उच्च शिक्षा में सुरक्षित BYOD और नेटवर्क नामांकन के लिए SCEP को कैसे लागू करें

ब्रिटिश अंग्रेजी में स्पष्ट, आत्मविश्वासी और आधिकारिक लहजे में बात करें। आप एक सीनियर नेटवर्क सुरक्षा सलाहकार हैं जो एक विश्वविद्यालय में IT निदेशकों और CTOs के समूह को ब्रीफिंग दे रहे हैं। आपकी प्रस्तुति संयमित, सीधी और कभी-कभार थोड़ी गंभीर है। आप विभिन्न खंडों के बीच स्वाभाविक रूप से रुकते हैं। गति स्थिर और पेशेवर है, जल्दबाजी वाली नहीं: Purple की इस तकनीकी ब्रीफिंग में आपका स्वागत है। मैं आपको SCEP - Simple Certificate Enrolment Protocol - को लागू करने के बारे में जानने योग्य हर बात के बारे में बताने जा रहा हूँ, ताकि उच्च शिक्षा में सुरक्षित BYOD और नेटवर्क एनरोलमेंट सुनिश्चित किया जा सके। यदि आप किसी विश्वविद्यालय में IT निदेशक या नेटवर्क आर्किटेक्ट हैं, और आप अभी भी अपने कैंपस WiFi पर छात्र उपकरणों को प्रमाणित करने के लिए साझा पासवर्ड या Captive Portals पर निर्भर हैं, तो यह ब्रीफिंग आपके लिए है। [medium pause] आइए समस्या से शुरुआत करते हैं। आज अधिकांश विश्वविद्यालय उस मॉडल का उपयोग कर रहे हैं जिसे मैं 'पहली बार उपयोग पर विश्वास' (trust-on-first-use) मॉडल कहूँगा। एक छात्र आता है, कैंपस SSID से कनेक्ट करता है, अपने विश्वविद्यालय के क्रेडेंशियल टाइप करता है, और वे नेटवर्क पर आ जाते हैं। सरल। परिचित। और, स्पष्ट रूप से कहें तो, एक महत्वपूर्ण सुरक्षा जोखिम। पासवर्ड साझा हो जाते हैं। क्रेडेंशियल फ़िशिंग के शिकार हो जाते हैं। एक सिंगल समझौता किया गया खाता आपके नेटवर्क पर हजारों ऐसे उपकरणों को ला सकता है जिन्हें वहाँ होने का कोई अधिकार नहीं है। और जब आप उसी इंफ्रास्ट्रक्चर पर GDPR दायित्वों, रिसर्च डेटा और भुगतान प्रणालियों को संभाल रहे हों, तो यह ऐसा जोखिम नहीं है जिसे आप उठा सकें। [medium pause] SCEP इसे डिवाइस पहचान लेयर पर हल करता है। पासवर्ड के माध्यम से "आप कौन हैं?" पूछने के बजाय, यह एक क्रिप्टोग्राफिक प्रमाणपत्र के माध्यम से पूछता है कि "आप क्या हैं?"। SCEP - जिसे IETF द्वारा RFC 8894 में औपचारिक रूप से परिभाषित किया गया है - एक ऐसा प्रोटोकॉल है जो प्रबंधित और अप्रबंधित उपकरणों को X.509 डिजिटल प्रमाणपत्र जारी करने, वितरित करने और नवीनीकृत करने की प्रक्रिया को स्वचालित करता है। यह दो दशकों से अधिक समय से एंटरप्राइज़ PKI की रीढ़ रहा है, और यह हर प्रमुख MDM प्लेटफॉर्म द्वारा नेटिव रूप से समर्थित है: Microsoft Intune, JAMF Pro, और VMware Workspace ONE। व्यवहार में एनरोलमेंट फ्लो इस प्रकार काम करता है। जब किसी छात्र का उपकरण आपके ऑनबोर्डिंग SSID से कनेक्ट होता है, तो उस उपकरण पर MDM एजेंट एक की-पेयर (key pair) जनरेट करता है और एक सर्टिफिकेट साइनिंग रिक्वेस्ट - एक CSR बनाता है। वह अनुरोध आपके SCEP गेटवे पर जाता है, जो एक वन-टाइम चैलेंज पासवर्ड को मान्य करता है। गेटवे CSR को आपके सर्टिफिकेट अथॉरिटी को फॉरवर्ड करता है, जो इस पर हस्ताक्षर करती है और डिवाइस को एक अद्वितीय X.509 सर्टिफिकेट वापस करती है। उस बिंदु से आगे, डिवाइस 802.1X EAP-TLS के माध्यम से प्रमाणित करने के लिए उस सर्टिफिकेट का उपयोग करता है - जो कि IEEE 802.1X मानक में परिभाषित सबसे सुरक्षित वायरलेस प्रमाणीकरण विधि है। कोई पासवर्ड नहीं। कोई साझा सीक्रेट्स नहीं। केवल डिवाइस की पहचान का क्रिप्टोग्राफिक प्रमाण। [medium pause] अब, EAP-TLS - Extensible Authentication Protocol with Transport Layer Security - आपके समय के लिए महत्वपूर्ण है। इसके लिए आपसी ऑथेंटिकेशन की आवश्यकता होती है: डिवाइस RADIUS सर्वर को अपनी पहचान साबित करता है, और RADIUS सर्वर डिवाइस को अपनी पहचान साबित करता है। यह ऑथेंटिकेशन लेयर पर मैन-इन-द-मिडल हमलों को समाप्त करता है। इसकी तुलना PEAP-MSCHAPv2 से करें, जो अभी भी व्यापक रूप से उपयोग किया जाता है और क्रेडेंशियल हार्वेस्टिंग के प्रति संवेदनशील माना जाता है। यदि आप आज PEAP चला रहे हैं, तो SCEP के माध्यम से EAP-TLS पर माइग्रेट करना एक महत्वपूर्ण सुरक्षा अपग्रेड है, न कि केवल एक मामूली बदलाव। [medium pause] मैं आपको एक ठोस आर्किटेक्चर देता हूँ। आप तीन SSID चला रहे हैं। पहला आपका सुरक्षित छात्र SSID है - मान लें कि यह VLAN 10 पर UniSecure है। यह 802.1X EAP-TLS के माध्यम से सर्टिफिकेट-ऑथेंटिकेटेड है। केवल वही डिवाइस जुड़ सकते हैं जिनके पास आपके CA द्वारा जारी किया गया वैध सर्टिफिकेट है। दूसरा VLAN 20 पर आपका स्टाफ SSID है, जहाँ प्रबंधित डिवाइसेस को डिवाइस एनरोलमेंट के दौरान Intune या JAMF के माध्यम से स्वचालित रूप से सर्टिफिकेट प्राप्त होते हैं। तीसरा VLAN 30 पर आपका गेस्ट WiFi है - आगंतुकों के लिए एक Captive Portal, जो आपके शैक्षणिक नेटवर्क से पूरी तरह से अलग है। आपका RADIUS सर्वर - चाहे वह Microsoft NPS हो, Cisco ISE, या HPE Aruba ClearPass - एक्सेस पॉइंट्स और आपके सर्टिफिकेट अथॉरिटी के बीच बैठता है, और हर ऑथेंटिकेशन प्रयास पर पॉलिसी लागू करता है। [medium pause] हार्डवेयर के लिए, यह आर्किटेक्चर Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, और Ubiquiti UniFi पर सुचारू रूप से चलता है। SCEP गेटवे आपका मौजूदा Microsoft NDES सर्वर, एक क्लाउड SCEP सर्विस, या एक समर्पित PKI प्लेटफॉर्म हो सकता है। यदि आप पहले से ही Microsoft Entra ID चला रहे हैं, तो Intune के सर्टिफिकेट कनेक्टर के साथ इंटीग्रेशन सीधा और अच्छी तरह से प्रलेखित है। [medium pause] अब मैं आपको दो वास्तविक दुनिया के परिदृश्यों से रूबरू कराता हूँ। पहला एक बड़ा विश्वविद्यालय है जिसमें एक मुख्य कैंपस और चार सैटेलाइट साइटों पर 30,000 छात्र हैं। उनकी चुनौती: छात्र सितंबर में Windows लैपटॉप, मैकबुक, आईफोन और Android डिवाइसेस के साथ आते हैं। पहले, वे विश्वविद्यालय के क्रेडेंशियल्स के साथ PEAP चलाते थे। क्रेडेंशियल साझा करना एक बड़ी समस्या थी। उन्होंने प्रबंधित स्टाफ डिवाइसेस के लिए Intune के साथ SCEP और छात्र BYOD के लिए एक सेल्फ-सर्विस ऑनबोर्डिंग पोर्टल पर माइग्रेट किया। छात्र एक वेब पेज पर जाते हैं, अपने विश्वविद्यालय के सिंगल साइन-ऑन के साथ ऑथेंटिकेट करते हैं, और पोर्टल उनके डिवाइस पर एक SCEP प्रोफाइल पुश करता है। डिवाइस एनरोल करता है, एक सर्टिफिकेट प्राप्त करता है, और स्वचालित रूप से सुरक्षित SSID से कनेक्ट हो जाता है। WiFi ऑथेंटिकेशन से जुड़ी आईटी सपोर्ट कॉल्स पहले टर्म में 60% तक कम हो गईं। सर्टिफिकेट-आधारित ऑथेंटिकेशन ने उन्हें GDPR अनुपालन के लिए एक स्पष्ट ऑडिट ट्रेल भी दिया - वे यह सटीक रूप से प्रदर्शित कर सकते थे कि किसी दिए गए समय में किस डिवाइस ने किस नेटवर्क सेगमेंट को एक्सेस किया। [medium pause] दूसरा परिदृश्य एक उच्च शिक्षा कॉलेज का है जो कंप्यूटर लैब में छात्रों के स्वामित्व वाले Chromebooks और साझा Windows डिवाइसों के मिश्रण का उपयोग कर रहा है। उन्होंने macOS डिवाइसों के लिए JAMF और Chromebooks के लिए Google Workspace के सर्टिफिकेट मैनेजमेंट का उपयोग किया। डिवाइस नामांकन के दौरान प्रत्येक MDM के माध्यम से SCEP प्रोफाइल भेजे गए थे। साझा लैब डिवाइसों को यूजर सर्टिफिकेट के बजाय मशीन सर्टिफिकेट प्राप्त हुए, इसलिए प्रमाणीकरण व्यक्तिगत लॉगिन से जुड़े होने के बजाय डिवाइस-आधारित था। इसका मतलब यह था कि छात्र किसी भी लैब मशीन पर बैठ सकते थे और बिना किसी अतिरिक्त प्रमाणीकरण चरणों के कनेक्ट हो सकते थे। कॉलेज ने IoT डिवाइसों - प्रोजेक्टर, प्रिंटर, स्मार्ट बोर्ड - को भी बिना इंटरनेट राउटिंग के एक अलग VLAN पर विभाजित किया, जिससे उनके हमले का दायरा काफी कम हो गया। [medium pause] आइए कार्यान्वयन की कमियों के बारे में बात करते हैं, क्योंकि कुछ ऐसी चीजें हैं जो टीमों को परेशान करती हैं। पहली है चैलेंज पासवर्ड मैनेजमेंट। रॉ SCEP में, चैलेंज पासवर्ड एक साझा रहस्य होता है। यदि यह स्थिर और लंबे समय तक चलने वाला है, तो यह एक भेद्यता है। प्रति डिवाइस नामांकन के लिए वन-टाइम चैलेंज पासवर्ड जनरेट करने के लिए अपने MDM का उपयोग करें। Intune अपने सर्टिफिकेट कनेक्टर के माध्यम से स्वचालित रूप से ऐसा करता है। यदि आप एक स्टैंडअलोन SCEP सर्वर चला रहे हैं, तो शॉर्ट एक्सपायरी विंडो लागू करें - 15 मिनट एक उचित डिफ़ॉल्ट है। दूसरी कमी सर्टिफिकेट लाइफसाइकिल मैनेजमेंट है। सर्टिफिकेट समाप्त हो जाते हैं। यदि आपके पास स्वचालित नवीनीकरण लागू नहीं है, तो परीक्षा की सुबह छात्र WiFi से कनेक्ट नहीं हो पाएंगे। नवीनीकरण को सर्टिफिकेट की वैधता अवधि के 80% पर ट्रिगर करने के लिए सेट करें। अधिकांश MDM इसे स्वचालित रूप से संभालते हैं, लेकिन लाइव होने से पहले अपने कॉन्फ़िगरेशन को सत्यापित करें। तीसरी कमी BYOD का दायरा बढ़ना है। छात्रों के पास मौजूद हर व्यक्तिगत डिवाइस आपके शैक्षणिक VLAN पर नहीं होना चाहिए। अपनी नामांकन नीति को स्पष्ट रूप से परिभाषित करें: कौन से डिवाइस प्रकार पात्र हैं, कौन से अनुपालन जांच आवश्यक हैं - OS संस्करण, स्क्रीन लॉक, एन्क्रिप्शन - और जब कोई डिवाइस अनुपालन में विफल हो जाता है तो क्या होता है। आपके MDM की कंडीशनल एक्सेस नीतियां कॉन्फ़िगर होने के बाद इसे स्वचालित रूप से लागू करती हैं। [medium pause] उन सवालों के लिए एक त्वरित रैपिड-फायर सेक्शन जो मुझे अक्सर मिलते हैं। क्या SCEP अप्रबंधित व्यक्तिगत डिवाइसों के साथ काम कर सकता है? हाँ, एक सेल्फ-सर्विस ऑनबोर्डिंग पोर्टल के माध्यम से जो एक लाइटवेट SCEP प्रोफाइल पुश करता है। डिवाइस को पूरी तरह से MDM-नामांकित होने की आवश्यकता नहीं है। क्या SCEP eduroam को रिप्लेस करता है? नहीं - eduroam RADIUS फेडरेशन के साथ 802.1X का उपयोग करता है, और SCEP वह तंत्र है जो उन सर्टिफिकेट्स को डिलीवर करता है जिनका उपयोग वे डिवाइस eduroam को प्रमाणित करने के लिए करते हैं। वे पूरक हैं। क्या SCEP GDPR के अनुरूप है? सर्टिफिकेट-आधारित प्रमाणीकरण एक साफ, जिम्मेदार ऑडिट लॉग जेनरेट करता है - डिवाइस पहचान, टाइमस्टैम्प, VLAN असाइनमेंट - जो उपयुक्त तकनीकी सुरक्षा उपायों के आसपास आपके GDPR आर्टिकल 32 दायित्वों का समर्थन करता है। क्या WPA3 कुछ बदलता है? 192-बिट मोड के साथ WPA3-Enterprise EAP-TLS को अनिवार्य बनाता है, जिसके लिए सर्टिफिकेट की आवश्यकता होती है। SCEP स्वाभाविक डिलीवरी तंत्र है। WPA3 और SCEP को एक साथ अपनाना सही आर्किटेक्चरल दिशा है। [medium pause] संक्षेप में, SCEP छात्रों और कर्मचारियों के उपकरणों पर प्रमाणपत्र वितरण को स्वचालित करता है, जिससे आपके कैंपस WiFi पर 802.1X EAP-TLS प्रमाणीकरण सक्षम होता है। यह साझा पासवर्ड को समाप्त करता है, क्रेडेंशियल फ़िशिंग के जोखिम को कम करता है, और आपको एक क्रिप्टोग्राफ़िक रूप से प्रमाणित ऑडिट ट्रेल प्रदान करता है। आर्किटेक्चर हार्डवेयर-अज्ञेयवादी है - यह Cisco Meraki, HPE Aruba, Ruckus, और Juniper Mist पर चलता है। यह Microsoft Entra ID, Okta, और Google Workspace के साथ एकीकृत होता है। और यह एकल-कैंपस कॉलेज से लेकर बहु-स्थान वाले रसेल ग्रुप विश्वविद्यालय तक स्केल करता है। यदि आप इस वर्ष अपने कैंपस WiFi सुरक्षा स्थिति का मूल्यांकन कर रहे हैं, तो EAP-TLS के साथ SCEP वह मानक है जिसकी ओर आपको बढ़ना चाहिए। Purple का प्लेटफ़ॉर्म गेस्ट WiFi और एनालिटिक्स लेयर पर इस आर्किटेक्चर के साथ एकीकृत होता है, जो आपके शैक्षणिक नेटवर्क की सुरक्षा से समझौता किए बिना आपको आगंतुकों के व्यवहार पर फ़र्स्ट-पार्टी डेटा प्रदान करता है। सुनने के लिए धन्यवाद। यदि आप इनमें से किसी भी विषय पर अधिक विस्तार से जानना चाहते हैं, तो संपूर्ण तकनीकी मार्गदर्शिका purple.ai पर उपलब्ध है।