सुरक्षित उच्च शिक्षा BYOD और WiFi प्रमाणीकरण के लिए SCEP को तैनात करना

Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम कुछ ऐसा कवर कर रहे हैं जो उच्च शिक्षा IT में लगातार सामने आता है: सुरक्षित BYOD और WiFi प्रमाणीकरण के लिए SCEP को तैनात करना। यदि आप अपने परिसर नेटवर्क पर PEAP-MSCHAPv2 चला रहे हैं, तो यह ब्रीफिंग सीधे आपके लिए प्रासंगिक है। और यदि आप पहले से ही प्रमाणपत्र-आधारित प्रमाणीकरण पर जाने की योजना बना रहे हैं, तो हम आपको वहां पहुंचने के लिए आर्किटेक्चर, कमियां और कार्यान्वयन अनुक्रम प्रदान करेंगे। आइए समस्या से शुरू करें। विश्वविद्यालय, डिजाइन से, खुले वातावरण होते हैं। छात्र सितंबर में दो, तीन, कभी-कभी पांच व्यक्तिगत उपकरणों के साथ आते हैं। वे तुरंत, सुरक्षित रूप से और हेल्पडेस्क को कॉल किए बिना कनेक्ट होने की उम्मीद करते हैं। अधिकांश संस्थानों के लिए वास्तविकता यह है कि सत्र शुरू होने के अड़तालीस घंटों के भीतर हेल्पडेस्क कतार दो हजार टिकटों तक पहुंच जाती है। यह स्टाफ की समस्या नहीं है। यह एक आर्किटेक्चर की समस्या है। मूल कारण लगभग हमेशा एक ही होता है: पासवर्ड-आधारित WiFi प्रमाणीकरण। जब आप PEAP और MSCHAPv2 के साथ WPA2-Enterprise चलाते हैं, तो आप छात्रों से हर डिवाइस पर मैन्युअल रूप से 802.1X सेटिंग्स कॉन्फ़िगर करने के लिए कह रहे होते हैं। एक गलत सेटिंग, और वे मैन-इन-द-मिडल हमले के प्रति संवेदनशील हो जाते हैं। इससे भी बदतर, जब विश्वविद्यालय हर नब्बे दिनों में पासवर्ड रीसेट करने के लिए मजबूर करता है, तो परिसर का हर डिवाइस एक साथ WiFi एक्सेस खो देता है। यह एक अनुमानित, रोके जाने योग्य आपदा है। इसका उत्तर EAP-TLS का उपयोग करके प्रमाणपत्र-आधारित प्रमाणीकरण है, और जो तंत्र इसे स्केलेबल बनाता है वह SCEP है: सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल। SCEP को 2020 में RFC 8894 में IETF द्वारा औपचारिक रूप दिया गया था, हालांकि यह 2000 के दशक की शुरुआत से उपयोग में है। यह प्रति डिवाइस किसी भी मैन्युअल IT हस्तक्षेप की आवश्यकता के बिना, उपकरणों पर X.509 डिजिटल प्रमाणपत्रों का अनुरोध करने और स्थापित करने की प्रक्रिया को स्वचालित करता है। यहाँ बताया गया है कि यह उच्च स्तर पर कैसे काम करता है। आपका MDM प्लेटफ़ॉर्म, चाहे वह Microsoft Intune हो या Jamf, प्रत्येक नामांकित डिवाइस पर एक SCEP पेलोड भेजता है। उस पेलोड में दो चीजें होती हैं: SCEP गेटवे URL, और एक साझा चैलेंज पासवर्ड। डिवाइस एक सर्टिफिकेट साइनिंग रिक्वेस्ट जनरेट करता है, इसे SCEP गेटवे पर भेजता है, जो चैलेंज पासवर्ड को सत्यापित करता है और अनुरोध को आपकी सर्टिफिकेट अथॉरिटी को अग्रेषित करता है। CA प्रमाणपत्र पर हस्ताक्षर करता है और इसे डिवाइस पर वापस भेजता है। उस बिंदु से, डिवाइस EAP-TLS का उपयोग करके आपके WiFi नेटवर्क पर प्रमाणित होता है: प्रमाणपत्र RADIUS सर्वर को डिवाइस की पहचान साबित करता है, और RADIUS सर्वर का प्रमाणपत्र डिवाइस को नेटवर्क की पहचान साबित करता है। पारस्परिक प्रमाणीकरण। हवा में कोई पासवर्ड साझा नहीं किया जाता। वह पारस्परिक प्रमाणीकरण का हिस्सा महत्वपूर्ण है। PEAP के साथ, आपके SSID को प्रसारित करने वाले एक नकली एक्सेस पॉइंट से कनेक्ट होने वाला छात्र खुशी-खुशी अपने क्रेडेंशियल सौंप देगा। EAP-TLS के साथ, डिवाइस आगे बढ़ने से पहले RADIUS सर्वर प्रमाणपत्र की जांच करता है। यदि यह विश्वसनीय CA से मेल नहीं खाता है, तो कनेक्शन चुपचाप विफल हो जाता है। आपने अभी-अभी ईविल ट्विन हमलों की पूरी श्रेणी को समाप्त कर दिया है। अब आर्किटेक्चर की बात करते हैं। एक विश्वविद्यालय के लिए उत्पादन SCEP तैनाती में छह मुख्य घटक होते हैं। पहला, आपका आइडेंटिटी प्रोवाइडर: Microsoft Entra ID, Okta, या Google Workspace। दूसरा, आपका MDM प्लेटफ़ॉर्म: Windows और Android के लिए Intune, macOS और iOS के लिए Jamf। तीसरा, आपकी सर्टिफिकेट अथॉरिटी: या तो ऑन-प्रिमाइसेस Microsoft Active Directory Certificate Services, या क्लाउड PKI। चौथा, आपका SCEP गेटवे: HTTP एंडपॉइंट जो प्रमाणपत्र अनुरोध प्राप्त करता है। पांचवां, प्रमाणीकरण के लिए आपका RADIUS सर्वर। छठा, आपका एक्सेस लेयर: 802.1X के लिए कॉन्फ़िगर किए गए Cisco Meraki, HPE Aruba, Ruckus, या Juniper Mist एक्सेस पॉइंट। ट्रस्ट चेन इस तरह चलती है। CA एक रूट प्रमाणपत्र जारी करता है। वह रूट विश्वास स्थापित करते हुए, MDM के माध्यम से प्रत्येक डिवाइस पर वितरित किया जाता है। CA फिर SCEP के माध्यम से उपकरणों को क्लाइंट प्रमाणपत्र जारी करता है। जब कोई डिवाइस कनेक्ट होता है, तो वह RADIUS सर्वर को अपना क्लाइंट प्रमाणपत्र प्रस्तुत करता, और RADIUS सर्वर डिवाइस को अपना सर्वर प्रमाणपत्र प्रस्तुत करता है। दोनों पक्ष विश्वसनीय रूट के खिलाफ सत्यापन करते हैं। पहुंच प्रमाणपत्र की वैधता के आधार पर दी या अस्वीकार की जाती है, पासवर्ड के आधार पर नहीं। मुझे आपको कार्यान्वयन अनुक्रम के माध्यम से ले जाने दें। यह वह क्रम है जो काम करता है। चरण एक: अपने आइडेंटिटी स्टोर को साफ करें। सुनिश्चित करें कि आपके Active Directory या Microsoft Entra ID में छात्रों, कर्मचारियों और मेहमानों के लिए स्पष्ट रूप से परिभाषित समूह हैं। प्रमाणपत्र नीतियां और VLAN असाइनमेंट इन समूहों से जुड़े होंगे। चरण दो: अपनी सर्टिफिकेट अथॉरिटी तैनात करें। यदि आप Microsoft ADCS का उपयोग कर रहे हैं, तो एक दो-स्तरीय पदानुक्रम स्थापित करें: एक ऑफ़लाइन रूट CA और एक ऑनलाइन जारी करने वाला CA। प्रारंभिक सेटअप के बाद रूट CA को एयर-गैप किया जाना चाहिए। चरण तीन: अपने SCEP गेटवे को कॉन्फ़िगर करें। यह वह HTTP एंडपॉइंट है जिस पर आपका MDM उपकरणों को निर्देशित करेगा। सुनिश्चित करें कि यह उस नेटवर्क सेगमेंट से सुलभ है जहां डिवाइस प्रारंभिक नामांकन करते हैं, आमतौर पर आपका ऑनबोर्डिंग SSID। चरण चार: अपने RADIUS सर्वर को कॉन्फ़िगर करें। जारी करने वाले CA प्रमाणपत्र को एक विश्वसनीय CA के रूप में आयात करें। EAP-TLS को अपनी प्रमाणीकरण विधि के रूप में कॉन्फ़िगर करें। VLAN रिटर्न विशेषताएँ सेट करें ताकि RADIUS गतिशील रूप से छात्रों को सही नेटवर्क सेगमेंट में असाइन कर सके। चरण पांच: अपने MDM प्रोफ़ाइल कॉन्फ़िगर करें। Intune में, पहले एक विश्वसनीय प्रमाणपत्र प्रोफ़ाइल बनाएं, फिर एक SCEP प्रमाणपत्र प्रोफ़ाइल, फिर एक WiFi प्रोफ़ाइल जो SCEP प्रमाणपत्र को संदर्भित करती है। इन्हें इसी सटीक क्रम में तैनात करें। प्रत्येक प्रोफ़ाइल पिछले वाले के लागू होने पर निर्भर करती है। चरण छह: अपने एक्सेस पॉइंट्स को कॉन्फ़िगर करें। Cisco Meraki, HPE Aruba, Ruckus, या Juniper Mist पर, WPA2-Enterprise या WPA3-Enterprise के लिए अपने सुरक्षित SSID को कॉन्फ़िगर करें। पीक ऑनबोर्डिंग के दौरान प्रमाणपत्र सत्यापन लेटेंसी को समायोजित करने के लिए RADIUS टाइमआउट को कम से कम पांच सेकंड पर सेट करें। अब, कमियों की बात करते हैं। मैंने इन्हें बार-बार तैनाती को बाधित करते देखा है। पहला गलत क्रम में MDM प्रोफ़ाइल तैनात करना है। यदि WiFi प्रोफ़ाइल SCEP प्रमाणपत्र प्रोफ़ाइल से पहले डिवाइस पर पहुंचती है, तो डिवाइस के पास प्रमाणित करने के लिए कोई प्रमाणपत्र नहीं होता है। कनेक्शन विफल हो जाता है, और उपयोगकर्ता हेल्पडेस्क को कॉल करता है। दूसरा दोष BYOD उपकरणों को भूलना है। Intune और Jamf आपके संस्थान के स्वामित्व वाले बेड़े का प्रबंधन करते हैं। लेकिन छात्रों के व्यक्तिगत उपकरण आपके MDM में नामांकित नहीं हैं। उनके लिए, आपको एक स्वयं-सेवा ऑनबोर्डिंग पोर्टल की आवश्यकता है। छात्र अपने विश्वविद्यालय क्रेडेंशियल का उपयोग करके सिंगल साइन-ऑन के माध्यम से प्रमाणित होते हैं, और पोर्टल प्रमाणपत्र प्रदान करने के लिए SCEP का उपयोग करता है। Purple का प्लेटफ़ॉर्म इस ऑनबोर्डिंग प्रवाह को सीधे कैप्टिव पोर्टल अनुभव में एकीकृत करता है, ताकि छात्र बिना किसी IT हस्तक्षेप के दो मिनट से भी कम समय में नामांकन पूरा कर सकें। तीसरा दोष पीक ऑनबोर्डिंग के दौरान RADIUS टाइमआउट विफलताएं हैं। सितंबर से पहले अपने RADIUS इन्फ्रास्ट्रक्चर का लोड टेस्ट करें, इसके दौरान नहीं। कम से कम दो RADIUS नोड्स में लोड बैलेंसिंग लागू करें। चौथा दोष प्रमाणपत्र निरसन है। जब कोई छात्र छोड़ता है, या कोई उपकरण खो जाता है या चोरी हो जाता है, तो आपको तुरंत प्रमाणपत्र को निरस्त करना होगा। सुनिश्चित करें कि आपका CA एक सर्टिफिकेट रिवोकेशन लिस्ट प्रकाशित करता है, और आपका RADIUS सर्वर प्रत्येक प्रमाणीकरण पर इसकी जांच करता है। अब उन सवालों पर रैपिड-फायर प्रश्नोत्तर जो हम सबसे अक्सर सुनते हैं। क्या SCEP बिना MDM के काम कर सकता है? तकनीकी रूप से हाँ, लेकिन व्यावहारिक रूप से नहीं। SCEP पेलोड और WiFi प्रोफ़ाइल भेजने के लिए MDM के बिना, आप वापस मैन्युअल डिवाइस कॉन्फ़िगरेशन पर आ जाते हैं। प्रमाणपत्र की वैधता कितनी लंबी होनी चाहिए? छात्र उपकरणों के लिए, एक से दो वर्ष मानक है। नवीनीकरण के घर्षण के बिना शैक्षणिक वर्ष तक चलने के लिए पर्याप्त लंबा, और प्रमाणपत्र के साथ समझौता होने पर जोखिम को सीमित करने के लिए पर्याप्त छोटा। उन IoT उपकरणों के बारे में क्या जो 802.1X का समर्थन नहीं करते हैं? स्वयं-सेवा डिवाइस पंजीकरण पोर्टल के साथ मैक ऑथेंटिकेशन बाईपास का उपयोग करें। छात्र अपने गेमिंग कंसोल या स्मार्ट टीवी का MAC पता पंजीकृत करते हैं, और आपका NAC सिस्टम इसे सही VLAN में रखता है। क्या यह eduroam के साथ काम करता है? हाँ। EAP-TLS पूरी तरह से eduroam फेडरेशन द्वारा समर्थित है। आपके परिसर CA द्वारा जारी किए गए प्रमाणपत्र दुनिया भर के किसी भी भाग लेने वाले संस्थान में eduroam पर छात्रों को प्रमाणित कर सकते हैं। समाप्त करने के लिए, यहाँ तीन निर्णय दिए गए हैं जो एक सफल SCEP तैनाती को परिभाषित करते हैं। पहला: किसी भी चीज़ से पहले अपना CA आर्किटेक्चर चुनें। ऑन-प्रिमाइसेस ADCS आपको पूर्ण नियंत्रण देता है। क्लाउड PKI आपको परिचालन सरलता देता है। यहाँ गलत चुनाव आपको महीनों के दोबारा काम की लागत दे सकता है। दूसरा: पहले दिन से BYOD ऑनबोर्डिंग को स्वचालित करें। यह न मानें कि छात्र अपने व्यक्तिगत उपकरणों को मैन्युअल रूप से कॉन्फ़िगर करेंगे। वे नहीं करेंगे। सत्र शुरू होने से पहले स्वयं-सेवा पोर्टल का निर्माण करें। तीसरा: सितंबर से पहले लोड के तहत अपनी RADIUS क्षमता का परीक्षण करें। सत्र के पहले दिन RADIUS आउटेज पूरी तरह से रोके जाने योग्य है। Purple का प्लेटफ़ॉर्म इन तीनों का समर्थन करता है: क्लाउड ओवरले PKI एकीकरण, हमारे कैप्टिव पोर्टल के माध्यम से स्वयं-सेवा BYOD ऑनबोर्डिंग, और निन्यानवे दशमलव नौ नौ नौ प्रतिशत अपटाइम के साथ अस्सी हजार लाइव स्थानों पर परीक्षण किया गया RADIUS इन्फ्रास्ट्रक्चर। Purple टेक्निकल ब्रीफिंग में शामिल होने के लिए धन्यवाद। अधिक मार्गदर्शन के लिए, purple.ai पर जाएं।