EAP-TLS vs. PEAP: आपकी नेटवर्क के लिए कौन सा ऑथेंटिकेशन प्रोटोकॉल सही है?
यह तय करें कि आपकी नेटवर्क पर प्रत्येक डिवाइस समूह को किस 802.1X विधि का उपयोग करना चाहिए: कॉर्पोरेट-स्वामित्व वाले डिवाइस जिन्हें आप एनरोल कर सकते हैं उनके लिए EAP-TLS, व्यक्तिगत और ठेकेदार डिवाइसों के लिए लॉक्ड सर्वर सर्टिफिकेट सत्यापन के साथ PEAP, और मेहमानों के लिए Captive Portal या OpenRoaming। आप बिना किसी डाउनटाइम के एक ही RADIUS सेवा पर दोनों विधियों को चलाने वाले माइग्रेशन की योजना भी बना सकते हैं।
Video overview
इस गाइड को सुनें
पॉडकास्ट ट्रांसक्रिप्ट देखें
हमारी मुख्य श्रृंखला का हिस्सा: एंटरप्राइज WiFi सुरक्षा गाइड →
EAP-TLS vs PEAP authentication decision tool
Evaluate your directory infrastructure, device ownership mix, and security compliance to determine the optimal 802.1X wireless protocol for your organisation.
Determines credential protocols supported at directory level.
Governs certificate provisioning capability without user intervention.
Sets threshold for password elimination and hardware TPM isolation.
EAP-TLS (Mutual Certificate-Based 802.1X)
Eliminate password-based attacks with cryptographic device certificates.
Evil Twin & MITM resistance
Immune to Evil Twin rogue APs: client and server each prove possession of a private key, so there is no reusable password for a rogue AP to capture.
Helpdesk & credential friction
0% password-related WiFi lockouts. Certificates renew silently in the background via MDM.
Microsoft Entra ID does not support legacy password hashing (NTLM/MSCHAPv2) natively. EAP-TLS with Microsoft Intune Cloud PKI / SCEP and Cloud RADIUS provides the direct native integration path.
Migrate your enterprise WiFi to certificate-based 802.1X
Connect with Purple technical architects to design your zero-trust wireless authentication, integrate Cloud RADIUS with Microsoft Entra ID, and eliminate credential exposure.
जब आप डिवाइसों को नियंत्रित करते हैं तो EAP-TLS चुनें। प्रत्येक डिवाइस प्रमाण पत्र (certificate) के साथ अपनी पहचान साबित करता है, इसलिए फ़िशिंग या क्रैक करने के लिए कोई पासवर्ड नहीं होता है। जब आप प्रमाण पत्र जारी नहीं कर सकते, जैसे कि व्यक्तिगत डिवाइसों पर, तब PEAP चुनें और हर क्लाइंट पर सर्वर प्रमाण पत्र सत्यापन को लागू करें। दोनों में से कोई भी अनाम मेहमानों (guests) के लिए उपयुक्त नहीं है, इसलिए इसके बजाय Captive Portal या OpenRoaming का उपयोग करें।
क्या आपको EAP-TLS या PEAP चुनना चाहिए?
दोनों प्रोटोकॉल IEEE 802.1X के अंदर चलते हैं, जो पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल का मानक है। 802.1X एक्सेस पॉइंट द्वारा ट्रैफ़िक को आगे बढ़ाने से पहले किसी डिवाइस को यह साबित करने के लिए मजबूर करता है कि वह कौन है। वह सबूत RADIUS सर्वर पर EAP (Extensible Authentication Protocol) संदेशों के रूप में जाता है, जो वह सेवा है जो प्रत्येक कनेक्शन को मंज़ूरी देती है या अस्वीकार करती है।
EAP-TLS और PEAP उस सबूत को ले जाने के दो तरीके हैं। अंतर यह है कि डिवाइस क्या प्रस्तुत करता है।
- EAP-TLS RFC 5216 में परिभाषित है और RFC 9190 में TLS 1.3 के लिए अपडेट किया गया है। सर्वर और डिवाइस प्रत्येक एक डिजिटल प्रमाण पत्र प्रस्तुत करते हैं। पहचान एक प्राइवेट कुंजी (private key) पर निर्भर करती है जो कभी भी डिवाइस से बाहर नहीं जाती है।
- PEAP (Protected EAP) केवल सर्वर से प्रमाण पत्र मांगता है। डिवाइस सर्वर के लिए एक एन्क्रिप्टेड टनल बनाता है, फिर उसके अंदर एक उपयोगकर्ता नाम और पासवर्ड भेजता है, जो लगभग हमेशा MSCHAPv2 के साथ होता है।
संक्षिप्त अनुशंसा:
- प्रबंधित लैपटॉप, टैबलेट, स्कैनर और भुगतान डिवाइस: EAP-TLS।
- व्यक्तिगत फ़ोन और ठेकेदार डिवाइस जिन्हें आप एनरोल नहीं कर सकते: PEAP, सर्वर प्रमाण पत्र सत्यापन चालू के साथ।
- मेहमान, प्रशंसक, यात्री और खरीदार: दोनों में से कोई नहीं। Guest WiFi के माध्यम से Captive Portal या OpenRoaming का उपयोग करें।
अधिकांश संस्थान डिवाइस के स्वामित्व के आधार पर अलग करके, एक ही RADIUS सेवा पर दोनों विधियों को चलाते हैं। इस गाइड का शेष भाग दिखाता है कि वह सीमा कहाँ तय होती है और प्रत्येक पक्ष को चलाने में क्या लागत आती है।
व्यावहारिक रूप से EAP-TLS और PEAP कैसे भिन्न हैं?
EAP-TLS हैंडशेक कैसे काम करता है
RADIUS सर्वर पहले अपना प्रमाण पत्र भेजता है। डिवाइस एक विश्वसनीय रूट सर्टिफिकेट अथॉरिटी (CA) के खिलाफ इसकी जांच करता है। इसके बाद डिवाइस अपना प्रमाण पत्र भेजता है और साबित करता है कि उसके पास मिलान वाली प्राइवेट कुंजी है।
सर्वर पुष्टि करता है कि डिवाइस प्रमाण पत्र मान्य है और इसे रद्द नहीं किया गया है। यह प्रमाण पत्र रद्दीकरण सूची (CRL) या OCSP (Online Certificate Status Protocol, RFC 6960) के साथ रद्दीकरण की जांच करता है। उसके बाद ही एक्सेस पॉइंट डिवाइस को अनुमति देता है।
किसी भी मोड़ पर नेटवर्क से कोई पासवर्ड नहीं गुज़रता है। फ़िशिंग किया गया पासवर्ड नेटवर्क नहीं खोल सकता, क्योंकि नेटवर्क कभी पासवर्ड मांगता ही नहीं है।
PEAP हैंडशेक कैसे काम करता है
RADIUS सर्वर अपना प्रमाण पत्र भेजता है और डिवाइस इसे सत्यापित करता है। दोनों पक्ष एक TLS टनल बनाते हैं। उस टनल के अंदर, डिवाइस Active Directory जैसी निर्देशिका (directory) के खिलाफ MSCHAPv2 (Microsoft Challenge Handshake Authentication Protocol version 2) चलाता है। यदि क्रेडेंशियल मेल खाते हैं, तो डिवाइस को एक्सेस मिल जाता है।
Microsoft, Cisco और RSA Security ने मिलकर PEAP विकसित किया। यह कभी IETF मानक नहीं बना। Microsoft उस संस्करण को अपने MS-PEAP प्रोटोकॉल विनिर्देश में प्रकाशित करता है जिसे अधिकांश डिवाइस उपयोग करते हैं।
सर्वर प्रमाण पत्र सत्यापन PEAP की सुरक्षा क्यों तय करता है
टनल पासवर्ड की सुरक्षा केवल तभी करती है जब डिवाइस यह जांचता है कि दूसरी ओर कौन है। यदि आप उस जांच को छोड़ देते हैं, तो एक हमलावर आपके नेटवर्क के नाम को एक अनधिकृत एक्सेस प्वाइंट से प्रसारित कर सकता है, जिसे "evil twin" कहा जाता है। इसके बाद डिवाइस हमलावर के साथ MSCHAPv2 को पूरा करता है और एक चैलेंज और रिस्पॉन्स सौंप देता है।
2012 में, Microsoft Security Advisory 2743314 ने चेतावनी दी थी कि अन-एनकैप्सुलेटेड MSCHAPv2 एक्सचेंज को क्रैक किया जा सकता है। Microsoft का समाधान उन्हें सर्वर सर्टिफिकेट सत्यापन के साथ PEAP में रैप करना था। यह नियम आज भी लागू है।
EAP-TLS में यह कमजोरी नहीं है। एक अनधिकृत एक्सेस प्वाइंट तक पहुँचने वाले डिवाइस के पास देने के लिए कोई पुन: उपयोग योग्य पासवर्ड नहीं होता है।
EAP-TLS बनाम PEAP की तुलना
| EAP-TLS | PEAP (MSCHAPv2) | |
|---|---|---|
| डिवाइस क्या प्रस्तुत करता है | इसका अपना सर्टिफिकेट और प्राइवेट की | एक TLS टनल के भीतर यूजरनेम और पासवर्ड |
| आवश्यक सर्टिफिकेट | सर्वर और प्रत्येक क्लाइंट डिवाइस | केवल सर्वर |
| परिभाषा विनिर्देश | IETF RFC 5216 और RFC 9190 | Microsoft MS-PEAP विनिर्देश |
| फ़िश किए गए या पुन: उपयोग किए गए पासवर्ड का जोखिम | कोई नहीं - कोई पासवर्ड मौजूद नहीं है | पूर्ण - पासवर्ड ही क्रेडेंशियल है |
| Evil twin का जोखिम | कम - कैप्चर करने के लिए कोई पुन: उपयोग योग्य रहस्य नहीं | उच्च यदि सर्वर सत्यापन बंद है |
| WPA3-Enterprise 192-bit मोड | समर्थित | समर्थित नहीं |
| Windows Credential Guard | अप्रभावित | सहेजे गए MSCHAPv2 क्रेडेंशियल्स को ब्लॉक करता है |
| आवश्यक इन्फ्रास्ट्रक्चर | RADIUS, PKI, MDM या ऑनबोर्डिंग टूल | RADIUS, सर्वर सर्टिफिकेट, डायरेक्टरी |
| एक खोए हुए डिवाइस को रिवोक करना | उस एक सर्टिफिकेट को रिवोक करें | अकाउंट रिसेट करें, जो उस व्यक्ति के सभी डिवाइसों को प्रभावित करता है |
| पासवर्ड बदलने का प्रभाव | कोई नहीं | प्रत्येक स्टोर किए गए WiFi प्रोफाइल को अपडेट करने की आवश्यकता होती है |
| सबसे उपयुक्त | कॉर्पोरेट-स्वामित्व वाले फ़्लीट, भुगतान और क्लिनिकल डिवाइस | व्यक्तिगत डिवाइस, ठेकेदार, बिना PKI वाले एस्टेट |
दो प्लेटफॉर्म बदलाव जो निर्णय को बदलते हैं
Windows. Microsoft का Credential Guard दस्तावेज़ बताता है कि Credential Guard सक्षम होने पर MSCHAPv2-आधारित WiFi और VPN कनेक्शन सहेजे गए क्रेडेंशियल्स का उपयोग नहीं कर सकते हैं। योग्य Windows 11 Enterprise और Education डिवाइस पर संस्करण 22H2 से Credential Guard डिफ़ॉल्ट रूप से सक्षम है। Microsoft सर्टिफिकेट-आधारित विधियों जैसे कि EAP-TLS पर जाने की सलाह देता है।
Android. हाल के Android संस्करणों ने सर्वर सर्टिफिकेट सत्यापन को छोड़ने के विकल्प को हटा दिया है। PEAP प्रोफाइल में अब एक CA सर्टिफिकेट और एक सर्वर डोमेन का नाम होना चाहिए। यह evil twin के जोखिम को समाप्त करता है, लेकिन यह कर्मचारियों के लिए मैन्युअल सेटअप को कठिन बना देता है।
EAP-TLS का चयन कब सही है?
EAP-TLS को तब चुनें जब तीन स्थितियां पूरी होती हों। आप डिवाइसों के मालिक हैं, आप उन पर कॉन्फ़िगरेशन पुश कर सकते हैं, और एक समझौता किया गया पासवर्ड वास्तविक नुकसान पहुंचाएगा।
- Microsoft Intune जैसे MDM (मोबाइल डिवाइस प्रबंधन) प्लेटफॉर्म के माध्यम से प्रबंधित कॉर्पोरेट-स्वामित्व वाले लैपटॉप।
- PCI DSS के दायरे वाले नेटवर्क पर पॉइंट-ऑफ़-सेल टर्मिनल और हैंडहेल्ड स्कैनर।
- Healthcare में क्लिनिकल टैबलेट और कार्ट, जहां एक साझा वार्ड पासवर्ड एक निरंतर जोखिम है।
- होटलों में बैक-ऑफिस, फ्रंट-डेस्क और हाउसकीपिंग डिवाइस।
- WPA3-Enterprise 192-bit मोड के लिए बनाए गए नेटवर्क, जिसे WPA3 स्पेसिफिकेशन EAP-TLS सिफर सूट्स से जोड़ता है।
सर्टिफिकेट ऑफबोर्डिंग को भी सटीक बनाते हैं। एक सर्टिफिकेट रद्द करें और एक डिवाइस एक्सेस खो देता है, जबकि उस व्यक्ति के अन्य डिवाइस काम करते रहते हैं। यह आपके MDM और डायरेक्टरी में जॉइनर्स, मूवर्स और लीवर्स से स्पष्ट रूप से मैप होता है।
प्राइवेट कीज़ को नॉन-एक्सपोर्टेबल के रूप में स्टोर करें, डिवाइस के TPM (ट्रस्टेड प्लेटफॉर्म मॉड्यूल) या सिक्योर एन्क्लेव में जहां हार्डवेयर इसका समर्थन करता है। एक सर्टिफिकेट जिसे डिवाइस से कॉपी नहीं किया जा सकता, उसे कहीं और दोबारा इस्तेमाल नहीं किया जा सकता है।
काम किया गया परिदृश्य: 30 संपत्तियों का एक होटल समूह
इस गाइड के परिदृश्य सामान्य डिप्लॉयमेंट के सम्मिश्रण हैं, न कि नामांकित ग्राहक परिणाम।
स्थिति। एक होटल समूह लगभग 200 कमरों वाली 30 संपत्तियों को चलाता है। बैक-ऑफिस लैपटॉप, हाउसकीपिंग टैबलेट और फ्रंट-डेस्क PC एक Staff WiFi नेटवर्क साझा करते हैं। डिवाइस कुछ साझा Active Directory खातों का उपयोग करके PEAP के साथ साइन इन करते हैं। जब कोई टैबलेट गुम हो जाता है, तो IT साझा पासवर्ड रीसेट करता है और इसका उपयोग करने वाले प्रत्येक डिवाइस को फिर से कॉन्फ़िगर करता है।
क्या किया गया था। प्रत्येक डिवाइस पहले से ही MDM में नामांकित था। टीम ने एक क्लाउड PKI (पब्लिक की इंफ्रास्ट्रक्चर, वह सिस्टम जो सर्टिफिकेट जारी और रद्द करता है) खड़ा किया। उन्होंने SCEP (सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल, RFC 8894) का उपयोग करके डिवाइस सर्टिफिकेट पुश किए। Staff WiFi प्रोफ़ाइल फिर EAP-TLS पर स्विच हो गई। कटओवर के दौरान पूरे समय उसी RADIUS सेवा पर PEAP लाइव रहा। डायनामिक VLAN असाइनमेंट ने हाउसकीपिंग टैबलेट को फाइनेंस लैपटॉप से अलग सेगमेंट पर रखा।
परिणाम। साझा WiFi खाते शून्य हो गए। एक खोए हुए टैबलेट के लिए अब दर्जनों डिवाइसों में पासवर्ड रीसेट के बजाय एक सर्टिफिकेट रद्दीकरण करना पड़ता है। पासवर्ड रोटेशन अब WiFi को प्रभावित नहीं करता है, क्योंकि कोई WiFi पासवर्ड बचा ही नहीं है। हॉस्पिटैलिटी नेटवर्क के बारे में अधिक जानकारी हमारे Hotels पेज पर है।
PEAP सही विकल्प कब है?
PEAP तब चुनें जब आप डिवाइस पर सर्टिफिकेट नहीं डाल सकते हैं और साइन इन करने वाले व्यक्ति के पास डायरेक्टरी खाता है।
- BYOD (ब्रिंग योर ओन डिवाइस) नीति के तहत व्यक्तिगत फोन पर मौजूद कर्मचारी, जहां MDM नामांकन स्वीकार्य नहीं है।
- अल्पावधि खातों वाले ठेकेदार, अस्थायी ईवेंट कर्मचारी और एजेंसी कार्यकर्ता।
- Active Directory वाले लेकिन PKI के बिना वाले एस्टेट, EAP-TLS की दिशा में एक अंतरिम कदम के रूप में।
PEAP इन मामलों के लिए केवल तीन नियंत्रण लागू होने पर ही स्वीकार्य है।
- प्रत्येक डिवाइस पर सर्वर सर्टिफिकेट वैलिडेसन लॉक करें। विश्वसनीय CA और सटीक सर्वर नाम का नाम दें। इसे ग्रुप पॉलिसी, MDM प्रोफ़ाइल या ऑनबोर्डिंग टूल के माध्यम से डिप्लॉय करें, कभी भी मैन्युअल रूप से नहीं।
- सर्वर सर्टिफिकेट को अनुमान योग्य रखें। इसे ऐसे CA से जारी करें जिस पर आपके डिवाइस पहले से भरोसा करते हैं, और नवीनीकरण के दौरान सर्वर का नाम स्थिर रखें।
- डायरेक्टरी पासवर्ड को मजबूत करें। PEAP केवल उतना ही मजबूत है जितना कि टनल के अंदर का पासवर्ड। लंबाई लागू करें, और डायरेक्टरी में ज्ञात-समझौता किए गए पासवर्ड को ब्लॉक करें।
काम किया गया परिदृश्य: मौसमी कर्मचारियों वाला एक सम्मेलन केंद्र
स्थिति। एक शहर के केंद्र का सम्मेलन और कार्यक्रम स्थल प्रत्येक पीक सीजन में लगभग 300 अस्थायी कर्मचारियों को काम पर रखता है। वे रोस्टरिंग और रेडियो ऐप के लिए अपने स्वयं के फोन का उपयोग करते हैं। स्थान उन्हें एक MDM में व्यक्तिगत फोन एनरोल करने के लिए नहीं कह सकता है। तब तक, स्टाफ रूम के नोटिस बोर्ड पर एक साझा WPA2-Personal पासवर्ड टांगा जाता था।
क्या किया गया था। IT ने प्रत्येक अस्थायी कार्यकर्ता के लिए एक समाप्ति तिथि के साथ एक निर्देशिका खाता बनाया। स्टाफ WiFi PEAP पर स्थानांतरित हो गया। एक बार के ऑनबोर्डिंग प्रोफाइल ने प्रत्येक फोन पर CA और सर्वर का नाम तय कर दिया। अनुबंध की समाप्ति तिथि पर खाते स्वचालित रूप से अक्षम हो जाते हैं। सहभागी एक अलग Captive Portal नेटवर्क पर बने रहे।
परिणाम। साझा पासवर्ड हटा दिया गया था। अब काम छोड़ने वाले लोग अगले पासवर्ड परिवर्तन के बजाय अपनी समाप्ति तिथि पर एक्सेस खो देते हैं। प्रत्येक कर्मचारी कनेक्शन RADIUS लॉग में एक नामित खाते से जुड़ता है, जिसे सुरक्षा टीम प्रत्येक कार्यक्रम के बाद ऑडिट कर सकती है।
अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?
हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।
EAP-TLS और PEAP को चलाने की लागत क्या है?
किसी भी प्रोटोकॉल में लाइसेंस शुल्क नहीं लगता है। दोनों Windows, macOS, iOS, Android और ChromeOS में निर्मित हैं। लागत इन्फ्रास्ट्रक्चर और कर्मचारियों के समय में निहित है।
| लागत रेखा | EAP-TLS | PEAP |
|---|---|---|
| RADIUS सेवा | आवश्यक | आवश्यक |
| RADIUS सर्वर प्रमाण पत्र | आवश्यक, CA के शेड्यूल के अनुसार नवीनीकृत | आवश्यक, CA के शेड्यूल के अनुसार नवीनीकृत |
| क्लाइंट प्रमाण पत्र जारी करने के लिए PKI | आवश्यक, ऑन-प्रीमिस या क्लाउड | आवश्यक नहीं |
| MDM या ऑनबोर्डिंग टूल | एक पायलट से परे आवश्यक | अनुशंसित, सर्वर सत्यापन को लागू करने के लिए |
| क्लाइंट प्रमाण पत्र नवीनीकरण | प्रत्येक डिवाइस, आपके द्वारा निर्धारित समय सारिणी पर | कोई नहीं |
| WiFi पासवर्ड टिकट | कोई नहीं | प्रत्येक परिवर्तन के बाद लॉकआउट और प्रोफ़ाइल अपडेट |
| वायरलेस एक्सेस के लिए ऑडिट साक्ष्य | प्रमाण पत्र जारी करने और निरसन लॉग | खाता और पासवर्ड नीति रिकॉर्ड |
EAP-TLS कहाँ खर्च करता है
EAP-TLS लागत को पहले ही लगा देता है। आप PKI और प्रमाण पत्र टेम्पलेट, नामांकन और निरसन को डिज़ाइन करने के लिए कर्मचारियों के समय का भुगतान करते हैं। यदि आप पहले से ही एक MDM चलाते हैं, तो वितरण लागत का बड़ा हिस्सा कवर हो जाता है। लॉन्च के बाद, मुख्य आवर्ती कार्य प्रमाण पत्र का नवीनीकरण है, जिसे MDM स्वचालित करता है।
PEAP कहाँ खर्च करता है
PEAP सस्ते में शुरू होता है लेकिन जैसे-जैसे आप आगे बढ़ते हैं अधिक लागत आती है। प्रत्येक पासवर्ड परिवर्तन से फोन और लैपटॉप पर पुराने क्रेडेंशियल छूट सकते हैं। बार-बार असफल प्रयासों से Active Directory में खाता लॉक हो सकता है, जिससे हेल्पडेस्क टिकट बनता है। वे लागत कर्मचारियों की संख्या और पासवर्ड रोटेशन की आवृत्ति के साथ बढ़ती हैं।
सर्वर प्रमाण पत्र के जीवनकाल पर नज़र रखें
यदि आपका RADIUS सर्वर प्रमाण पत्र किसी सार्वजनिक CA से आता है, तो इसका जीवनकाल छोटा होता जा रहा है। CA/Browser Forum का बैलट SC-081 चरणों में अधिकतम सार्वजनिक TLS प्रमाण पत्र जीवनकाल को कम करता है। मार्च 2026 से सीमा 200 दिनों तक और मार्च 2029 से 47 दिनों तक गिर जाती है। कई टीमें इसके बजाय एक निजी CA से RADIUS प्रमाण पत्र जारी करती हैं, जो उनके अपने शेड्यूल पर नवीनीकरण को बनाए रखता है।
इसे गलत करने की लागत
IBM की डेटा ब्रीच रिपोर्ट 2024 की लागत ने वैश्विक औसत ब्रीच लागत 4.88 मिलियन अमरीकी डालर रखी। चुराए गए या समझौता किए गए क्रेडेंशियल उस रिपोर्ट में सबसे आम शुरुआती हमला वेक्टर में से थे। EAP-TLS हर उस डिवाइस के लिए जिसे यह कवर करता है, हमला सतह से WiFi पासवर्ड हटा देता है।
काम किया गया परिदृश्य: 120 स्टोर वाला एक रिटेलर
स्थिति। एक रिटेलर PEAP पर हैंडहेल्ड स्कैनर और मोबाइल पॉइंट-ऑफ-सेल डिवाइस के साथ 120 स्टोर चलाता है। डिवाइस एक सर्विस अकाउंट साझा करते हैं। उस अकाउंट के प्रत्येक निर्धारित रोटेशन के कारण उन स्टोरों में रात भर प्रमाणीकरण विफलताएं हुईं जहां डिवाइस ने पुराना पासवर्ड रखा था।
क्या किया गया। IT ने पहले से चल रहे MDM का उपयोग करके स्कैनर और भुगतान डिवाइस को EAP-TLS में स्थानांतरित कर दिया। प्रत्येक डिवाइस को अपना प्रमाणपत्र मिला। स्टोर कर्मचारियों के फोन एक अलग VLAN पर PEAP पर बने रहे, जिसका कार्डधारक डेटा वातावरण तक कोई मार्ग नहीं था।
परिणाम। रोटेशन दिवस के आउटेज बंद हो गए, क्योंकि इन-स्कोप डिवाइस अब साझा पासवर्ड पर निर्भर नहीं थे। निरसन प्रति स्टोर के बजाय प्रति डिवाइस हो गया। PCI DSS आवश्यकता 11.2.1 के तहत त्रैमासिक दुष्ट एक्सेस प्वाइंट जांच अपरिवर्तित रही। स्टोर नेटवर्क के बारे में अधिक जानकारी के लिए हमारा Retail पेज देखें।
प्रत्येक प्रोटोकॉल को क्या तोड़ता है, और आप इसे कैसे रोकते हैं?
समय सीमा समाप्त प्रमाणपत्र
यदि CA प्रमाणपत्र या RADIUS सर्वर प्रमाणपत्र समाप्त हो जाता है, तो प्रत्येक प्रमाणीकरण एक बार में विफल हो जाता है। यह EAP-TLS और PEAP दोनों को समान रूप से प्रभावित करता है। प्रत्येक समाप्ति तिथि से 90, 30 और सात दिन पहले अलर्ट सेट करें, और प्रत्येक प्रमाणपत्र के लिए एक मालिक का नाम दें।
सर्वर सत्यापन को बंद छोड़ दिया गया
एक PEAP प्रोफ़ाइल जो सर्वर सत्यापन को छोड़ देती है, किसी भी ईविल ट्विन को क्रेडेंशियल सौंप देती है। नियमित रूप से डिवाइस प्रोफाइल का ऑडिट करें और अपनी सुरक्षा समीक्षा में चेक जोड़ें। किसी भी मैनुअल सेटअप निर्देशों को हटाएं जो कर्मचारियों को "Don't validate" टैप करने के लिए कहते हैं।
RADIUS विलंबता और विफलता के एकल बिंदु
प्रमाणीकरण महत्वपूर्ण पथ पर स्थित है। नियंत्रक, RADIUS सर्वर और निर्देशिका के बीच उच्च विलंबता EAP टाइमआउट का कारण बनती है। अतिरेक के साथ RADIUS चलाएं, या एक से अधिक क्षेत्रों के साथ क्लाउड RADIUS का उपयोग करें। Trains पर स्टेशन और रोलिंग स्टॉक जैसे वितरित संपत्तियों के लिए, एक्सेस पॉइंट के करीब एक स्थानीय RADIUS प्रॉक्सी रखें।
दुष्ट एक्सेस पॉइंट
दुष्ट उपकरणों को लगातार फ्लैग करने के लिए अपने एक्सेस पॉइंट प्लेटफॉर्म में निर्मित वायरलेस घुसपैठ का पता लगाने का उपयोग करें। यदि आप कार्ड भुगतान स्वीकार करते हैं, तो PCI DSS आवश्यकता 11.2.1 के लिए आपको कम से कम हर तीन महीने में अनधिकृत एक्सेस पॉइंट का परीक्षण करने की आवश्यकता होती है।
प्रमाणीकरण के बाद एक फ्लैट नेटवर्क
एक सफल 802.1X लॉगिन को पूरे नेटवर्क को नहीं खोलना चाहिए। डायनेमिक VLAN असाइनमेंट का उपयोग करें, जहां RADIUS RFC 3580 में परिभाषित विशेषताओं का उपयोग करके प्रत्येक डिवाइस के लिए VLAN (वर्चुअल LAN) लौटाता है। भुगतान डिवाइस, स्टाफ फोन और बिल्डिंग सिस्टम फिर अपने स्वयं के एक्सेस कंट्रोल के साथ अलग-अलग सेगमेंट पर उतरते हैं।
आप अपनी संपत्ति के लिए कैसे निर्णय लेते हैं?
डिवाइस स्वामित्व से शुरू करें, प्रोटोकॉल प्राथमिकता से नहीं। नीचे दिया गया मैट्रिक्स सामान्य स्थितियों को एक सिफारिश से जोड़ता है।
| आपकी स्थिति | अनुशंसित विधि | क्यों |
|---|---|---|
| कॉर्पोरेट लैपटॉप जो पहले से MDM में हैं | EAP-TLS | सर्टिफिकेट उस टूलिंग के माध्यम से तैनात होते हैं जिसके लिए आप पहले से भुगतान कर रहे हैं |
| PCI-DSS के दायरे में आने वाले भुगतान टर्मिनल और स्कैनर | EAP-TLS | रोटेट या लीक होने के लिए कोई साझा पासवर्ड नहीं |
| अस्पताल के वार्डों में क्लिनिकल उपकरण | EAP-TLS | प्रति-उपकरण रिवोकेशन, कोई साझा वार्ड पासवर्ड नहीं |
| कर्मचारियों के व्यक्तिगत फोन, कोई MDM अनुमति नहीं | लॉक सर्वर वैलिडेसन के साथ PEAP | फोन एनरोल किए बिना डायरेक्टरी लॉगिन |
| मौसमी और अनुबंध कर्मचारी | दिनांकित खातों के साथ PEAP | अनुबंध की समाप्ति तिथि पर पहुंच स्वचालित रूप से समाप्त हो जाती है |
| 802.1X के बिना स्मार्ट टीवी, प्रिंटर और सेंसर | समर्पित VLAN पर iPSK | प्रति उपकरण अद्वितीय कुंजी, किसी 802.1X सप्लिकेंट की आवश्यकता नहीं |
| होटल के मेहमान, प्रशंसक, यात्री और खरीदार | Captive Portal या OpenRoaming | न तो कोई डायरेक्टरी खाता और न ही प्रबंधित करने के लिए कोई उपकरण |
iPSK (आइडेंटिटी प्री-शेयर कुंजी, जिसे PPSK भी कहा जाता है) प्रत्येक उपकरण या समूह को एक ही नेटवर्क नाम पर अपनी स्वयं की WiFi कुंजी देता है। इसका उपयोग उन उपकरणों के लिए करें जो 802.1X सप्लिकेंट नहीं चला सकते हैं।
निर्णय तक पहुँचने के लिए एक चार-चरणीय मार्ग
- स्वामित्व के आधार पर उपकरणों की सूची बनाएं। उन्हें कॉर्पोरेट-प्रबंधित, व्यक्तिगत, हेडलेस और गेस्ट में विभाजित करें।
- जांचें कि आप पहले से क्या चला रहे हैं। एक मौजूदा MDM प्रबंधित उपकरणों के लिए EAP-TLS को एक मामूली प्रोजेक्ट बनाता है।
- लक्ष्य स्थिति निर्धारित करें। प्रत्येक प्रबंधित उपकरण के लिए EAP-TLS, केवल वहीं PEAP जहां एनरोलमेंट असंभव हो।
- स्थान पर ही माइग्रेट करें। एक ही RADIUS सेवा पर दोनों विधियों को चलाएं, प्रबंधित उपकरणों को EAP-TLS पर स्थानांतरित करें, फिर उनके PEAP प्रोफाइल को हटा दें।
Purple कहाँ फिट बैठता है?
Purple हार्डवेयर-अज्ञेयवादी है। हम Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks और Fortinet पर क्लाउड ओवरले के रूप में काम करते हैं। इसमें पुराने इंफ्रास्ट्रक्चर को हटाने और बदलने की कोई आवश्यकता नहीं है। Purple आपके द्वारा आज चलाए जा रहे नेटवर्क के शीर्ष पर लेयर के रूप में काम करता है।
कर्मचारियों और निवासियों के लिए, Purple की Identity-Based Networks स्टाफ WiFi और मल्टी-टेनेंट WiFi एक्सेस को पहचान से जोड़ती हैं। वे Microsoft Entra ID, Okta या Google Workspace से जुड़े क्लाउड RADIUS के माध्यम से काम करते हैं। नए जुड़ने वाले, स्थानांतरण करने वाले और छोड़ने वाले कर्मचारियों का प्रबंधन हाथ से करने के बजाय डायरेक्टरी से किया जाता है। जो उपकरण 802.1X नहीं चला सकते, उन्हें iPSK मिलता है।
मेहमानों के लिए, Purple का Guest WiFi एक Captive Portal प्रदान करता है, जो एक्सेस से पहले दिखाया गया एक वेब पेज है, जिसमें सचेत-पसंद ऑप्ट-इन शामिल हैं। यह OpenRoaming का भी समर्थन करता है, जो Passpoint (Hotspot 2.0) पर निर्मित वायरलेस ब्रॉडबैंड एलायंस फेडरेशन है। OpenRoaming लौटने वाले उपकरणों को एन्क्रिप्टेड कनेक्शन पर स्वचालित रूप से जुड़ने देता है। Purple के Connect प्लान में OpenRoaming के लिए एक पहचान प्रदाता शामिल है। WiFi Analytics फिर उन कनेक्शनों को ड्वेल टाइम और बार-बार आने वाली यात्राओं के फ़र्स्ट-पार्टी डेटा में बदल देता है।
Purple 80,000+ से अधिक लाइव स्थानों पर काम करता है और उसने 2024 में 440 मिलियन लॉगिन संभाले (Purple का अपना डेटा)। Purple ISO 27001 प्रमाणित, GDPR अनुपालन और Cyber Essentials प्रमाणित है।
अक्सर पूछे जाने वाले प्रश्न
क्या EAP-TLS, PEAP की तुलना में अधिक सुरक्षित है?
हाँ। EAP-TLS दोनों पक्षों को प्रमाणपत्रों के साथ प्रमाणित करता है, इसलिए किसी फ़िशिंग, अनुमान लगाने या किसी नकली एक्सेस पॉइंट से कैप्चर करने के लिए कोई पासवर्ड नहीं होता है। PEAP एक एन्क्रिप्टेड टनल के अंदर पासवर्ड की सुरक्षा करता है। इसकी सुरक्षा सर्वर प्रमाणपत्र को सत्यापित करने वाले प्रत्येक डिवाइस पर निर्भर करती है। अच्छी तरह से कॉन्फ़िगर किया गया PEAP व्यक्तिगत डिवाइसों के लिए स्वीकार्य है। कॉर्पोरेट स्वामित्व वाले डिवाइसों, भुगतान टर्मिनलों और नैदानिक उपकरणों के लिए, EAP-TLS क्रेडेंशियल हमले के एक पूरे वर्ग को समाप्त कर देता है।
क्या PCI DSS को वायरलेस नेटवर्क के लिए EAP-TLS की आवश्यकता होती है?
नहीं। PCI DSS v4.0 किसी EAP विधि का नाम नहीं देता है। इसके लिए कार्डधारक डेटा ले जाने वाले वायरलेस नेटवर्क पर मजबूत क्रिप्टोग्राफी और आवश्यकता 11.2.1 के तहत अनधिकृत एक्सेस पॉइंट्स के लिए त्रैमासिक जांच की आवश्यकता होती है। यह उन सभी स्थानों पर पासवर्ड नियंत्रण भी निर्धारित करता है जहां पासवर्ड का उपयोग किया जाता है। EAP-TLS इन-स्कोप डिवाइसों के लिए WiFi पासवर्ड को दायरे से बाहर कर देता है, जिससे आपके सबूत की प्रक्रिया छोटी हो जाती है। PEAP भी अनुपालन कर सकता है, यदि सर्वर सत्यापन और पासवर्ड नीति लागू और दस्तावेज की गई हो।
क्या हम बिना किसी डाउनटाइम के PEAP से EAP-TLS पर जा सकते हैं?
हाँ। एक RADIUS सेवा एक ही नेटवर्क नाम पर दोनों विधियों को स्वीकार कर सकती है। प्रत्येक डिवाइस उसी विधि का उपयोग करता है जो उसकी प्रोफ़ाइल निर्दिष्ट करती है। प्रमाणपत्र जारी करें और अपने MDM के माध्यम से नई EAP-TLS प्रोफ़ाइल पुश करें, फिर डिवाइस स्विच होने पर RADIUS लॉग देखें। जब कोई भी प्रबंधित डिवाइस अब PEAP के साथ प्रमाणित न हो, तो उनकी PEAP प्रोफाइल हटा दें। PEAP केवल उन्हीं व्यक्तिगत डिवाइसों के लिए रखें जिन्हें आप नामांकित नहीं कर सकते।
क्या हमें EAP-TLS चलाने के लिए MDM की आवश्यकता है?
कुछ ही डिवाइसों से अधिक के लिए, व्यावहारिक रूप से हाँ। प्रत्येक डिवाइस को एक प्रमाणपत्र, एक विश्वसनीय CA और एक WiFi प्रोफ़ाइल की आवश्यकता होती है। प्रत्येक प्रमाणपत्र को समाप्त होने से पहले नवीनीकृत भी किया जाना चाहिए। Microsoft Intune जैसा MDM इसे SCEP या इसी तरह के नामांकन प्रोटोकॉल के माध्यम से स्वचालित करता है। इसके बिना, एक ऑनबोर्डिंग टूल व्यक्तिगत डिवाइसों पर प्रमाणपत्र इंस्टॉल कर सकता है, लेकिन मैनुअल इंस्टॉलेशन पायलट चरण से आगे बड़े पैमाने पर काम नहीं करता है।
PEAP की तुलना में EAP-TLS की लागत क्या है?
किसी भी प्रोटोकॉल में कोई लाइसेंस शुल्क नहीं है। अंतर इंफ्रास्ट्रक्चर और कर्मचारियों के समय का है। PEAP को एक RADIUS सेवा, एक सर्वर प्रमाणपत्र और एक निर्देशिका की आवश्यकता होती है जिसे आप शायद पहले से चला रहे हैं। EAP-TLS क्लाउड में या ऑन-प्रिमाइसेस पर एक PKI, और प्रमाणपत्र प्रदान और नवीनीकृत करने के लिए एक MDM जोड़ता है। यदि आप पहले से ही MDM के लिए भुगतान करते हैं, तो अतिरिक्त लागत मुख्य रूप से PKI की है। इसके बदले, WiFi पासवर्ड रीसेट और रोटेशन लॉकआउट समाप्त हो जाते हैं।
क्या Purple उन एक्सेस पॉइंट्स के साथ काम करेगा जो हमारे पास पहले से हैं?
हाँ। Purple हार्डवेयर-अज्ञेयवादी है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks और Fortinet पर क्लाउड ओवरले के रूप में चलता है। ये सभी बाहरी RADIUS सर्वर के साथ 802.1X का समर्थन करते हैं। आपके एक्सेस पॉइंट EAP-TLS और PEAP के बीच चयन को सीमित नहीं करते हैं। इसमें पुराने इंफ्रास्ट्रक्चर को हटाने और बदलने की आवश्यकता नहीं है: Purple आपके द्वारा आज चलाए जा रहे नेटवर्क के शीर्ष पर लेयर के रूप में काम करता है।
क्या मेहमानों को EAP-TLS या PEAP का उपयोग करना चाहिए?
नहीं। दोनों प्रोटोकॉल एक ज्ञात व्यक्ति या प्रबंधित डिवाइस की उम्मीद करते हैं, और होटल, स्टेडियम और स्टेशन के मेहमान इनमें से कुछ भी नहीं हैं। ऑप्ट-इन और उपयोग की शर्तों के लिए Captive Portal का उपयोग करें। Passpoint पर निर्मित OpenRoaming का उपयोग करें, ताकि लौटने वाले डिवाइस एक एन्क्रिप्टेड लिंक के माध्यम से स्वचालित रूप से कनेक्ट हो जाएं। Purple का Guest WiFi दोनों को कवर करता है, और Connect प्लान में OpenRoaming के लिए एक पहचान प्रदाता शामिल है।
क्या 2026 में PEAP का उपयोग करना अभी भी सुरक्षित है?
हाँ, सीमाओं के भीतर। लॉक्ड सर्वर प्रमाणपत्र सत्यापन और मजबूत निर्देशिका पासवर्ड के साथ PEAP व्यक्तिगत डिवाइसों के लिए एक उचित विकल्प बना हुआ है। Windows पर इसकी भूमिका सिकुड़ रही है, जहाँ Credential Guard सहेजे गए MSCHAPv2 क्रेडेंशियल को ब्लॉक करता है। Microsoft इसके बजाय प्रमाणपत्र-आधारित प्रमाणीकरण की सिफारिश करता है। प्रत्येक प्रबंधित Windows डिवाइस के लिए EAP-TLS की योजना बनाएं, और PEAP को उन डिवाइसों के लिए रखें जिन्हें आप नियंत्रित नहीं करते हैं।
मुख्य परिभाषाएं
IEEE 802.1X
पोर्ट-आधारित नेटवर्क पहुंच नियंत्रण के लिए IEEE मानक। एक्सेस पॉइंट द्वारा इसके ट्रैफ़िक को फॉरवर्ड करने से पहले एक डिवाइस को ऑथेंटिकेट करने की आवश्यकता होती है, जो एक्सचेंज को RADIUS सर्वर में EAP संदेशों के रूप में ले जाता है।
EAP-TLS और PEAP दोनों 802.1X के अंदर चलते हैं, इसलिए इस गाइड में विकल्प यह है कि आपका 802.1X परिनियोजन किस EAP विधि का उपयोग करता है, न कि 802.1X का उपयोग करना है या नहीं।
EAP-TLS
IETF RFC 5216 में परिभाषित और RFC 9190 में TLS 1.3 के लिए अद्यतन की गई एक EAP विधि। सर्वर और डिवाइस प्रत्येक एक डिजिटल सर्टिफिकेट प्रस्तुत करते हैं, और डिवाइस साबित करता है कि उसके पास एक प्राइवेट कुंजी है जो इसे कभी नहीं छोड़ती है।
कॉर्पोरेट-स्वामित्व वाले लैपटॉप, भुगतान टर्मिनल, स्कैनर और नैदानिक डिवाइसों के लिए अनुशंसित विधि, क्योंकि कोई पासवर्ड नेटवर्क पार नहीं करता है और एक खोए हुए डिवाइस के लिए केवल एक सर्टिफिकेट रिवोकेशन लगता है।
PEAP
Protected EAP, जिसे Microsoft, Cisco और RSA Security द्वारा विकसित किया गया है और IETF मानक के बजाय Microsoft के MS-PEAP प्रोटोकॉल विनिर्देश में प्रलेखित किया गया है। इसमें केवल सर्वर एक प्रमाणपत्र प्रस्तुत करता है; डिवाइस एक TLS टनल के भीतर क्रेडेंशियल भेजता है।
व्यक्तिगत फोन और ठेकेदार डिवाइसों के लिए फ़ॉलबैक जिन्हें आप एनरोल नहीं कर सकते। यह केवल सर्वर सर्टिफिकेट सत्यापन लॉक ऑन होने और मजबूत डायरेक्टरी पासवर्ड के साथ ही स्वीकार्य है।
MSCHAPv2
Microsoft Challenge Handshake Authentication Protocol संस्करण 2, पासवर्ड आधारित आंतरिक विधि जो लगभग हमेशा PEAP के अंदर उपयोग की जाती है। Microsoft Security Advisory 2743314 (2012) ने चेतावनी दी थी कि बिना एनकैप्सुलेटेड MSCHAPv2 एक्सचेंजों को क्रैक किया जा सकता है।
इसकी कमजोरी के कारण ही सर्वर प्रमाण पत्र सत्यापन PEAP की सुरक्षा तय करता है, और यही कारण है कि Windows Credential Guard अब सहेजे गए MSCHAPv2 WiFi क्रेडेंशियल को ब्लॉक करता है।
RADIUS
प्रमाणीकरण सेवा जो एक्सेस पॉइंट द्वारा रिले किए गए EAP संदेशों को प्राप्त करती है और प्रत्येक 802.1X कनेक्शन को स्वीकृत या अस्वीकृत करती है, तथा विकल्प के रूप में डिवाइस के लिए VLAN जैसे गुण (attributes) वापस करती है।
एक RADIUS सेवा एक ही नेटवर्क नाम पर EAP-TLS और PEAP स्वीकार कर सकती है, जो शून्य-डाउनटाइम माइग्रेशन को संभव बनाती है। इसे रिडंडेंसी के साथ चलाएं, क्योंकि प्रमाणीकरण महत्वपूर्ण पथ (critical path) पर स्थित है।
Evil twin
एक अनधिकृत (rogue) एक्सेस पॉइंट जो आपके नेटवर्क नाम को प्रसारित करता है। एक PEAP क्लाइंट जो सर्वर प्रमाणपत्र सत्यापन को छोड़ देता है, वह इसके साथ MSCHAPv2 को पूरा करता है और एक चैलेंज और रिस्पॉन्स सौंप देता है।
मुख्य PEAP जोखिम। हाल के Android संस्करणों ने सत्यापन को छोड़ने के विकल्प को हटा दिया है, और PCI-DSS आवश्यकता 11.2.1 को अनधिकृत एक्सेस पॉइंट्स के लिए त्रैमासिक जांच की आवश्यकता होती है।
OCSP और CRL
Online Certificate Status Protocol (RFC 6960) और सर्टिफिकेट रद्दीकरण सूची (CRL), वे दो तंत्र जिनका उपयोग RADIUS सर्वर यह पुष्टि करने के लिए करता है कि EAP-TLS हैंडशेक के दौरान क्लाइंट प्रमाणपत्र रद्द नहीं किया गया है।
रद्दीकरण (revocation) जांच ही प्रति-डिवाइस ऑफबोर्डिंग को कारगर बनाती है: एक प्रमाणपत्र रद्द करें और केवल वही डिवाइस एक्सेस खो देता है।
PKI
पब्लिक की इंफ्रास्ट्रक्चर (PKI), वह सिस्टम जो ऑन-प्रिमाइसेस या क्लाउड में संचालित होकर प्रमाणपत्र जारी और रद्द करता है। प्रत्येक क्लाइंट डिवाइस को एक प्रमाणपत्र जारी करने के लिए EAP-TLS को इसकी आवश्यकता होती है।
EAP-TLS की मुख्य शुरुआती लागत। यदि आप पहले से ही MDM के लिए भुगतान करते हैं, तो PEAP की तुलना में PKI ही अधिकांश अतिरिक्त खर्च है।
SCEP
Simple Certificate Enrollment Protocol, जो RFC 8894 में निर्दिष्ट है, इसका उपयोग Microsoft Intune जैसे MDM प्लेटफॉर्म द्वारा स्वचालित रूप से डिवाइस प्रमाणपत्रों का अनुरोध करने और इंस्टॉल करने के लिए किया जाता है।
यह तरीका बड़े पैमाने पर प्रबंधित (managed) डिवाइसों तक प्रमाणपत्र पहुंचाता है और समाप्ति से पहले उन्हें नवीनीकृत करता है, यही कारण है कि मैन्युअल इंस्टॉलेशन पायलट प्रोजेक्ट से आगे नहीं बढ़ पाता।
Dynamic VLAN assignment
RFC 3580 में परिभाषित टनल एट्रिब्यूट्स का उपयोग करके प्रत्येक प्रमाणित डिवाइस के लिए एक VLAN (वर्चुअल LAN) लौटाने वाला RADIUS, ताकि एक्सेस पॉइंट डिवाइस को सही सेगमेंट पर रखे।
एक सफल 802.1X लॉगिन को फ्लैट नेटवर्क खोलने से रोकता है, जिससे भुगतान उपकरण कर्मचारियों के फोन से दूर और कार्डधारक डेटा वातावरण की पहुंच से बाहर रहते हैं।
Windows Credential Guard
एक Windows सुरक्षा विशेषता जो Microsoft के दस्तावेज़ों के अनुसार, सहेजे गए क्रेडेंशियल्स का उपयोग करके MSCHAPv2-आधारित WiFi और VPN कनेक्शनों को रोकती है। यह संस्करण 22H2 से योग्य Windows 11 Enterprise और Education डिवाइसों पर डिफ़ॉल्ट रूप से सक्षम है।
एक प्लेटफॉर्म बदलाव जो प्रबंधित Windows फ़्लीट के लिए निर्णय को EAP-TLS की ओर झुकाता है, क्योंकि Microsoft प्रमाणपत्र-आधारित विधियों की सिफारिश करता है।
iPSK
Identity pre-shared key, जिसे PPSK भी कहा जाता है, जो बिना किसी 802.1X सप्लिकेंट के एक नेटवर्क नाम पर प्रत्येक डिवाइस या समूह को उसकी अपनी WiFi कुंजी देता है।
स्मार्ट टीवी, प्रिंटर और सेंसर जो EAP-TLS या PEAP नहीं चला सकते, उनके लिए सही विकल्प, जिसे एक समर्पित VLAN पर रखा जाता है।
हल किए गए उदाहरण
एक 30-प्रॉपर्टी वाला होटल समूह साझा Active Directory खातों के साथ PEAP का उपयोग करके एक ही Staff WiFi नेटवर्क पर बैक-ऑफिस लैपटॉप, हाउसकीपिंग टैबलेट और फ्रंट-डेस्क PC चलाता है। प्रत्येक खोया हुआ टैबलेट साझा पासवर्ड रीसेट करने और उसका उपयोग करने वाले प्रत्येक डिवाइस को रीकॉन्फ़िगर करने के लिए मजबूर करता है।
प्रत्येक डिवाइस पहले से ही एक MDM में एनरोल था, इसलिए टीम ने एक क्लाउड PKI स्थापित किया और SCEP (RFC 8894) का उपयोग करके डिवाइस सर्टिफिकेट पुश किए। फिर Staff WiFi प्रोफाइल EAP-TLS पर स्विच हो गई, जबकि कटओवर के दौरान PEAP उसी RADIUS सेवा पर लाइव रहा। डायनेमिक VLAN असाइनमेंट ने हाउसकीपिंग टैबलेट्स को फाइनेंस लैपटॉप से अलग सेगमेंट में रखा। साझा WiFi खाते शून्य हो गए। एक खोए हुए टैबलेट के लिए अब दर्जनों डिवाइसों में पासवर्ड रीसेट करने के बजाय एक सर्टिफिकेट रिवोकेशन लगता है, और पासवर्ड रोटेशन अब WiFi को प्रभावित नहीं करता है क्योंकि कोई WiFi पासवर्ड बचा ही नहीं है।
शहर के केंद्र में स्थित एक सम्मेलन स्थल प्रत्येक व्यस्त सीजन में लगभग 300 अस्थायी कर्मचारियों को काम पर रखता है। वे रोस्टरिंग और रेडियो ऐप के लिए व्यक्तिगत फोन का उपयोग करते हैं, उन्हें MDM में एनरोल करने के लिए नहीं कहा जा सकता है, और उन्होंने स्टाफ रूम के नोटिस बोर्ड पर पिन किया गया एक WPA2-Personal पासवर्ड साझा किया है।
IT ने प्रत्येक अस्थायी कर्मचारी के लिए एक समाप्ति तिथि के साथ एक डायरेक्टरी खाता बनाया और Staff WiFi को PEAP पर स्थानांतरित कर दिया। एक बार के ऑनबोर्डिंग प्रोफाइल ने प्रत्येक फोन पर विश्वसनीय CA और सर्वर नाम को फिक्स कर दिया, जिससे MDM एनरोलमेंट के बिना evil twin अंतर बंद हो गया। अनुबंध समाप्ति तिथि पर खाते स्वचालित रूप से अक्षम हो जाते हैं, और उपस्थित लोग एक अलग Captive Portal नेटवर्क पर रहे। साझा पासवर्ड को हटा दिया गया। छोड़ने वाले अगली पासवर्ड तब्दीली के बजाय अपनी समाप्ति तिथि पर पहुंच खो देते हैं, और प्रत्येक इवेंट के बाद ऑडिट के लिए RADIUS लॉग में प्रत्येक स्टाफ कनेक्शन एक नामित खाते में मैप होता है।
एक 120-स्टोर वाला रिटेलर एक साझा सेवा खाते के साथ PEAP पर हैंडहेल्ड स्कैनर और मोबाइल पॉइंट-ऑफ-सेल डिवाइस चलाता है। उस खाते का प्रत्येक निर्धारित रोटेशन उन स्टोरों में रात भर ऑथेंटिकेशन विफलताओं का कारण बनता है जहां डिवाइस पुराना पासवर्ड रखते हैं।
IT ने स्कैनर और भुगतान डिवाइसों को पहले से चलाए जा रहे MDM के माध्यम से EAP-TLS पर स्थानांतरित कर दिया, जिससे प्रत्येक डिवाइस को उसका अपना सर्टिफिकेट मिल गया। स्टोर स्टाफ के फोन PEAP पर ही रहे, जो कि कार्डहोल्डर डेटा वातावरण के लिए कोई मार्ग न रखने वाले एक अलग VLAN पर था। रोटेशन-डे आउटेज बंद हो गए क्योंकि इन-स्कोप डिवाइस अब साझा पासवर्ड पर निर्भर नहीं थे, और रिवोकेशन प्रति स्टोर के बजाय प्रति डिवाइस हो गया। PCI-DSS आवश्यकता 11.2.1 के तहत त्रैमासिक दुष्ट एक्सेस प्वाइंट जांच अपरिवर्तित जारी रही, जबकि इन-स्कोप डिवाइसों से WiFi पासवर्ड हटाने से ऑडिट के लिए आवश्यक साक्ष्य छोटे हो गए।
अभ्यास प्रश्न
Q1. एक विश्वविद्यालय का IT विभाग 20,000 छात्रों के लिए पूरे परिसर में सुरक्षित WiFi तैनात कर रहा है। छात्र अपने स्वयं के लैपटॉप और स्मार्टफोन लाते हैं जिनमें Windows, macOS, iOS और Android का मिश्रण चल रहा है। IT निदेशक अधिकतम सुरक्षा पर जोर देते हैं और EAP-TLS का प्रस्ताव रखते हैं। आपकी आर्किटेक्चरल सिफारिश क्या है?
संकेत: एक विषम (heterogeneous) डिवाइस एस्टेट में गैर-प्रबंधित, व्यक्तिगत स्वामित्व वाले डिवाइसों पर प्रमाणपत्र प्रबंधन के परिचालन संबंधी ओवरहेड पर विचार करें।
मॉडल उत्तर देखें
इस विशिष्ट उपयोग मामले के लिए EAP-TLS के विरुद्ध सलाह दें। यद्यपि EAP-TLS उच्चतम सुरक्षा प्रदान करता है, बिना MDM समाधान के गैर-प्रबंधित छात्र उपकरणों पर 20,000+ क्लाइंट प्रमाणपत्रों को तैनात करना और प्रबंधित करना एक कठिन सहायता बोझ पैदा करेगा। छात्र अक्सर उपकरण बदलते हैं, और MDM स्वचालन के बिना iOS, Android, Windows और macOS पर प्रमाणपत्र इंस्टॉलेशन की ऑनबोर्डिंग प्रक्रिया जटिल है। विश्वविद्यालय की छात्र निर्देशिका सेवा के साथ एकीकृत PEAP (या EAP-TTLS) की सिफारिश करें। सुनिश्चित करें कि सर्वर प्रमाणपत्र को सख्ती से सत्यापित करने के लिए छात्र उपकरणों को कॉन्फ़िगर करने हेतु मजबूत ऑनबोर्डिंग टूल का उपयोग किया जाता है। वैकल्पिक रूप से, कर्मचारियों के उन उपकरणों के लिए जो विश्वविद्यालय द्वारा प्रबंधित हैं, एक अलग SSID पर EAP-TLS तैनात करें, जिससे एक स्तरीय सुरक्षा आर्किटेक्चर बनता है।
Q2. एक सुरक्षा ऑडिट के दौरान, एक पेनिट्रेशन टेस्टर समान SSID प्रसारित करने वाला एक दुष्ट एक्सेस प्वाइंट स्थापित करके आपके PEAP-सुरक्षित वायरलेस नेटवर्क से उपयोगकर्ता क्रेडेंशियल सफलतापूर्वक एकत्र करता है। इस भेद्यता का मूल कारण क्या है, और इसका निवारण क्या है?
संकेत: PEAP में TLS टनल स्थापना चरण के दौरान क्या होता है, और क्लाइंट डिवाइस क्या जांच रहा है - या नहीं जांच रहा है - इस पर विचार करें।
मॉडल उत्तर देखें
मूल कारण सप्लिकेंट का गलत कॉन्फ़िगरेशन है। क्लाइंट डिवाइस RADIUS सर्वर के डिजिटल प्रमाणपत्र को सख्ती से सत्यापित करने के लिए कॉन्फ़िगर नहीं किए गए हैं। जब दुष्ट AP ने एक फर्जी प्रमाणपत्र प्रस्तुत किया, तो क्लाइंट डिवाइसों ने आँख मूंदकर उस पर भरोसा किया, हमलावर के साथ TLS टनल स्थापित की, और MSCHAPv2 प्रमाणीकरण एक्सचेंज प्रसारित किया। हमलावर इसे ऑफ़लाइन क्रैक कर सकता है। निवारण तीन प्रकार से है: (1) सभी क्लाइंट उपकरणों पर ग्रुप पॉलिसी या MDM प्रोफ़ाइल के माध्यम से सख्त सर्वर प्रमाणपत्र सत्यापन लागू करें; (2) अन्य डोमेन के प्रमाणपत्रों की स्वीकृति को रोकने के लिए सप्लिकेंट कॉन्फ़िगरेशन में सटीक अपेक्षित RADIUS सर्वर डोमेन नाम निर्दिष्ट करें; (3) दुष्ट एक्सेस पॉइंट्स का पता लगाने और अलर्ट करने के लिए एक वायरलेस इंट्रूज़न डिटेक्शन सिस्टम (WIDS) तैनात करें।
Q3. एक स्वास्थ्य सेवा प्रदाता रोगी के रिकॉर्ड तक पहुंचने वाले मोबाइल नर्सिंग वर्कस्टेशन का समर्थन करने के लिए अपने नेटवर्क को अपग्रेड कर रहा है। ये वर्कस्टेशन कॉर्पोरेट के स्वामित्व वाले हैं, Microsoft Intune के माध्यम से IT द्वारा सख्ती से प्रबंधित हैं, और वातावरण को स्वास्थ्य सेवा डेटा सुरक्षा नियमों का अनुपालन करना आवश्यक है। क्या उन्हें PEAP या EAP-TLS तैनात करना चाहिए?
संकेत: नियामक वातावरण, डिवाइस नियंत्रण के स्तर और एक्सेस किए जा रहे डेटा की संवेदनशीलता का मूल्यांकन करें।
मॉडल उत्तर देखें
बिना किसी झिझक के EAP-TLS तैनात करें। स्वास्थ्य सेवा वातावरण को सख्त अनुपालन और क्रेडेंशियल चोरी के खिलाफ अधिकतम सुरक्षा की आवश्यकता होती है - स्वास्थ्य सेवा नेटवर्क में एक समझौता किया गया पासवर्ड रोगी के रिकॉर्ड को उजागर कर सकता है और GDPR और क्षेत्र-विशिष्ट डेटा सुरक्षा आवश्यकताओं के तहत महत्वपूर्ण नियामक जुर्माना लगा सकता है। चूंकि उपकरण कॉर्पोरेट के स्वामित्व वाले हैं और Microsoft Intune के माध्यम से सख्ती से प्रबंधित हैं, क्लाइंट प्रमाणपत्र तैनात करना परिचालन रूप से व्यावहारिक है और पूरी तरह से स्वचालित किया जा सकता है। EAP-TLS यह सुनिश्चित करने के लिए आवश्यक पारस्परिक प्रमाणीकरण प्रदान करता है कि केवल अधिकृत, कॉर्पोरेट-प्रबंधित उपकरण ही नैदानिक नेटवर्क तक पहुंच सकें। इसके अतिरिक्त, EAP-TLS अनुपालन ऑडिट को सरल बनाता है - नेटवर्क आर्किटेक्चर की समीक्षा करने वाले ऑडिटरों को एक प्रमाणपत्र-आधारित, पासवर्ड-रहित प्रमाणीकरण प्रणाली दिखाई देगी जो अंतर्निहित रूप से पासवर्ड-आधारित विकल्पों की तुलना में अधिक सुरक्षित है।
अक्सर पूछे जाने वाले प्रश्न
What is the key difference between EAP-TLS and PEAP?
The fundamental difference is mutual authentication using digital certificates. EAP-TLS requires cryptographic X.509 certificates on both the RADIUS server and the client device, completely eliminating passwords and credential-based attacks. PEAP (typically PEAP-MSCHAPv2) only requires a digital certificate on the RADIUS server, while client devices authenticate using traditional usernames and passwords tunneled through an encrypted TLS session.
Why is PEAP-MSCHAPv2 considered vulnerable to credential theft and rogue AP attacks?
PEAP-MSCHAPv2 relies on the client device validating the RADIUS server certificate before transmitting credentials. In practice, unmanaged endpoints and misconfigured supplicants often fail to validate the server certificate or domain name. An attacker operating a rogue access point (Evil Twin) can present a fake certificate, capture the MSCHAPv2 challenge and response exchange, and crack the user password offline using cloud-based dictionary or rainbow table attacks.
Can EAP-TLS be deployed on unmanaged or BYOD devices?
Deploying EAP-TLS on unmanaged personal devices requires an automated onboarding workflow or captive portal onboarding assistant that provisions a short-lived or revocable client certificate. Because manual certificate installation is complex for non-technical users, organisations lacking an automated certificate onboarding mechanism often deploy EAP-TTLS with cloud directory credentials or WPA3-Enterprise with Passpoint profiles for BYOD fleets.
How does Microsoft Entra ID handle EAP-TLS compared to PEAP?
Microsoft Entra ID (formerly Azure AD) does not support legacy password-based authentication protocols like MSCHAPv2 because it does not store password hashes on-premises. As a result, native cloud Entra ID environments cannot directly authenticate PEAP-MSCHAPv2 without legacy hybrid domain controllers. EAP-TLS is the standard for Entra ID networks, pairing Microsoft Intune and Cloud PKI or SCEP with a cloud RADIUS server to authenticate devices based on verified directory identity.
What operational infrastructure is required to manage EAP-TLS client certificates?
EAP-TLS requires a Public Key Infrastructure (PKI) - either an on-premises Certificate Authority (such as AD CS) or a cloud PKI service - and a mobile device management (MDM) platform like Microsoft Intune, Jamf, or Workspace ONE to automatically issue, renew, and revoke certificates via SCEP (RFC 8894) or EST. The wireless network also requires an 802.1X-capable RADIUS server to validate incoming certificate chains and check revocation status via CRL or OCSP.
How does Cloud RADIUS simplify migrating from PEAP to EAP-TLS?
Cloud RADIUS eliminates the need to deploy and patch physical on-premises RADIUS servers (such as Windows Server NPS or FreeRADIUS clusters). Modern cloud RADIUS platforms integrate directly with cloud identity providers like Microsoft Entra ID, Okta, and Google Workspace, validate client certificates dynamically against issuing CAs, and assign role-based VLANs and access policies without on-premises hardware or VPN tunnels.
स्रोत
- IETF RFC 5216: The EAP-TLS Authentication Protocol
- IETF RFC 9190: EAP-TLS 1.3
- IETF RFC 3580: IEEE 802.1X RADIUS Usage Guidelines
- Microsoft Security Advisory 2743314
- Microsoft Learn: Credential Guard overview
- PCI Security Standards Council document library (PCI DSS v4.0)
- CA/Browser Forum
- IBM Cost of a Data Breach Report
इस श्रृंखला में आगे पढ़ें
WiFi के लिए Microsoft Cloud PKI: Intune और Entra ID के साथ EAP-TLS प्रमाण पत्र परिनियोजन
आप यह तय करने में सक्षम होंगे कि Microsoft Cloud PKI, एक Cloud PKI root या bring your own CA (BYOCA) आपकी संपत्ति के लिए उपयुक्त है या नहीं। इसके बाद आप NDES के बिना Intune-प्रबंधित उपकरणों में EAP-TLS WiFi प्रमाण पत्र तैनात कर सकते हैं। यह गाइड RADIUS को शृंखला पर भरोसा कराने, CRL के माध्यम से प्रमाण पत्रों को रद्द करने और आठ सबसे आम विफलताओं को ठीक करने को भी कवर करती है।
cloud RADIUS के साथ Juniper Mist पर 802.1X कॉन्फ़िगर करना
आप Juniper Mist पर एक WPA2 या WPA3-Enterprise WLAN कॉन्फ़िगर करने में सक्षम होंगे जो cloud RADIUS के खिलाफ प्रमाणित होता है, UDP RADIUS, RadSec और Mist Edge प्रॉक्सी के बीच निर्णय ले सकेंगे, और RADIUS विशेषताओं को डायनेमिक VLANs में मैप कर सकेंगे। आप यह भी जान पाएंगे कि Mist की क्लाइंट इनसाइट्स टाइमलाइन और Marvis कहाँ दिखाते हैं कि कोई विफल प्रमाणीकरण वास्तव में कहाँ टूटा।
iOS और macOS 802.1X ट्रबलशूटिंग: Intune, Jamf और Entra ID के लिए एक डिप्लॉयमेंट चेकलिस्ट
यह जांचने के लिए इस चेकलिस्ट का उपयोग करें कि iPhones, iPads और Macs Intune या Jamf Pro पर 802.1X में विफल क्यों होते हैं। प्रत्येक विफलता चार कारणों में से एक से जुड़ी होती है: सर्वर ट्रस्ट, आइडेंटिटी सर्टिफिकेट, macOS मोड या Entra ID ग्रुप स्कोपिंग। आप eapolclient और RADIUS लॉग से कारण की पुष्टि करेंगे, समाधान लागू करेंगे और भविष्य के सर्टिफिकेट रोटेशन को व्यवस्थित करेंगे।
अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?
हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।