Cisco SUDI को समझना: सुरक्षित नेटवर्क एक्सेस कंट्रोल में हार्डवेयर-एंकर वाली पहचान

एक आत्मविश्वासी, आधिकारिक और संवादात्मक टोन में ब्रिटिश अंग्रेजी में बोलें - जैसे कोई सीनियर नेटवर्क सुरक्षा सलाहकार वर्किंग लंच के दौरान किसी क्लाइंट को जानकारी दे रहा हो। नपी-तुली गति, स्पष्ट अभिव्यक्ति और बीच-बीच में थोड़ा हास्य। कोई उपदेश नहीं। कोई सेल्स पिच नहीं। एक पीयर-टू-पीयर तकनीकी ब्रीफिंग: Purple तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एक ऐसे विषय पर चर्चा कर रहे हैं जो अक्सर एंटरप्राइज नेटवर्क डिप्लॉयमेंट में सामने आता है - Cisco SUDI। यानी Secure Unique Device Identifier। यदि आप इस बारे में सीधे उत्तर की तलाश कर रहे हैं कि यह वास्तव में क्या करता है, यह 802.1X ऑथेंटिकेशन में कैसे फिट बैठता है, और क्या यह आपके वेन्यू या कैंपस नेटवर्क के लिए मायने रखता है, [short pause] तो आप सही जगह पर हैं। आइए मूल समस्या से शुरुआत करें। अधिकांश एंटरप्राइज नेटवर्क अभी भी डिवाइसों की पहचान करने के लिए MAC एड्रेस पर निर्भर करते हैं। MAC Authentication Bypass - या MAB - हर जगह है। समस्या यह है कि MAC एड्रेस को आसानी से स्पूफ (spoof) किया जा सकता है। एक लैपटॉप और पंद्रह मिनट के समय के साथ एक दुर्भावनापूर्ण व्यक्ति किसी विश्वसनीय एक्सेस पॉइंट के MAC एड्रेस का क्लोन बना सकता है और सीधे आपके नेटवर्क में प्रवेश कर सकता है। यह कोई सैद्धांतिक जोखिम नहीं है। यह एक प्रलेखित हमला करने का जरिया है, और यह कुछ ऐसा है जिसे PCI-DSS 4.0 विशेष रूप से कार्डहोल्डर डेटा एनवायरनमेंट के लिए अपर्याप्त बताता है। तो सवाल यह उठता है: आप कैसे साबित करते हैं कि कोई डिवाइस वही है जो वह होने का दावा करता है? केवल यह नहीं कि "इसके पास सही MAC एड्रेस है" - बल्कि वास्तविक रूप से, क्रिप्टोग्राफ़िक रूप से इसे साबित करना। यहीं पर SUDI काम आता है। [short pause] Cisco का Secure Unique Device Identifier एक X.509 वर्शन 3 सर्टिफिकेट है, जिसे मैन्युफैक्चरिंग के दौरान डिवाइस के Trust Anchor मॉड्यूल - TAm चिप - में बर्न किया जाता है। सर्टिफिकेट में प्रोडक्ट आइडेंटिफायर और सीरियल नंबर शामिल होता है, और यह Cisco की पब्लिक रूट सर्टिफिकेट अथॉरिटी से जुड़ा होता है। प्राइवेट की (private key) TAm चिप के अंदर जनरेट होती है और कभी भी एक्सपोर्ट नहीं की जाती है। कभी भी नहीं। आप इसका क्लोन नहीं बना सकते। आप इसे स्पूफ नहीं कर सकते। पहचान शारीरिक रूप से सिलिकॉन से बंधी होती है। यह SUDI को IEEE 802.1AR का एक इम्प्लीमेंटेशन बनाता है - जो Secure Device Identifiers का मानक है। 802.1AR शब्दावली में, SUDI एक IDevID - एक Initial Device Identifier है। यह फ़ैक्टरी-इंस्टॉल की गई पहचान है जो साबित करती है कि डिवाइस एक वास्तविक Cisco प्रोडक्ट है, जिसे एक ज्ञात सुविधा में, एक ज्ञात सीरियल नंबर के साथ बनाया गया है। अब, व्यवहार में इसका क्या महत्व है? आइए ऑथेंटिकेशन फ्लो को समझते हैं। जब कोई Cisco डिवाइस - मान लीजिए, एक Catalyst स्विच या एक Meraki एक्सेस पॉइंट - आपके नेटवर्क से जुड़ता है, तो यह एक 802.1X सप्लीकेंट के रूप में कार्य कर सकता है। यह अपना SUDI सर्टिफिकेट नेटवर्क के ऑथेंटिकेटर को प्रस्तुत करता है, जो आमतौर पर एक स्विच पोर्ट या वायरलेस कंट्रोलर होता है। ऑथेंटिकेटर उस क्रेडेंशियल को RADIUS सर्वर पर फॉरवर्ड करता है - Cisco ISE इसके लिए सबसे आम विकल्प है, लेकिन कोई भी RFC 2865-कंप्लायंट RADIUS सर्वर काम कर सकता है। RADIUS सर्वर Cisco के रूट CA तक सर्टिफिकेट चेन को वैलिडेट करता है। यदि चेन मान्य है, तो डिवाइस वास्तविक है। एक्सेस प्रदान किया जाता है, और उपयुक्त VLAN असाइन किया जाता है।पूरा एक्सचेंज EAP-TLS - Extensible Authentication Protocol with Transport Layer Security - का उपयोग करता है जो कि आपसी प्रमाणीकरण (mutual authentication) का प्रकार है। डिवाइस और नेटवर्क दोनों एक-दूसरे को प्रमाणित करते हैं। कोई पासवर्ड नहीं। कोई साझा रहस्य नहीं। कोई MAC एड्रेस नहीं। केवल क्रिप्टोग्राफ़िक प्रमाण। [short pause] आइए Zero Touch Provisioning के बारे में बात करते हैं, क्योंकि यहीं पर SUDI बड़े स्तर के परिनियोजन (deployments) के लिए वास्तव में उपयोगी हो जाता है। कल्पना करें कि आप एक होटल श्रृंखला में 200 एक्सेस पॉइंट तैनात कर रहे हैं, या 40 रिटेल स्थानों पर नेटवर्क इंफ्रास्ट्रक्चर स्थापित कर रहे हैं। पारंपरिक रूप से, इसका मतलब है कि प्रत्येक साइट पर एक तकनीशियन का होना, जो मैन्युअल रूप से प्रत्येक डिवाइस को कॉन्फ़िगर करता है। SUDI-आधारित ZTP के साथ, डिवाइस बूट होता है, एक प्रोविज़निंग सर्वर को अपनी SUDI पहचान प्रस्तुत करता है, सर्वर प्रमाणपत्र को मान्य करता है, आपकी इन्वेंट्री के साथ सीरियल नंबर की पुष्टि करता है, और सही कॉन्फ़िगरेशन को पुश करता है - जो कि एन्क्रिप्टेड होता है, ताकि केवल वही विशिष्ट डिवाइस इसे डिक्रिप्ट कर सके। तकनीशियन का काम केवल भौतिक स्थापना तक सीमित हो जाता है। नेटवर्क बाकी काम संभाल लेता है। हॉस्पिटैलिटी और रिटेल ऑपरेटरों के लिए, यह एक महत्वपूर्ण परिचालन बचत है। उदाहरण के लिए, Premier Inn सैकड़ों संपत्तियों का संचालन करता है। किसी साइट पर प्री-रैक्ड हार्डवेयर भेजने और एक ज्ञात पहचान के साथ इसे स्वयं-कॉन्फ़िगर करने की क्षमता, दो-दिवसीय कमीशनिंग विजिट और दो-घंटे की विजिट के बीच का अंतर है। [short pause] अब आइए प्रमाणपत्र जीवनचक्र (certificate lifecycle) में आते हैं, क्योंकि यहीं पर टीमें कभी-कभी फंस जाती हैं। मूल SUDI प्रमाणपत्र निर्माण की तारीख से दस साल की वैधता अवधि के साथ जारी किए गए थे, जिसकी अंतिम सीमा 14 मई 2029 थी। Cisco ने प्रभावित उत्पादों को कवर करने वाले फील्ड नोटिस - FN 72094 और FN 72105 - जारी किए। मई 2019 के बाद निर्मित उपकरणों में दस वर्ष से कम की अवधि होती है। जब SUDI समाप्त हो जाता है, तो TLS के लिए इस पर निर्भर रहने वाली विशेषताएं - HTTPS प्रबंधन इंटरफ़ेस, SSH प्रमाणपत्र प्रमाणीकरण, ZTP - काम करना बंद कर सकती हैं। डिवाइस स्वयं काम करना जारी रखता है; यह ख़राब नहीं होगा। लेकिन वे विशिष्ट प्रमाणित सेवाएं बाधित हो जाती हैं। Cisco की प्रतिक्रिया नए हार्डवेयर पर SUDI-2099 प्रमाणपत्र पेश करने की थी, जो दिसंबर 2099 तक मान्य हैं। यदि आप आज Cisco इंफ्रास्ट्रक्चर की खरीद कर रहे हैं, तो आपको SUDI-2099 मिल रहा है। यदि आपके पास फील्ड में पुराने उपकरण हैं, तो IOS या IOS-XE पर "show crypto pki certificates" के साथ अपनी समाप्ति तिथियों की जांच करें। उसी के अनुसार अपने रिफ्रेश चक्र की योजना बनाएं। [short pause] ठीक है, कार्यान्वयन की सिफारिशें। तीन चीजें जो मैं SUDI-आधारित प्रमाणीकरण को तैनात करने वाले किसी भी आईटी मैनेजर को बताऊंगा। पहला: अपनी RADIUS नीति को केवल प्रमाणपत्र श्रृंखला के इर्द-गिर्द नहीं, बल्कि प्रमाणपत्र विशेषताओं के इर्द-गिर्द बनाएं। अपने डिवाइस इन्वेंट्री के खिलाफ Subject CN को मान्य करें। एक वैध Cisco प्रमाणपत्र यह साबित करता है कि डिवाइस असली Cisco हार्डवेयर है - यह साबित नहीं करता कि यह वही विशिष्ट डिवाइस है जिसे आपने उस स्थान के लिए ऑर्डर किया था। अपनी RADIUS प्राधिकरण नीति में सीरियल नंबर को क्रॉस-रेफरेंस करें। दूसरा: माइग्रेशन के दौरान, अपने मौजूदा MAB पॉलिसी के बदले नहीं, बल्कि उसके साथ-साथ SUDI चलाएं। कौन से डिवाइस 802.1AR का समर्थन करते हैं, यह पहचानने के लिए Cisco ISE के प्रोफाइलिंग का उपयोग करें और उन्हें धीरे-धीरे सर्टिफिकेट-आधारित ऑथेंटिकेशन पर ले जाएं। पुराने IoT डिवाइस - कैमरे, HVAC कंट्रोलर, कार्ड रीडर - अक्सर 802.1X का बिल्कुल भी समर्थन नहीं कर सकते। उनके लिए MAB ही फॉलबैक रहता है। लक्ष्य सबसे पहले इंफ्रास्ट्रक्चर डिवाइसों के लिए MAB को समाप्त करना है, जहां जोखिम सबसे अधिक है। तीसरा: अपने CMDB में अपने सर्टिफिकेट की समाप्ति तिथियों को दर्ज करें। यह बात स्पष्ट लग सकती है, लेकिन यही वह चीज है जो टीमों को मुश्किल में डालती है। एक स्विच जो HTTPS मैनेजमेंट कनेक्शन स्वीकार करना बंद कर देता है क्योंकि उसका SUDI समाप्त हो गया है, रात के दो बजे उसका निदान करना कोई आसान काम नहीं है। [छोटा ठहराव] क्विक-फायर प्रश्न। मैं आपको इसके संक्षिप्त उत्तर दूंगा। क्या SUDI, 802.1X को रिप्लेस करता है? नहीं। SUDI क्रेडेंशियल है। 802.1X ऑथेंटिकेशन फ्रेमवर्क है। SUDI वह है जिसे आप 802.1X एक्सचेंज के दौरान प्रस्तुत करते हैं। क्या मैं गैर-Cisco RADIUS सर्वर के साथ SUDI का उपयोग कर सकता हूँ? हाँ। कोई भी RADIUS सर्वर जो EAP-TLS का समर्थन करता है और X.509 सर्टिफिकेट चेन को वैलिडेट कर सकता है, वह SUDI के साथ काम कर सकता है। आपको Cisco के रूट CA सर्टिफिकेट को अपने RADIUS सर्वर के ट्रस्टेड स्टोर में इम्पोर्ट करना होगा। क्या Cisco Meraki SUDI का समर्थन करता है? हाँ, इंफ्रास्ट्रक्चर ऑथेंटिकेशन के लिए। Meraki एक्सेस पॉइंट क्लाउड कंट्रोलर ऑथेंटिकेशन के लिए निर्माता द्वारा इंस्टॉल किए गए सर्टिफिकेट के अपने स्वयं के संस्करण का उपयोग करते हैं। Meraki डैशबोर्ड को 2026 की समयसीमा से पहले SUDI की समाप्ति को संभालने के लिए अपडेट किया गया था। Purple WiFi के बारे में क्या? Purple आपके मौजूदा इंफ्रास्ट्रक्चर - Cisco Meraki, HPE Aruba, Ruckus और अन्य - के ऊपर एक क्लाउड ओवरले के रूप में काम करता है। Purple की Identity-Based Networks परत हार्डवेयर ऑथेंटिकेशन प्लेन के ऊपर बैठती है। SUDI स्वयं इंफ्रास्ट्रक्चर डिवाइसों को सुरक्षित करता है। Purple शीर्ष पर विजिटर और स्टाफ आइडेंटिटी लेयर को सुरक्षित करता है। दोनों एक-दूसरे के पूरक हैं, प्रतिस्पर्धी नहीं। [छोटा ठहराव] समापन के लिए। Cisco SUDI आपको हार्डवेयर-एंकर वाली, क्रिप्टोग्राफिक रूप से वेरिफिएबल डिवाइस आइडेंटिटी देता है। यह इंफ्रास्ट्रक्चर डिवाइसों के लिए हमले के रूप में MAC स्पूफिंग को समाप्त करता है। यह बड़े पैमाने पर Zero Touch Provisioning को सक्षम बनाता है। यह IEEE 802.1AR, PCI DSS 4.0, और ISO 27001 नियंत्रण आवश्यकताओं के अनुरूप है। और यह किसी भी 802.1X और EAP-TLS सक्षम RADIUS इंफ्रास्ट्रक्चर के साथ आसानी से एकीकृत हो जाता है। व्यावहारिक अगले कदम: SUDI सर्टिफिकेट की समाप्ति तिथियों के लिए अपने Cisco डिवाइस इन्वेंट्री का ऑडिट करें, पहचानें कि कौन से डिवाइस MAB चला रहे हैं जिन्हें सर्टिफिकेट-आधारित ऑथेंटिकेशन पर माइग्रेट किया जा सकता है, और चेन-ऑफ-ट्रस्ट चेक के साथ-साथ सीरियल नंबर वैलिडेशन जोड़ने के लिए अपनी RADIUS पॉलिसी की समीक्षा करें। यदि आप अपने वेन्यू पर Purple चला रहे हैं, तो हमारी टीम आपको यह समझा सकती है कि Identity-Based Networks आपके मौजूदा Cisco इंफ्रास्ट्रक्चर से कैसे मैप होता है। लिंक शो नोट्स में है। सुनने के लिए धन्यवाद। अगली बार तक।