EAP-TLS बनाम PEAP: आपके नेटवर्क के लिए कौन सा ऑथेंटिकेशन प्रोटोकॉल सही है?

EAP-TLS बनाम PEAP: आपके नेटवर्क के लिए कौन सा ऑथेंटिकेशन प्रोटोकॉल सही है? एक Purple टेक्निकल ब्रीफिंग [परिचय — लगभग 1 मिनट] Purple टेक्निकल ब्रीफिंग में स्वागत है। मैं आपका होस्ट हूँ, और आज हम आपके एंटरप्राइज वायरलेस इंफ्रास्ट्रक्चर को डिजाइन या अपग्रेड करते समय आपके द्वारा लिए जाने वाले सबसे महत्वपूर्ण निर्णयों में से एक पर चर्चा कर रहे हैं: आपके 802.1X ऑथेंटिकेशन फ्रेमवर्क के लिए EAP-TLS और PEAP के बीच का चुनाव। यदि आप एक IT प्रबंधक, नेटवर्क आर्किटेक्ट, या CTO हैं जो एक होटल समूह, एक रिटेल एस्टेट, एक स्टेडियम, या एक सार्वजनिक क्षेत्र के संगठन के लिए जिम्मेदार हैं, तो यह निर्णय आपकी सुरक्षा स्थिति, आपकी अनुपालन स्थिति और आपकी टीम द्वारा वहन किए जाने वाले दैनिक ऑपरेशनल ओवरहेड को प्रभावित करता है। तो चलिए सीधे मुद्दे पर आते हैं। EAP-TLS और PEAP दोनों 802.1X ऑथेंटिकेशन विधियां हैं। वे दोनों ऑथेंटिकेशन अनुरोधों को संभालने के लिए एक RADIUS सर्वर पर निर्भर करते हैं, और वे दोनों एक साझा WPA2 पासफ़्रेज़ की तुलना में काफी मजबूत सुरक्षा प्रदान करते हैं। लेकिन पहचान को सत्यापित करने का उनका तरीका मौलिक रूप से भिन्न है — और उस अंतर का आपके नेटवर्क को डिप्लॉय, प्रबंधित और स्केल करने के तरीके पर बड़ा प्रभाव पड़ता है। [तकनीकी विश्लेषण — लगभग 5 मिनट] आइए EAP-TLS — Extensible Authentication Protocol Transport Layer Security से शुरू करें। EAP-TLS एंटरप्राइज WiFi ऑथेंटिकेशन का गोल्ड स्टैंडर्ड है। इसकी परिभाषित विशेषता म्यूचुअल सर्टिफिकेट ऑथेंटिकेशन है। व्यवहार में इसका अर्थ यह है: जब कोई डिवाइस आपके नेटवर्क से कनेक्ट करने का प्रयास करता है, तो RADIUS सर्वर डिवाइस को एक डिजिटल सर्टिफिकेट प्रस्तुत करता है। डिवाइस अपने विश्वसनीय सर्टिफिकेट अथॉरिटीज के खिलाफ उस सर्टिफिकेट की जांच करता है। लेकिन PEAP से महत्वपूर्ण अंतर यहाँ है — डिवाइस फिर सर्वर को अपना सर्टिफिकेट वापस प्रस्तुत करता है। सर्वर उस क्लाइंट सर्टिफिकेट को सत्यापित करता है, और केवल तभी जब दोनों सर्टिफिकेट वैध और विश्वसनीय होते हैं, नेटवर्क एक्सेस प्रदान करता है। इसमें कोई पासवर्ड शामिल नहीं है। बिल्कुल नहीं। ऑथेंटिकेशन पूरी तरह से सर्टिफिकेट-आधारित है। यह EAP-TLS को क्रेडेंशियल चोरी, डिक्शनरी हमलों और मैन-इन-द-मिडल हमलों के प्रति असाधारण रूप से प्रतिरोधी बनाता है। आप बस उस पासवर्ड को नहीं चुरा सकते जो ऑथेंटिकेशन फ्लो में मौजूद ही नहीं है। अब, इसका दूसरा पहलू डिप्लॉयमेंट की जटिलता है। बड़े पैमाने पर EAP-TLS चलाने के लिए, आपको अपने नेटवर्क पर हर एक डिवाइस के लिए सर्टिफिकेट जारी करने, प्रबंधित करने और निरस्त करने के लिए एक पब्लिक की इंफ्रास्ट्रक्चर — एक PKI — की आवश्यकता होती है। आपको एंडपॉइंट्स पर उन सर्टिफिकेट्स को साइलेंट रूप से पुश करने के लिए एक मोबाइल डिवाइस मैनेजमेंट समाधान की भी आवश्यकता होती है। यदि आप Microsoft Intune या Jamf के साथ एक कॉर्पोरेट एस्टेट चला रहे हैं, तो यह पूरी तरह से प्रबंधनीय है। यदि आप ऐसा नहीं कर रहे हैं, तो EAP-TLS एक महत्वपूर्ण कार्य बन जाता है। दूसरा ऑपरेशनल विचार सर्टिफिकेट लाइफसाइकिल प्रबंधन है। सर्टिफिकेट समाप्त हो जाते हैं। यदि आपका RADIUS सर्वर सर्टिफिकेट समाप्त हो जाता है, तो आपके नेटवर्क पर प्रत्येक डिवाइस एक साथ ऑथेंटिकेट करने में विफल हो जाएगा। यह एक विनाशकारी आउटेज है। सर्टिफिकेट की निगरानी और रिन्यूअल प्रक्रियाएं गैर-परक्राम्य हैं। अब आइए PEAP — Protected Extensible Authentication Protocol को देखें। PEAP को मजबूत सुरक्षा प्रदान करते हुए EAP-TLS की डिप्लॉयमेंट जटिलता को दूर करने के लिए डिज़ाइन किया गया था। PEAP के पीछे मुख्य विचार यह है: आपको केवल सर्वर के पास सर्टिफिकेट होने की आवश्यकता है। क्लाइंट को इसकी आवश्यकता नहीं है। यह इस तरह काम करता है। RADIUS सर्वर क्लाइंट डिवाइस को अपना सर्टिफिकेट प्रस्तुत करता है। क्लाइंट सर्वर को सत्यापित करता है — ठीक वैसे ही जैसे EAP-TLS में होता है। इससे एक एन्क्रिप्टेड TLS टनल स्थापित होती है। उस टनल के भीतर, क्लाइंट फिर आपके पहचान स्टोर — Active Directory, LDAP, Google Workspace, जो भी आप उपयोग कर रहे हैं — के खिलाफ आमतौर पर MSCHAPv2 का उपयोग करके मानक पासवर्ड-आधारित ऑथेंटिकेशन करता है। पासवर्ड कभी भी प्लेनटेक्स्ट में यात्रा नहीं करता है। यह हमेशा एन्क्रिप्टेड टनल के अंदर सुरक्षित रहता है। इसलिए PEAP वास्तव में सुरक्षित है — बशर्ते इसे सही ढंग से कॉन्फ़िगर किया गया हो। और यहीं पर हमें PEAP डिप्लॉयमेंट में सबसे आम और सबसे खतरनाक गलत कॉन्फ़िगरेशन के बारे में बात करने की आवश्यकता है। यदि कोई क्लाइंट डिवाइस RADIUS सर्वर के सर्टिफिकेट को सख्ती से सत्यापित करने के लिए कॉन्फ़िगर नहीं है, तो एक हमलावर उसी नेटवर्क नाम के साथ एक दुष्ट एक्सेस पॉइंट स्थापित कर सकता है, एक फर्जी सर्टिफिकेट प्रस्तुत कर सकता है, और डिवाइस खुशी-खुशी कनेक्ट हो जाएगा। हमलावर फिर MSCHAPv2 ऑथेंटिकेशन एक्सचेंज को कैप्चर करता है, जिसे ऑफ़लाइन क्रैक किया जा सकता है। यह कोई सैद्धांतिक हमला नहीं है — यह वास्तविक दुनिया के पेनेट्रेशन परीक्षणों में उपयोग की जाने वाली एक अच्छी तरह से प्रलेखित तकनीक है। इसका समाधान सीधा है: प्रत्येक क्लाइंट डिवाइस पर सख्त सर्वर सर्टिफिकेट सत्यापन लागू करने के लिए ग्रुप पॉलिसी, MDM प्रोफाइल या ऑनबोर्डिंग टूल का उपयोग करें। लेकिन ऑपरेशनल वास्तविकता यह है कि BYOD वातावरण में, यह सुनिश्चित करना कि यह कॉन्फ़िगरेशन हजारों अप्रबंधित व्यक्तिगत उपकरणों पर लगातार लागू हो, वास्तव में कठिन है। मैं आपको एक ठोस तुलना देता हूँ। 500 स्थानों वाली एक रिटेल श्रृंखला पर विचार करें। उनके पास कॉर्पोरेट-स्वामित्व वाले टैबलेट और हैंडहेल्ड स्कैनर हैं, जो सभी Microsoft Intune के माध्यम से प्रबंधित हैं। EAP-TLS सही निर्णय है। Intune स्वचालित रूप से सर्टिफिकेट पुश करता है। यदि कोई स्कैनर खो जाता है, तो IT उसका सर्टिफिकेट निरस्त कर देता है और वह कुछ ही मिनटों में नेटवर्क से बाहर हो जाता है — कोई पासवर्ड रीसेट नहीं, 500 स्टोरों में कोई साझा पासफ़्रेज़ परिवर्तन नहीं। सुरक्षा पूर्ण है। अब अपने व्यक्तिगत उपकरणों पर 3,000 कर्मचारियों के लिए WiFi चलाने वाले एक बड़े सम्मेलन केंद्र पर विचार करें। कोई MDM नहीं। कर्मचारी Google Workspace का उपयोग करते हैं। Google Secure LDAP के साथ एकीकृत PEAP व्यावहारिक विकल्प है। कर्मचारी अपने मानक क्रेडेंशियल्स के साथ ऑथेंटिकेट करते हैं। IT टीम सर्टिफिकेट सत्यापन को कॉन्फ़िगर करने के लिए ऑनबोर्डिंग दस्तावेज़ प्रदान करती है। इसे महीनों में नहीं, बल्कि दिनों में डिप्लॉय किया जा सकता है। दोनों प्रोटोकॉल का समर्थन करने वाला आर्किटेक्चर एक ही तीन-घटक 802.1X मॉडल है: सप्लिकेंट — यानी क्लाइंट डिवाइस — ऑथेंटिकेटर, जो आपका एक्सेस पॉइंट या स्विच है, और RADIUS सर्वर। ऑथेंटिकेटर एक गेटकीपर के रूप में कार्य करता है, जो तब तक सभी ट्रैफ़िक को ब्लॉक करता है जब तक कि RADIUS सर्वर यह संकेत नहीं देता कि ऑथेंटिकेशन सफल हो गया है। [कार्यान्वयन सिफारिशें और कमियां — लगभग 2 मिनट] तो व्यावहारिक सिफारिशें क्या हैं? पहला: यदि आपके पास एक MDM समाधान और कॉर्पोरेट-स्वामित्व वाले डिवाइस हैं, तो EAP-TLS डिप्लॉय करें। PKI और सर्टिफिकेट प्रबंधन में प्रारंभिक निवेश कम जोखिम और सरलीकृत अनुपालन ऑडिट के रूप में लाभांश देता है। विनियमित वातावरणों — स्वास्थ्य सेवा, वित्त, सार्वजनिक क्षेत्र — के लिए यह वैकल्पिक नहीं है। यह वह आर्किटेक्चर है जिसे आपके ऑडिटर्स देखने की उम्मीद करते हैं। दूसरा: यदि आप BYOD वातावरण चला रहे हैं या आपके पास MDM इंफ्रास्ट्रक्चर नहीं है, तो PEAP डिप्लॉय करें। लेकिन सर्वर सर्टिफिकेट सत्यापन कॉन्फ़िगरेशन को न छोड़ें। इसे लागू करने के लिए जहां संभव हो ऑनबोर्डिंग टूल, नेटवर्क एक्सेस कंट्रोल पोर्टल या MDM प्रोफाइल का उपयोग करें। इसे एक अनिवार्य डिप्लॉयमेंट कदम के रूप में मानें, न कि एक वैकल्पिक सुरक्षा उपाय के रूप में। तीसरा: चाहे आप कोई भी प्रोटोकॉल चुनें, अपने आर्किटेक्चर में RADIUS रिडंडेंसी का निर्माण करें। ऑथेंटिकेशन एक महत्वपूर्ण मार्ग है। एक एकल RADIUS सर्वर विफलता का मतलब है कि कोई भी नेटवर्क पर नहीं आ सकता है। क्लाउड-होस्टेड RADIUS समाधान ऑन-प्रिमाइसेस रिडंडेंट इंफ्रास्ट्रक्चर के प्रबंधन के ओवरहेड के बिना लचीलापन प्रदान कर सकते हैं। चौथा: ऑथेंटिकेशन के बाद अपने नेटवर्क को सेगमेंट करें। एक सफल 802.1X ऑथेंटिकेशन को आपके पूरे कॉर्पोरेट नेटवर्क तक अप्रतिबंधित पहुंच प्रदान नहीं करनी चाहिए। उपयोगकर्ताओं को उचित एक्सेस कंट्रोल के साथ उपयुक्त नेटवर्क सेगमेंट में रखने के लिए VLAN असाइनमेंट पॉलिसियों का उपयोग करें। बचने के लिए सामान्य कमियां: EAP-TLS डिप्लॉयमेंट में बड़े पैमाने पर ऑथेंटिकेशन विफलताओं का कारण बनने वाली सर्टिफिकेट की समाप्ति; PEAP डिप्लॉयमेंट में सर्वर सर्टिफिकेट को सत्यापित नहीं करने वाले क्लाइंट डिवाइस; और वायरलेस कंट्रोलर और ऑथेंटिकेशन सर्वर के बीच उच्च लेटेंसी के कारण होने वाली RADIUS टाइमआउट समस्याएं — विशेष रूप से भौगोलिक रूप से वितरित एस्टेट में प्रासंगिक। [रैपिड-फायर प्रश्नोत्तर — लगभग 1 मिनट] आइए मैं कुछ ऐसे सवालों पर नज़र डालूँ जो मैं अक्सर सुनता हूँ। क्या मैं एक ही नेटवर्क पर EAP-TLS और PEAP दोनों चला सकता हूँ? हाँ। कई संगठन एक SSID पर कॉर्पोरेट उपकरणों के लिए EAP-TLS और एक अलग SSID पर BYOD या गेस्ट एक्सेस के लिए PEAP चलाते हैं, और उनके बीच उचित नेटवर्क सेगमेंटेशन होता है। क्या WPA3 इस निर्णय को बदलता है? WPA3 Enterprise उच्च-सुरक्षा डिप्लॉयमेंट के लिए 192-बिट सुरक्षा मोड को अनिवार्य करता है, जो EAP-TLS के अनुरूप है। WPA3 Personal, PSK के बजाय SAE का उपयोग करता है, लेकिन एंटरप्राइज 802.1X डिप्लॉयमेंट के लिए, EAP विधि का चयन प्रासंगिक बना रहता है। क्या PEAP, PCI-DSS के अनुरूप है? हाँ, जब सर्वर सर्टिफिकेट सत्यापन लागू होने के साथ सही ढंग से कॉन्फ़िगर किया गया हो। हालांकि, कार्डधारक डेटा को संभालने वाले वातावरण के लिए, सुरक्षा आकलनों में तेजी से EAP-TLS की सिफारिश की जा रही है। OpenRoaming के बारे में क्या? OpenRoaming बैकएंड में सर्टिफिकेट-आधारित ऑथेंटिकेशन का उपयोग करता है, जो EAP-TLS सिद्धांतों के अनुरूप है। Purple जैसे प्लेटफॉर्म OpenRoaming के लिए एक पहचान प्रदाता के रूप में कार्य कर सकते हैं, जिससे बिना दोबारा ऑथेंटिकेट किए विभिन्न स्थानों पर निर्बाध, सुरक्षित रोमिंग सक्षम होती है। [सारांश और अगले कदम — लगभग 1 मिनट] संक्षेप में: EAP-TLS उच्चतम-सुरक्षा विकल्प है, जो म्यूचुअल सर्टिफिकेट ऑथेंटिकेशन के माध्यम से पासवर्ड को पूरी तरह से समाप्त कर देता है। इसके लिए PKI और MDM इंफ्रास्ट्रक्चर की आवश्यकता होती है लेकिन यह सबसे मजबूत अनुपालन स्थिति और सबसे विस्तृत डिवाइस-स्तरीय एक्सेस कंट्रोल प्रदान करता है। PEAP BYOD और बिना सर्टिफिकेट प्रबंधन इंफ्रास्ट्रक्चर वाले वातावरण के लिए व्यावहारिक विकल्प है, जो मौजूदा क्रेडेंशियल्स का उपयोग करके मजबूत एन्क्रिप्टेड ऑथेंटिकेशन प्रदान करता है — लेकिन केवल तभी जब सर्वर सर्टिफिकेट सत्यापन को सख्ती से लागू किया जाए। निर्णय फ्रेमवर्क सीधा है: यदि आप अपने उपकरणों का प्रबंधन करते हैं, तो EAP-TLS का उपयोग करें। यदि आपके उपयोगकर्ता अपने स्वयं के उपकरण लाते हैं, तो PEAP का उपयोग करें — लेकिन इसे ठीक से कॉन्फ़िगर करें। आपके अगले कदमों के लिए: अपने वर्तमान ऑथेंटिकेशन कॉन्फ़िगरेशन का ऑडिट करें, अपनी PKI और MDM तत्परता का आकलन करें, और रिडंडेंसी और लेटेंसी के लिए अपने RADIUS इंफ्रास्ट्रक्चर की समीक्षा करें। यदि आप अपने कॉर्पोरेट नेटवर्क के साथ गेस्ट WiFi डिप्लॉय या अपग्रेड कर रहे हैं, तो विचार करें कि Purple जैसा प्लेटफॉर्म आपके ऑथेंटिकेशन फ्रेमवर्क के साथ कैसे एकीकृत हो सकता है ताकि आपके नेटवर्क से सुरक्षा और व्यावहारिक एनालिटिक्स दोनों प्रदान किए जा सकें। Purple टेक्निकल ब्रीफिंग सुनने के लिए धन्यवाद। अगली बार तक के लिए अलविदा।