Cisco SUDI को समझना: नेटवर्क एक्सेस कंट्रोल में हार्डवेयर-आधारित डिवाइस पहचान

Cisco SUDI को समझना: नेटवर्क एक्सेस कंट्रोल में हार्डवेयर-आधारित डिवाइस पहचान एक Purple तकनीकी ब्रीफिंग - पूर्ण पॉडकास्ट स्क्रिप्ट (लगभग 10 मिनट) --- सेगमेंट 1: परिचय और संदर्भ (लगभग 1 मिनट) नमस्कार और Purple तकनीकी ब्रीफिंग में आपका स्वागत है। मैं अगले दस मिनट आपको Cisco SUDI - Secure Unique Device Identifier - के बारे में बताने में बिताऊंगा कि यह वास्तव में क्या है, यह आपके नेटवर्क एक्सेस कंट्रोल आर्किटेक्चर में कैसे फिट बैठता है, और यदि आप बड़े पैमाने पर Cisco इन्फ्रास्ट्रक्चर चला रहे हैं तो आपको इसके बारे में क्या करने की आवश्यकता है। यह उन स्थानों - होटलों, रिटेल एस्टेट्स, स्टेडियमों, कॉन्फ्रेंस सेंटरों - के नेटवर्क आर्किटेक्ट्स, IT प्रबंधकों और CTOs के लिए है, जहां भी आप एंटरप्राइज WiFi चला रहे हैं और आपको यह विश्वास होना चाहिए कि आपके नेटवर्क पर मौजूद हार्डवेयर बिल्कुल वही है जो वह होने का दावा करता है। आइए उस समस्या से शुरू करें जिसे SUDI हल करता है। किसी भी बड़े स्थान के नेटवर्क में, आपके पास दर्जनों या सैकड़ों एक्सेस पॉइंट्स, स्विच और कंट्रोलर होते हैं। वह प्रश्न जिस पर आपकी सुरक्षा स्थिति निर्भर करती है, वह है: आप कैसे जानते हैं कि उनमें से प्रत्येक डिवाइस एक वास्तविक, असंशोधित Cisco प्रोडक्ट है - न कि कोई नकली, समझौता की गई यूनिट, या कोई ऐसा डिवाइस जिसके साथ ट्रांजिट में छेड़छाड़ की गई हो? यही वह अंतर है जिसे SUDI पाटता है। --- सेगमेंट 2: तकनीकी गहन विश्लेषण (लगभग 5 मिनट) SUDI का अर्थ Secure Unique Device Identifier है। यह एक X.509 वर्जन 3 सर्टिफिकेट है - वही सर्टिफिकेट फॉर्मेट जो HTTPS और TLS में उपयोग किया जाता है - लेकिन किसी व्यक्ति या सर्वर को जारी किए जाने के बजाय, यह निर्माण के दौरान हार्डवेयर के एक विशिष्ट टुकड़े को जारी किया जाता है। इसमें डिवाइस का प्रोडक्ट आइडेंटिफायर और सीरियल नंबर होता है, और यह Cisco के अपने पब्लिक की इन्फ्रास्ट्रक्चर में निहित होता है। यहाँ वह बात है जो SUDI को आपके द्वारा स्वयं इंस्टॉल किए जाने वाले सॉफ्टवेयर सर्टिफिकेट से अलग बनाती है। SUDI सर्टिफिकेट, अपने संबद्ध की-पेयर (key pair) के साथ, Trust Anchor module या TAm नामक एक टैम्पर-रेसिस्टेंट चिप के अंदर रहता है। प्राइवेट की (private key) उसी चिप के अंदर जनरेट होती है और उसे कभी नहीं छोड़ती। आप इसे एक्सपोर्ट नहीं कर सकते। आप इसे क्लोन नहीं कर सकते। यदि कोई चिप के साथ भौतिक रूप से छेड़छाड़ करता है, तो की (key) नष्ट हो जाती है। यही हार्डवेयर रूट ऑफ ट्रस्ट है। SUDI सिक्योर डिवाइस आइडेंटिफायर्स या DevIDs के लिए IEEE 802.1AR मानक का Cisco का कार्यान्वयन है। 802.1AR के तहत, निर्माता द्वारा स्थापित क्रेडेंशियल को Initial Device Identifier या IDevID कहा जाता है। Cisco का SUDI बिल्कुल वही है - एक IDevID जिसे Cisco फैक्ट्री में इंस्टॉल करता है। आप इसे Locally Significant Device Identifier या LDevID के साथ पूरक कर सकते हैं, जिसे आपका अपना PKI स्थानीय प्राधिकरण नीतियों के लिए जारी करता है। अब, यह नेटवर्क एक्सेस कंट्रोल में कैसे प्लग होता है? सबसे आम एकीकरण बिंदु IEEE 802.1X है - पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल मानक। जब कोई Cisco एक्सेस पॉइंट या स्विच ऑनलाइन आता है, तो यह EAP-TLS का उपयोग करके RADIUS सर्वर - आमतौर पर Cisco ISE, Identity Services Engine - के सामने अपना SUDI सर्टिफिकेट प्रस्तुत कर सकता है, जो कि Extensible Authentication Protocol with Transport Layer Security है। RADIUS सर्वर Cisco की पब्लिक सर्टिफिकेट अथॉरिटी के खिलाफ सर्टिफिकेट को सत्यापित करता है, पुष्टि करता है कि डिवाइस वास्तविक है, और फिर उचित नेटवर्क पॉलिसी लागू करता है। यह MAC एड्रेस बाईपास से काफी मजबूत है, जो कि अधिकांश नेटवर्क इन्फ्रास्ट्रक्चर उपकरणों के लिए उपयोग किए जाने वाला फॉलबैक है। MAC एड्रेस को एक मिनट से भी कम समय में स्पूफ किया जा सकता है। टैम्पर-रेसिस्टेंट चिप में हार्डवेयर-बाउंड सर्टिफिकेट को डिवाइस को भौतिक रूप से नष्ट किए बिना स्पूफ नहीं किया जा सकता है। एक स्थान (venue) के संदर्भ में, यह तीन कारणों से महत्वपूर्ण है। पहला, यह आपके नेटवर्क में अनधिकृत एक्सेस पॉइंट्स के शामिल होने के जोखिम को समाप्त करता है। एक नकली या अनधिकृत डिवाइस केवल एक वैध SUDI प्रस्तुत नहीं कर सकता है। दूसरा, यह स्वचालित, Zero Touch Provisioning को सक्षम बनाता है - एक नया डिवाइस आपके स्थान पर शिप होता है, पावर ऑन होता है, अपना SUDI प्रस्तुत करता है, और आपका मैनेजमेंट सिस्टम कॉन्फ़िगरेशन पुश करने से पहले आपकी इन्वेंट्री के खिलाफ इसे सत्यापित करता है। कोई मैन्युअल हस्तक्षेप नहीं। तीसरा, यह आपको एक क्रिप्टोग्राफिक रूप से सत्यापन योग्य ऑडिट ट्रेल देता है। आपके नेटवर्क पर ऑथेंटिकेट होने वाले प्रत्येक डिवाइस ने एक ऐसे सर्टिफिकेट के साथ ऐसा किया जो साबित करता है कि यह एक विशिष्ट, नामित Cisco प्रोडक्ट है। मुझे Trust Anchor module के बारे में थोड़ा और विस्तार से बात करने दें, क्योंकि यह वह नींव है जिस पर बाकी सब कुछ टिका है। TAm एक प्रोप्रायटरी Cisco चिप है जो तीन चीजें प्रदान करती है: SUDI और कीज़ के लिए नॉन-वोलेटाइल सुरक्षित स्टोरेज, रैंडम नंबर जनरेशन सहित क्रिप्टोग्राफिक सेवाएं, और हार्डवेयर फिंगरप्रिंटिंग। आखिरी वाला ध्यान देने योग्य है - Cisco निर्माण के समय डिवाइस के महत्वपूर्ण हार्डवेयर घटकों को फिंगरप्रिंट करता है और उस फिंगरप्रिंट को TAm में स्टोर करता है। जब डिवाइस बूट होता है, तो यह देखे गए हार्डवेयर फिंगरप्रिंट की तुलना स्टोर किए गए फिंगरप्रिंट से करता है। यदि वे मेल नहीं खाते हैं, तो डिवाइस बूट नहीं होगा। यह ट्रांजिट में हार्डवेयर छेड़छाड़ का पता लगाता है - बड़े स्थान के डिप्लॉयमेंट के लिए एक वास्तविक चिंता जहां हार्डवेयर इंस्टॉलेशन से पहले कई हाथों से गुजर सकता है। एक परिचालन समस्या जिसके बारे में आपको जागरूक होने की आवश्यकता है: मई 2019 से पहले जारी किए गए SUDI सर्टिफिकेट या तो निर्माण की तारीख से दस साल बाद या 14 मई 2029 को समाप्त हो जाते हैं, जो भी पहले हो। Cisco ने इसे SUDI-2099 नामक सर्टिफिकेट की एक नई पीढ़ी के साथ संबोधित किया है, जो दिसंबर 2099 तक वैध है। यदि आप 2019 से पहले निर्मित Catalyst 9000 सीरीज हार्डवेयर चला रहे हैं, तो आपको अभी अपनी SUDI समाप्ति तिथियों की जांच करनी होगी। IOS-XE पर कमांड show crypto pki certificate है। CISCO_IDEVID_SUDI ट्रस्टपॉइंट की तलाश करें और समाप्ति तिथि (end date) की जांच करें। यदि आप Catalyst 9200 पर हैं, तो यह सुनिश्चित करने के लिए कि आप सही 2099 सर्टिफिकेट का उपयोग कर रहे हैं, IOS-XE 17.12.2 या बाद के संस्करण में अपग्रेड करें। --- सेगमेंट 3: कार्यान्वयन सिफारिशें और नुकसान (लगभग 2 मिनट) मुझे आपको व्यावहारिक कार्यान्वयन की तस्वीर देने दें। यदि आप किसी स्थान के वातावरण में SUDI-आधारित ऑथेंटिकेशन डिप्लॉय कर रहे हैं, तो यहाँ वह क्रम है जो काम करता है। अपने RADIUS इन्फ्रास्ट्रक्चर से शुरू करें। यदि आप पहले से ही Cisco इकोसिस्टम में हैं तो Cisco ISE स्वाभाविक पसंद है, लेकिन कोई भी RADIUS सर्वर जो EAP-TLS का समर्थन करता है और बाहरी CA के खिलाफ सत्यापित कर सकता है, काम करेगा। आपको अपने RADIUS ट्रस्ट स्टोर में Cisco का रूट CA और ACT2 SUDI CA सर्टिफिकेट इम्पोर्ट करने होंगे। ये Cisco के PKI पोर्टल से सार्वजनिक रूप से उपलब्ध हैं। इसके बाद, इन्फ्रास्ट्रक्चर उपकरणों के लिए सर्टिफिकेट-आधारित ऑथेंटिकेशन की आवश्यकता के लिए अपनी 802.1X पॉलिसी को कॉन्फ़िगर करें। इसे अपनी एंड-यूज़र ऑथेंटिकेशन पॉलिसी से अलग करें - स्टाफ और गेस्ट ऑथेंटिकेशन फ्लो अलग-अलग होते हैं और ISE में अलग-अलग पॉलिसी सेट पर होने चाहिए। नए डिप्लॉयमेंट के लिए, Zero Touch Provisioning सक्षम करें। आपका नेटवर्क मैनेजमेंट सिस्टम - Cisco DNA Centre या Catalyst Center - कॉन्फ़िगरेशन पुश करने से पहले डिवाइस की पहचान सत्यापित करने के लिए SUDI का उपयोग कर सकता है। यह मैन्युअल स्टेजिंग प्रक्रिया को समाप्त करता है और प्रति डिवाइस प्रोविजनिंग समय को घंटों से मिनटों में कम कर देता है। अब, नुकसान। सबसे आम जो मैं देखता हूँ वह एक ही पोर्ट पर SUDI ऑथेंटिकेशन को MAC एड्रेस बाईपास के साथ मिलाना है। यदि SUDI विफल होने पर आप MAB पर वापस जाते हैं, तो आपने सुरक्षा मॉडल को कमजोर कर दिया है। एक स्पष्ट नीति परिभाषित करें: SUDI-सक्षम उपकरणों को SUDI के माध्यम से ऑथेंटिकेट होना चाहिए, बात खत्म। गैर-SUDI डिवाइस मैन्युअल समीक्षा लंबित होने तक क्वारंटाइन VLAN में जाते हैं। दूसरा नुकसान सर्टिफिकेट की समाप्ति है। अपने पूरे एस्टेट में SUDI समाप्ति तिथियों के लिए अभी मॉनिटरिंग सेट करें। यह पता लगाने के लिए कि आपके एक्सेस पॉइंट्स अब ऑथेंटिकेट नहीं हो सकते, सर्विस आउटेज की प्रतीक्षा न करें। Purple का प्लेटफॉर्म डिवाइस हेल्थ सिग्नल्स - जिसमें ऑथेंटिकेशन स्थिति भी शामिल है - को एक ही डैशबोर्ड में प्रदर्शित करने के लिए Cisco Meraki और अन्य हार्डवेयर वेंडर्स के साथ एकीकृत होता है, जो इस तरह की सक्रिय मॉनिटरिंग को बड़े पैमाने पर व्यावहारिक बनाता है। तीसरा नुकसान स्कोप क्रीप (scope creep) है। SUDI हार्डवेयर डिवाइस को ऑथेंटिकेट करता है। यह उस डिवाइस के माध्यम से कनेक्ट होने वाले उपयोगकर्ता को ऑथेंटिकेट नहीं करता है। आपको अभी भी मेहमानों, कर्मचारियों और निवासियों के लिए एक अलग पहचान लेयर की आवश्यकता है। यही वह जगह है जहाँ Purple जैसा प्लेटफॉर्म काम आता है - हम मानव पहचान लेयर, सहमति कैप्चर, गेस्ट ट्रैफ़िक के लिए VLAN असाइनमेंट और एनालिटिक्स को संभालते हैं, जबकि SUDI नीचे इन्फ्रास्ट्रक्चर लेयर को संभालता है। --- सेगमेंट 4: रैपिड-फायर प्रश्न और उत्तर (लगभग 1 मिनट) मुझे तीन सवालों के जवाब देने दें जो मुझसे नियमित रूप से पूछे जाते हैं। क्या SUDI मेरे मौजूदा PKI को प्रतिस्थापित करता है? नहीं। SUDI एक निर्माता-स्थापित IDevID है। यह साबित करता है कि डिवाइस वास्तविक Cisco हार्डवेयर है। आपका एंटरप्राइज PKI अन्य सभी चीजों के लिए LDevIDs और यूजर सर्टिफिकेट जारी करता है। वे समानांतर में काम करते हैं। क्या मैं गैर-Cisco हार्डवेयर पर SUDI का उपयोग कर सकता हूँ? नहीं। SUDI केवल Cisco-विशिष्ट है। HPE Aruba के पास एक समकक्ष है जिसे IAP प्रोविजनिंग सर्टिफिकेट कहा जाता है। Ruckus और Juniper Mist के पास अपने स्वयं के डिवाइस पहचान तंत्र हैं। अंतर्निहित मानक - IEEE 802.1AR - वेंडर-न्यूट्रल है, लेकिन प्रत्येक निर्माता इसे अलग तरह से लागू करता है। क्या होता है जब एक SUDI सर्टिफिकेट समाप्त हो जाता है? ऑथेंटिकेशन के लिए SUDI पर निर्भर रहने वाली सेवाएं - HTTPS, सर्टिफिकेट ऑथेंटिकेशन के साथ SSH, Zero Touch Provisioning - विफल हो जाएंगी। डिवाइस स्वयं काम करना जारी रखता है, लेकिन यह अब क्रिप्टोग्राफिक रूप से अपनी पहचान साबित नहीं कर सकता है। इसलिए SUDI-2099 माइग्रेशन महत्वपूर्ण है। --- सेगमेंट 5: सारांश और अगले चरण (लगभग 1 मिनट) संक्षेप में: Cisco SUDI आपको हार्डवेयर-रूटेड डिवाइस पहचान देता है जिसे स्पूफ, क्लोन या एक्सपोर्ट नहीं किया जा सकता है। यह एक भरोसेमंद इन्फ्रास्ट्रक्चर लेयर की नींव है। IEEE 802.1X और एक अच्छी तरह से कॉन्फ़िगर की गई RADIUS पॉलिसी के साथ मिलकर, यह अनधिकृत डिवाइस के जोखिम को समाप्त करता है और बड़े पैमाने पर स्वचालित प्रोविजनिंग को सक्षम बनाता है। आपकी तीन तत्काल कार्रवाइयां: एक, show crypto pki certificate का उपयोग करके SUDI समाप्ति तिथियों के लिए अपने Cisco एस्टेट का ऑडिट करें। दो, अपने RADIUS ट्रस्ट स्टोर में Cisco का रूट CA इम्पोर्ट करें और इन्फ्रास्ट्रक्चर उपकरणों के लिए EAP-TLS पॉलिसियां कॉन्फ़िगर करें। तीन, अपनी इन्फ्रास्ट्रक्चर ऑथेंटिकेशन पॉलिसी को अपनी एंड-यूज़र ऑथेंटिकेशन पॉलिसी से अलग करें - वे विभिन्न उद्देश्यों की पूर्ति करती हैं और उन्हें स्वतंत्र रूप से प्रबंधित किया जाना चाहिए। यदि आप इस बारे में अधिक जानना चाहते हैं कि मेहमानों, कर्मचारियों और निवासियों के लिए पहचान-आधारित नेटवर्क सेगमेंटेशन प्रदान करने के लिए Purple कैसे Cisco Meraki और अन्य हार्डवेयर वेंडर्स के साथ एकीकृत होता है, तो purple.ai पर जाएं या इस एपिसोड के नीचे लिंक की गई संबंधित गाइड पढ़ें। सुनने के लिए धन्यवाद। मैं आपसे अगली ब्रीफिंग में मिलूंगा। --- स्क्रिप्ट का अंत