बेहतर वायरलेस सुरक्षा के लिए WPA3-Enterprise लागू करना

बेहतर वायरलेस सुरक्षा के लिए WPA3-Enterprise लागू करना। एक Purple WiFi इंटेलिजेंस ब्रीफिंग। Purple टेक्निकल ब्रीफिंग सीरीज़ में आपका स्वागत है। आज हम सीधे उस बात पर आ रहे हैं जो मायने रखती है: WPA3-Enterprise - इसका वास्तव में आपके नेटवर्क के लिए क्या अर्थ है, इस समय समय सीमा इतनी महत्वपूर्ण क्यों है, और आप आज की स्थिति से पूरी तरह से अनुपालन करने वाले, भविष्य के लिए सुरक्षित वायरलेस इन्फ्रास्ट्रक्चर तक कैसे पहुँच सकते हैं। यदि आप एक होटल समूह, एक रिटेल एस्टेट, एक कॉन्फ्रेंस सेंटर, या एक सार्वजनिक क्षेत्र की सुविधा का संचालन कर रहे हैं, तो यह ब्रीफिंग आपके लिए है। हम अकादमिक थ्योरी में नहीं उलझने वाले हैं। हम वास्तविक निर्णयों, वास्तविक कॉन्फ़िगरेशन और वास्तविक परिणामों के बारे में बात करने जा रहे हैं। WPA3-Enterprise 2020 में Wi-Fi CERTIFIED डिवाइसों के लिए एक अनिवार्य आवश्यकता बन गया था, और फिर भी अधिकांश एंटरप्राइज़ परिवेश अभी भी WPA2 चला रहे हैं। यह अंतर ही आपका जोखिम जोखिम (रिस्क एक्सपोज़र) है। PCI-DSS 4.0, जो मार्च 2024 में पूरी तरह से लागू हुआ, स्पष्ट रूप से मजबूत प्रमाणीकरण (ऑथेंटिकेशन) मानकों को संदर्भित करता है। डिज़ाइन द्वारा डेटा सुरक्षा के संबंध में GDPR दायित्वों की व्याख्या तेजी से नेटवर्क-लेयर सुरक्षा को शामिल करने के लिए की जा रही है। WPA3 को एक "अच्छा विकल्प" मानने की समय सीमा अब समाप्त हो चुकी है। आइए इस पर विस्तार से चर्चा करें। तो WPA3-Enterprise के साथ वास्तव में क्या बदलता है? आइए प्रमाणीकरण (ऑथेंटिकेशन) लेयर से शुरू करें। WPA2-Enterprise, EAP - एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल - के साथ IEEE 802.1X पर निर्भर करता है, और वह हिस्सा WPA3 के साथ नहीं बदलता है। जो बदलता है वह है इसके आस-पास की हर चीज़। हैंडशेक, एन्क्रिप्शन और मैनेजमेंट फ्रेम प्रोटेक्शन। WPA2 के तहत, सेशन कीज़ प्राप्त करने के लिए उपयोग किया जाने वाला फोर-वे हैंडशेक ऑफलाइन डिक्शनरी हमलों के प्रति संवेदनशील है। एक हमलावर हैंडशेक को कैप्चर करता है, इसे ऑफलाइन ले जाता है, और इसे वर्डलिस्ट के विरुद्ध चलाता है। यह 2017 में सामने आए KRACK हमले - की रीइंस्टॉलेशन अटैक - का आधार है। WPA3 इसे SAE - साइमल्टेनियस ऑथेंटिकेशन ऑफ इक्वल्स - से बदल देता है, जो एक डिफी-हेलमैन-आधारित की-एक्सचेंज है। महत्वपूर्ण अंतर यह है कि SAE फॉरवर्ड सीक्रेसी प्रदान करता है। भले ही कोई हमलावर किसी सेशन के हर पैकेट को कैप्चर कर ले और बाद में लॉन्ग-टर्म की से समझौता कर ले, फिर भी वे उस सेशन को पूर्वव्यापी रूप से डिक्रिप्ट नहीं कर सकते। प्रत्येक सेशन की अपनी अल्पकालिक (एफेमेरल) कीज़ होती हैं। एन्क्रिप्शन की बात करें तो, WPA2 इसके AES-128 पर आधारित CCMP-128 - काउंटर मोड विद साइफर ब्लॉक चेनिंग मैसेज ऑथेंटिकेशन कोड प्रोटोकॉल - का उपयोग करता है। WPA3-Enterprise अपने 192-बिट सुरक्षा मोड के लिए GCMP-256 - गैलोज़ काउंटर मोड प्रोटोकॉल विद 256-बिट कीज़ - को अनिवार्य करता है। संवेदनशील डेटा जैसे कि हेल्थकेयर रिकॉर्ड, पेमेंट कार्ड डेटा, सरकारी जानकारी को संभालने वाले किसी भी परिवेश के लिए आपको इसी मोड की आवश्यकता है। फिर प्रोटेक्टेड मैनेजमेंट फ्रेम्स - PMF - हैं, जिन्हें IEEE 802.11w के तहत परिभाषित किया गया है। WPA2 के तहत, PMF वैकल्पिक है। WPA3 के तहत, यह अनिवार्य है। मैनेजमेंट फ्रेम्स वे कंट्रोल सिग्नल हैं जो क्लाइंट और एक्सेस पॉइंट्स के बीच एसोसिएशन, डिसअसोसिएशन और ऑथेंटिकेशन को प्रबंधित करते हैं। PMF के बिना, एक हमलावर डिऑथेंटिकेशन फ्रेम्स को जाली बना सकता है - जो क्लाइंट्स को नेटवर्क से बाहर कर देता है - जिसे डिनायल-ऑफ-सर्विस हमले या मैन-इन-द-मिडल हमले के अग्रदूत के रूप में उपयोग किया जा सकता है। अनिवार्य PMF इस खतरे की संभावना को पूरी तरह से समाप्त कर देता है। अब, RADIUS सर्वर कॉन्फ़िगरेशन। यहीं पर अधिकांश कार्यान्वयन या तो सफल होते हैं या ठप हो जाते हैं। आपके RADIUS सर्वर को - चाहे वह Microsoft NPS हो, FreeRADIUS, Cisco ISE हो, या Aruba ClearPass - WPA3-Enterprise के लिए प्राथमिक प्रमाणीकरण विधि के रूप में EAP-TLS का समर्थन करने के लिए कॉन्फ़िगर किया जाना आवश्यक है। EAP-TLS आपसी प्रमाणपत्र-आधारित प्रमाणीकरण का उपयोग करता है। क्लाइंट एक प्रमाणपत्र प्रस्तुत करता है, सर्वर एक प्रमाणपत्र प्रस्तुत करता है, और दोनों एक-दूसरे को मान्य करते हैं। इस विनिमय में कोई पासवर्ड नहीं होता है। यह क्रेडेंशियल-आधारित हमलों को पूरी तरह से समाप्त कर देता है। प्रमाणपत्र अवसंरचना - आपका PKI - इसकी रीढ़ है। आपको एक प्रमाणपत्र प्राधिकरण (Certificate Authority) की आवश्यकता होती है, चाहे वह Microsoft Active Directory Certificate Services का उपयोग करके आंतरिक हो, या क्लाउड-आधारित PKI सेवा हो। प्रत्येक क्लाइंट डिवाइस में एक प्रमाणपत्र नामांकित होना आवश्यक है, आमतौर पर आपके MDM प्लेटफ़ॉर्म - Intune, Jamf, या इसी तरह के माध्यम से। RADIUS सर्वर को एक ऐसे CA से अपने स्वयं के सर्वर प्रमाणपत्र की आवश्यकता होती है जिस पर आपके क्लाइंट भरोसा करते हैं। और आपको एक OCSP या CRL एंडपॉइंट की आवश्यकता होती है ताकि क्लाइंट वास्तविक समय में प्रमाणपत्र निरस्तीकरण को मान्य कर सकें। उन परिवेशों के लिए जहां पूर्ण EAP-TLS तुरंत प्राप्त करने योग्य नहीं है - शायद इसलिए क्योंकि आपके पास प्रबंधित और अप्रबंधित डिवाइसों का मिश्रण है - EAP-TTLS या MSCHAPv2 के साथ PEAP एक संक्रमणकालीन उपाय के रूप में एक विकल्प बना हुआ है। लेकिन मैं सीधे तौर पर कहना चाहता हूँ: क्रेडेंशियल-आधारित EAP विधियां एक पड़ाव हैं, अंतिम गंतव्य नहीं। EAP-TLS की सुरक्षा स्थिति स्पष्ट रूप से बेहतर है, और आपके रोडमैप को इसे ही लक्षित करना चाहिए। तकनीकी पक्ष पर एक और बात: ट्रांज़िशन मोड। अधिकांश आधुनिक वायरलेस कंट्रोलर WPA3 Transition Mode का समर्थन करते हैं, जो WPA2 और WPA3 क्लाइंट को एक ही समय में एक ही SSID से जुड़ने की अनुमति देता है। यह आपका माइग्रेशन पथ है। आप ट्रांज़िशन मोड को सक्षम करते हैं, यह सत्यापित करते हैं कि WPA3 क्लाइंट सही ढंग से प्रमाणित हो रहे हैं, अपने लॉग की निगरानी करते हैं, और फिर - एक बार जब आपको क्लाइंट एस्टेट पर विश्वास हो जाता है - तो आप केवल- WPA3 पर चले जाते हैं। पहले दिन ही हार्ड कटओवर करने का प्रयास न करें। ट्रांज़िशन मोड ठीक इसी जोखिम से बचने के लिए मौजूद है। अब मैं आपको WPA3-Enterprise परिनियोजन में दिखाई देने वाले तीन सबसे सामान्य विफलता मोड बताता हूँ, और उनसे कैसे बचा जाए। पहला: प्रमाणपत्र जीवनचक्र प्रबंधन। संगठन PKI तैनात करते हैं, प्रमाणपत्र जारी करते हैं, और फिर भूल जाते हैं कि प्रमाणपत्र समाप्त हो जाते हैं। आपके RADIUS सर्वर पर प्रमाणपत्र की समय-सीमा समाप्त होने से आपके नेटवर्क के प्रत्येक क्लाइंट के लिए प्रमाणीकरण एक साथ बंद हो जाएगा। आपको स्वचालित नवीनीकरण, समाप्ति से 90 दिन, 60 दिन और 30 दिन पहले निगरानी अलर्ट, और एक परीक्षित नवीनीकरण रनबुक की आवश्यकता है। यह वैकल्पिक नहीं है। मैंने बड़े होटल समूहों को अपनी सभी कॉर्पोरेट वायरलेस पहुंच खोते देखा है क्योंकि एक बैंक अवकाश सप्ताहांत पर एक RADIUS प्रमाणपत्र समाप्त हो गया था।दूसरा: क्लाइंट कम्पैटिबिलिटी की धारणाएं। आपके एस्टेट में हर डिवाइस WPA3 का समर्थन नहीं करेगा। लेगेसी IoT डिवाइसेस - बिल्डिंग मैनेजमेंट सिस्टम्स, पुराने पॉइंट-ऑफ-सेल टर्मिनल्स, कुछ CCTV सिस्टम्स - केवल WPA2 या WPA का ही समर्थन कर सकते हैं। इसका समाधान नेटवर्क सेगमेंटेशन है। अपने WPA3-सक्षम कॉर्पोरेट डिवाइसेस को WPA3-ओनली SSID पर रखें। अपने लेगेसी IoT को WPA2 के साथ एक अलग, आइसोलेटेड VLAN पर रखें, जिसमें लेटरल मूवमेंट को रोकने वाले कड़े फ़ायरवॉल नियम हों। लेगेसी डिवाइसेस को समायोजित करने के लिए अपने प्राथमिक नेटवर्क की सुरक्षा स्थिति से समझौता न करें। तीसरा: RADIUS सर्वर रिडंडेंसी। एक एकल RADIUS सर्वर विफलता का एकल बिंदु है। एक मल्टी-साइट डिप्लॉयमेंट में - उदाहरण के लिए, 200 स्टोर वाली एक रिटेल चेन में - आपको न्यूनतम रूप से एक प्राथमिक और माध्यमिक RADIUS सर्वर की आवश्यकता होती है, जिसमें वायरलेस कंट्रोलर स्तर पर फेलओवर कॉन्फ़िगर किया गया हो। अपने फेलओवर का परीक्षण करें। सक्रिय रूप से इसका परीक्षण करें। एक मेंटेनेंस विंडो में प्राथमिक RADIUS विफलता का अनुकरण करें और पुष्टि करें कि क्लाइंट आपकी स्वीकार्य टाइमआउट सीमा के भीतर माध्यमिक के विरुद्ध प्रमाणित होते हैं। विशेष रूप से हॉस्पिटैलिटी परिवेशों के लिए - कोई भी जो गेस्ट WiFi प्लेटफॉर्म चला रहा है - आपके पास एक दोहरी नेटवर्क चुनौती है। आपका कॉर्पोरेट नेटवर्क स्टाफ डिवाइसेस और बैक-ऑफिस सिस्टम्स को ले जाता है, और इसे EAP-TLS के साथ WPA3-Enterprise होना चाहिए। आपका गेस्ट नेटवर्क पूरी तरह से एक अलग समस्या है, जिसे आमतौर पर सोशल या ईमेल ऑथेंटिकेशन वाले Captive Portal के माध्यम से संभाला जाता है। ये अलग SSIDs, अलग VLANs, और अलग सुरक्षा नीतियां हैं। उन्हें आपस में न मिलाएँ। कुछ प्रश्न जो मुझसे नियमित रूप से पूछे जाते हैं। क्या मुझे नए एक्सेस पॉइंट्स की आवश्यकता है? शायद नहीं। 2019 के बाद निर्मित अधिकांश एक्सेस पॉइंट्स फ़र्मवेयर अपडेट के माध्यम से WPA3 का समर्थन करते हैं। अपने वेंडर के रिलीज़ नोट्स की जाँच करें। Ruckus, Cisco Meraki, Aruba, और Ubiquiti सभी के पास वर्तमान फ़र्मवेयर में WPA3 सपोर्ट है। एक पूर्ण डिप्लॉयमेंट में कितना समय लगता है? मौजूदा MDM और Active Directory वाले 50-साइट रिटेल एस्टेट के लिए, 12 से 16 सप्ताह का बजट रखें। PKI बिल्ड और सर्टिफिकेट रोलआउट इसमें सबसे अधिक समय लेने वाला हिस्सा है। इसकी लागत क्या है? इन्फ्रास्ट्रक्चर घटक - RADIUS, PKI, MDM - संभवतः आपके पास पहले से ही हैं। वृद्धिशील लागत कॉन्फ़िगरेशन और परीक्षण के लिए प्रोफेशनल सर्विसेज की है, साथ ही कोई भी एक्सेस पॉइंट फ़र्मवेयर या रिप्लेसमेंट लागत है। अधिकांश संगठनों के लिए, केवल अनुपालन जोखिम शमन ही इस निवेश को उचित ठहराता है। क्या WPA3 थ्रूपुट को प्रभावित करता है? नगण्य रूप से। GCMP-256 कम्प्यूटेशनल रूप से कुशल है। व्यवहार में, आप आधुनिक हार्डवेयर पर थ्रूपुट में कोई अंतर नहीं देखेंगे। समापन के लिए: WPA3-Enterprise भविष्य का विचार नहीं है। नेटवर्क सुरक्षा, नियामक अनुपालन, और आपके वेन्यू का उपयोग करने वाले लोगों के डेटा की सुरक्षा के बारे में गंभीर किसी भी संगठन के लिए यह एक वर्तमान आवश्यकता है। आपके तत्काल अगले कदम: अपने वर्तमान एक्सेस पॉइंट फ़र्मवेयर वर्शन्स का ऑडिट करें और WPA3 सपोर्ट की पुष्टि करें। अपनी PKI तत्परता का आकलन करें - क्या आपके पास एक आंतरिक CA है, या आपको एक बनाने की आवश्यकता है? अपने RADIUS सर्वर कॉन्फ़िगरेशन और रिडंडेंसी की समीक्षा करें। और किसी भी लेगेसी डिवाइसेस की पहचान करने के लिए अपने क्लाइंट डिवाइस एस्टेट का मानचित्रण करें जिन्हें सेगमेंट करने की आवश्यकता होगी। सुरक्षित नेटवर्क फ़ाउंडेशन के ऊपर एनालिटिक्स और मैनेजमेंट लेयर प्रदान करने के लिए Purple का प्लेटफ़ॉर्म सीधे आपके वायरलेस इंफ्रास्ट्रक्चर के साथ एकीकृत होता है। चाहे आप एक होटल समूह, एक रिटेल चेन, या एक सार्वजनिक स्थल का संचालन कर रहे हों, आपके कॉर्पोरेट नेटवर्क के लिए WPA3-Enterprise और उचित रूप से सुरक्षित गेस्ट WiFi लेयर का संयोजन आपके व्यवसाय को सुरक्षा स्थिति और डेटा इंटेलिजेंस दोनों देता है जिसकी आपके व्यवसाय को आवश्यकता है। सुनने के लिए धन्यवाद। यदि आप इनमें से किसी भी विषय - सर्टिफिकेट ऑथेंटिकेशन, RADIUS कॉन्फ़िगरेशन, या गेस्ट नेटवर्क आर्किटेक्चर - पर अधिक गहराई से जानना चाहते हैं, तो पूरा लिखित गाइड Purple वेबसाइट पर हमारे तकनीकी संदर्भ सामग्री के व्यापक पुस्तकालय के साथ उपलब्ध है। अगली बार तक के लिए अलविदा।