এন্ট্রিটি আর্কাইভ করুন। সংশ্লিষ্ট ব্যবহারকারী এবং তারিখের জন্য RADIUS অথেন্টিকেশন লগ, SCIM ইভেন্ট লগ এবং CoA লগ এক্সপোর্ট বা ফ্ল্যাগ করুন। এগুলো আপনার ITSM বা সিকিউরিটি ইনফরমেশন অ্যান্ড ইভেন্ট ম্যানেজমেন্ট প্ল্যাটফর্মে সংরক্ষণ করুন। ISO 27001 Annex A কন্ট্রোল A.9.2.6 অনুযায়ী চাকরি বা চুক্তি অবসানের পর সমস্ত কর্মচারী এবং ঠিকাদারের অ্যাক্সেস অধিকার সরিয়ে নেওয়া বা সামঞ্জस्य করা প্রয়োজন। আপনার লগটিই হলো এর প্রমাণ। ধাপ ছয়: আপনি যদি WPA2 শেয়ার্ড PSK ব্যবহার করেন এবং উপরের কোনোটিই প্রযোজ्य না হয়, তবে পাসওয়ার্ড পরিবর্তন করুন। সম্ভব হলে চলে যাওয়া ব্যক্তির শেষ দিনের আগে বা তার ঠিক পরে সমস্ত সাইট এবং ডিভাইসে রোলআউটটি সমন্বয় করুন। सेक्शन चार: ऑडिटर क्या उम्मीद करता है। ISO 27001 और SOC 2 दोनों के लिए आपको यह प्रदर्शित करने की आवश्यकता होती है कि रोजगार समाप्त होने पर तुरंत पहुंच हटा दी जाती है। विशेष रूप से WiFi के लिए, ऑडिटर चार चीजें देखते हैं। पहला, एक प्रलेखित ऑफबोर्डिंग प्रक्रिया जिसमें स्पष्ट रूप से नेटवर्क एक्सेस शामिल है। दूसरा, सबूत कि पिछले बारह महीनों से चुने गए आमतौर पर 10 से 25 जाने वाले लोगों के नमूने के लिए प्रक्रिया का पालन किया गया था। तीसरा, एक लॉग जो खाता निष्क्रिय करने का टाइमस्टैम्प और WiFi एक्सेस निरस्तीकरण का टाइमस्टैम्प दिखाता है, जिसके बीच का समय अंतराल स्पष्ट रूप से दिखाई देता है। चौथा, यह पुष्टि कि किसी भी पूर्व कर्मचारी के खाते में सक्रिय WiFi सत्र नहीं है। यदि आप WPA2 साझा PSK चला रहे हैं, तो आप आइटम तीन और चार के लिए सबूत पेश नहीं कर सकते। कोई प्रति-उपयोगकर्ता लॉग नहीं है। आप अधिक से अधिक पासवर्ड रोटेशन की तारीख दिखा सकते हैं और तर्क दे सकते हैं कि यह जाने वाले व्यक्ति के अंतिम दिन से पहले या उस दिन पूरा हो गया था। ऑडिटर तेजी से इस पर आपत्ति जता रहे हैं। यदि आप SCIM के साथ 802.1X चला रहे हैं, तो लॉग स्वचालित है। Purple प्रत्येक SCIM डीप्रोविज़निंग इवेंट को UTC टाइमस्टैम्प, पहचान प्रदाता स्रोत, उपयोगकर्ता के अद्वितीय पहचानकर्ता और परिणामी कार्रवाई के साथ रिकॉर्ड करता है। यह एक साफ, ऑडिट योग्य रिकॉर्ड है। सेक्शन पांच: कार्यान्वयन की त्रुटियां और उनसे कैसे बचें। सबसे आम गलती यह मान लेना है कि पहचान प्रदाता में खाता निष्क्रिय करना ही पर्याप्त है। यह पर्याप्त नहीं है, जब तक कि आपका WiFi प्लेटफ़ॉर्म SCIM या इसी तरह के वास्तविक समय एकीकरण के माध्यम से उस पहचान प्रदाता से जुड़ा न हो। उस कनेक्शन के बिना, WiFi सिस्टम के पास यह जानने का कोई तरीका नहीं है कि खाता निष्क्रिय कर दिया गया था। दूसरी त्रुटि सर्टिफिकेट कैशिंग है। OCSP के बावजूद, RADIUS सर्वर एक विन्यास योग्य अवधि (आमतौर पर 15 से 60 मिनट) के लिए अच्छी प्रतिक्रियाओं को कैश करते हैं। यदि आप एक सर्टिफिकेट रद्द करते हैं और RADIUS सर्वर में एक कैश्ड अच्छी प्रतिक्रिया है, तो कैश समाप्त होने तक डिवाइस प्रमाणित होना जारी रख सकता है। उच्च-सुरक्षा वातावरण के लिए अपने OCSP कैश TTL को 15 मिनट या उससे कम पर सेट करें। तीसरी त्रुटि सक्रिय सत्रों को भूल जाना है। क्रेडेंशियल रद्द करना नए प्रमाणीकरण को रोकता है लेकिन मौजूदा WiFi सत्र को समाप्त नहीं करता है। डिवाइस को तुरंत डिस्कनेक्ट करने के लिए क्रेडेंशियल रद्द करने के बाद हमेशा RADIUS CoA भेजें। चौथी त्रुटि IoT और साझा डिवाइस हैं। जाने वाले व्यक्ति की पहचान पर पंजीकृत डिवाइस एक साझा वर्कस्टेशन या परिचालन हार्डवेयर का एक टुकड़ा हो सकता है। रद्द करने से पहले, पुष्टि करें कि डिवाइस व्यक्तिगत है, साझा नहीं। यदि यह साझा है, तो जाने वाले व्यक्ति के क्रेडेंशियल रद्द करने से पहले इसे एक सेवा खाते के तहत फिर से पंजीकृत करें। सेक्शन छह: त्वरित प्रश्नोत्तर। प्रश्न: सर्टिफिकेट-आधारित WiFi एक्सेस कितनी तेजी से रद्द किया जा सकता है? OCSP और RADIUS CoA के साथ, CA पर सर्टिफिकेट रद्द करने के क्षण से 60 सेकंड से भी कम समय में। अगला प्रमाणीकरण प्रयास होने पर OCSP जांच होती है। CoA सक्रिय सत्र को तुरंत समाप्त कर देता है। प्रश्न: क्या SCIM सभी WiFi हार्डवेयर के साथ काम करता है? SCIM पहचान प्रबंधन परत पर काम करता है, हार्डवेयर परत पर नहीं। Purple हार्डवेयर-अज्ञेयवादी है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, और Fortinet के साथ काम करता है। SCIM एकीकरण सीधे एक्सेस पॉइंट के साथ नहीं, बल्कि Purple के साथ होता है। प्रश्न: क्या होगा यदि हमारे पास कोई MDM नहीं है और हम सर्टिफिकेट तैनात नहीं कर सकते हैं? iPSK आपका उत्तर है। यह आपको सर्टिफिकेट बुनियादी ढांचे की आवश्यकता के बिना प्रति-उपयोगकर्ता निरस्तीकरण प्रदान करता है। Purple iPSK कुंजियों का प्रबंधन कर सकता है और जीवनचक्र को स्वचालित करने के लिए आपके पहचान प्रदाता से जुड़ सकता है। सार और अगले कदम। मुख्य संदेश यह है: यदि आप बाकी सभी को प्रभावित किए बिना केवल एक व्यक्ति का WiFi एक्सेस रद्द नहीं कर सकते हैं, तो आपके पास एक साझा-क्रेडेंशियल समस्या है। इसका समाधान प्रति-उपयोगकर्ता क्रेडेंशियल है, चाहे वह 802.1X EAP-TLS के माध्यम से सर्टिफिकेट हो या iPSK के माध्यम से अद्वितीय कुंजी हो, जिसके साथ SCIM-संचालित डीप्रोविज़निंग को जोड़कर HR के कार्रवाई करते ही निरस्तीकरण को स्वचालित किया जा सकता है। Purple SCIM के माध्यम से Microsoft Entra ID, Okta, और Google Workspace से जुड़ता है, 80,000 से अधिक लाइव स्थानों पर चलता है, और ऑडिट के लिए प्रत्येक डीप्रोविज़निंग इवेंट को लॉग करता है। यदि आप ISO 27001 या SOC 2 की तैयारी कर रहे हैं, या केवल घटना बनने से पहले जाने वाले कर्मचारियों के अंतर को बंद करना चाहते हैं, तो यहीं से शुरू करें। सर्टिफिकेट निरस्तीकरण और OCSP के पूर्ण तकनीकी विश्लेषण के लिए, WiFi प्रमाणीकरण के लिए OCSP और सर्टिफिकेट निरस्तीकरण पर हमारा गाइड देखें। व्यापक जॉइनर-मूवर-लीवर स्वचालन के लिए, हमारा एंटरप्राइज़ WiFi सुरक्षा गाइड देखें। Purple टेक्निकल ब्रीफिंग सुनने के लिए धन्यवाद।