SCEP के लिए एंटरप्राइज गाइड: स्वचालित कैंपस WiFi सुरक्षा के लिए सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल लागू करना

शुभ प्रभात। यदि आप किसी होटल समूह, रिटेल एस्टेट, स्टेडियम या विश्वविद्यालय परिसर में WiFi बुनियादी ढांचे का प्रबंधन कर रहे हैं, तो यह ब्रीफिंग आपके लिए है। हम SCEP - सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल - को कवर करने जा रहे हैं, और विशेष रूप से यह कैसे एंटरप्राइज WiFi में सबसे लगातार होने वाले सिरदर्दों में से एक को हल करता है: आपके हेल्पडेस्क को टिकटों में डुबोए बिना, स्वचालित रूप से हजारों उपकरणों पर सर्टिफिकेट प्राप्त करना। [short pause] मुझे स्थिति स्पष्ट करने दें। आपने - सही रूप से - यह निर्णय लिया है कि कर्मचारियों के WiFi के लिए प्री-शेयर्ड कीज़ अब स्वीकार्य नहीं हैं। एक भी समझौता किया गया (compromised) पासवर्ड आपके पूरे नेटवर्क सेगमेंट को उजागर कर देता है। आप 802.1X प्रमाणीकरण पर चले गए हैं, या जा रहे हैं। यह IEEE मानक है जिसके लिए प्रत्येक डिवाइस को नेटवर्क एक्सेस मिलने से पहले अपनी पहचान साबित करनी होती है। 802.1X का सबसे सुरक्षित रूप EAP-TLS - ट्रांसपोर्ट लेयर सिक्योरिटी के साथ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल - है, जो पासवर्ड के बजाय डिजिटल सर्टिफिकेट का उपयोग करता है। सर्टिफिकेट प्रति डिवाइस क्रिप्टोग्राफिक रूप से अद्वितीय होते हैं, उन्हें साझा नहीं किया जा सकता है, और यदि कोई डिवाइस खो जाता है या कोई कर्मचारी छोड़ देता है तो उन्हें तुरंत रद्द किया जा सकता है। [short pause] यहाँ तक सब ठीक है। समस्या वितरण की है। आप बिना किसी तकनीशियन के प्रत्येक डिवाइस को छुए, अपने एस्टेट के हर लैपटॉप, हर फोन, हर टैबलेट पर - Windows, iOS, Android, macOS पर - एक अद्वितीय सर्टिफिकेट कैसे प्राप्त करते हैं? SCEP ठीक इसी समस्या को हल करता है। [medium pause] SCEP को 2020 में RFC 8894 में इंटरनेट इंजीनियरिंग टास्क फोर्स द्वारा औपचारिक रूप दिया गया था, हालांकि यह 2000 के दशक की शुरुआत से एंटरप्राइज वातावरण में उपयोग में है। यह एक प्रोटोकॉल है जो एक प्रबंधित डिवाइस को पूर्व-कॉन्फ़िगर किए गए URL और एक चैलेंज पासवर्ड का उपयोग करके सीधे आपके सर्टिफिकेट अथॉरिटी से अपने स्वयं के सर्टिफिकेट का अनुरोध करने देता है। यहाँ महत्वपूर्ण सुरक्षा बिंदु यह है: प्राइवेट की डिवाइस पर ही उत्पन्न होती है, डिवाइस के सुरक्षित एन्क्लेव में संग्रहीत होती है - यह Windows उपकरणों पर TPM चिप है, या Apple हार्डवेयर पर Secure Enclave है - और यह कभी भी नेटवर्क पर यात्रा नहीं करती है। डिवाइस एक सर्टिफिकेट साइनिंग रिक्वेस्ट उत्पन्न करता है, उसे SCEP गेटवे पर भेजता है, गेटवे चैलेंज को मान्य करता है, अनुरोध को आपके सर्टिफिकेट अथॉरिटी को अग्रेषित करता है, CA उस पर हस्ताक्षर करता है, और हस्ताक्षरित सर्टिफिकेट डिवाइस पर वापस आ जाता है। पूरी प्रक्रिया अंतिम उपयोगकर्ता के लिए अदृश्य होती है। [short pause] अब, Microsoft वातावरण में, SCEP गेटवे आमतौर पर NDES - नेटवर्क डिवाइस एनरोलमेंट सर्विस - होता है, जो एक Windows Server भूमिका है जो आपके MDM प्लेटफॉर्म और आपके CA के बीच मध्यस्थ के रूप में कार्य करती है। Microsoft Intune प्रबंधित उपकरणों पर SCEP प्रोफाइल पुश करता है, जो उन्हें NDES URL और चैलेंज पासवर्ड बताता है। डिवाइस बाकी काम स्वचालित रूप से करते हैं। [medium pause] मैं आपको दिखाता हूँ कि एक वास्तविक परिनियोजन कैसा दिखता है। 150 संपत्तियों वाले एक होटल समूह को लें - Premier Inn के पैमाने पर विचार करें। उनके पास फ्रंट-ऑफ-हाउस कर्मचारियों के लिए Windows लैपटॉप, हाउसकीपिंग पर्यवेक्षकों के लिए iOS डिवाइस और रेस्तरां पॉइंट-ऑफ-सेल पर Android टैबलेट का मिश्रण है। SCEP से पहले, वे त्रैमासिक रूप से बदले जाने वाले साझा पासवर्ड के साथ WPA2-Personal चला रहे थे। प्रत्येक रोटेशन ने हेल्पडेस्क कॉल की एक लहर पैदा की। SCEP और Intune के साथ, वे अनुक्रम में तीन प्रोफाइल तैनात करते हैं। पहला, विश्वसनीय रूट सर्टिफिकेट प्रोफाइल - यह प्रत्येक डिवाइस को कंपनी के सर्टिफिकेट अथॉरिटी पर भरोसा करने के लिए कहता है। दूसरा, SCEP सर्टिफिकेट प्रोफाइल - यह उपकरणों को अपना अनूठा क्लाइंट सर्टिफिकेट एकत्र करने का निर्देश देता है। तीसरा, WiFi प्रोफाइल - यह SSID को कॉन्फ़िगर करता है, सुरक्षा प्रकार को WPA2-Enterprise या WPA3-Enterprise पर सेट करता है, और प्रमाणीकरण के लिए SCEP सर्टिफिकेट की ओर इशारा करता है। Intune में एक ही डिवाइस समूह में उन तीन प्रोफाइल को तैनात करें, और प्रत्येक प्रबंधित डिवाइस कॉर्पोरेट SSID से स्वचालित रूप से कनेक्ट हो जाता है, एक अद्वितीय सर्टिफिकेट के साथ, जिसमें शून्य उपयोगकर्ता इंटरैक्शन की आवश्यकता होती है। [short pause] RADIUS सर्वर - आमतौर पर Microsoft NPS या क्लाउड RADIUS सेवा - EAP-TLS प्रमाणीकरण अनुरोध प्राप्त करता है, CA के विरुद्ध सर्टिफिकेट को मान्य करता है, सर्टिफिकेट निरसन सूची की जांच करता है, और पहुंच प्रदान या अस्वीकार करता है। यदि किसी कर्मचारी को बर्खास्त कर दिया जाता है, तो आप CA में उनके सर्टिफिकेट को रद्द कर देते हैं। उनका डिवाइस अगले प्रमाणीकरण चक्र में WiFi पहुंच खो देता है। किसी पासवर्ड रीसेट की आवश्यकता नहीं है। त्रैमासिक रोटेशन का कोई इंतजार नहीं। [medium pause] अब, लोग अक्सर SCEP और PKCS - पब्लिक की क्रिप्टोग्राफी स्टैंडर्ड्स - के बीच अंतर के बारे में पूछते हैं। दोनों Intune के साथ काम करते हैं। मुख्य अंतर यह है कि प्राइवेट की कहाँ उत्पन्न होती है। SCEP के साथ, यह डिवाइस पर उत्पन्न होती है। PKCS के साथ, CA केंद्रीय रूप से दोनों कीज़ उत्पन्न करता है और प्राइवेट की को डिवाइस पर भेजता है। इसका मतलब है कि प्राइवेट की नेटवर्क पर यात्रा करती है, जो एक सैद्धांतिक अवरोधन (interception) जोखिम पैदा करती है। PKCS का अपना स्थान है - यह S/MIME ईमेल एन्क्रिप्शन के लिए बेहतर अनुकूल है जहां की एस्क्रो महत्वपूर्ण है। WiFi प्रमाणीकरण के लिए, SCEP सही विकल्प है। हर बार। [short pause] लेकर मैं आपको एक दूसरा परिदृश्य देता हूँ - एक रिटेल एस्टेट। यूके भर में 200 स्टोर वाले एक फैशन रिटेलर की कल्पना करें, जिनमें से प्रत्येक Cisco Meraki एक्सेस पॉइंट चला रहा है। उनके पॉइंट-ऑफ-सेल सिस्टम Windows-आधारित हैं, जिन्हें Intune के माध्यम से प्रबंधित किया जाता है। उन्हें PCI DSS अनुपालन की आवश्यकता है, जिसका अर्थ है कार्डधारक डेटा को संभालने वाले किसी भी डिवाइस के लिए नेटवर्क विभाजन और मजबूत प्रमाणीकरण। SCEP-आधारित EAP-TLS उन्हें स्टाफ SSID पर डिवाइस-स्तरीय प्रमाणीकरण देता है, जिसमें RADIUS नीति द्वारा संचालित VLAN असाइनमेंट होता है। POS टर्मिनल स्वचालित रूप से PCI-स्कोप वाले VLAN पर आ जाते हैं। Guest WiFi - जिसे Purple जैसे प्लेटफॉर्म के माध्यम से अलग से संभाला जाता है - अपने स्वयं के प्रमाणीकरण प्रवाह के साथ पूरी तरह से पृथक SSID पर चलता है। दोनों नेटवर्क कभी आपस में नहीं मिलते। ऑडिटर खुश हैं। सुरक्षा टीम बेहतर नींद लेती है। [medium pause] ठीक है, आइए कमियों के बारे में बात करते हैं, क्योंकि कुछ ऐसी चीजें हैं जो टीमों को फंसा देती हैं। [short pause] सबसे आम विफलता मोड Intune में समूह लक्ष्यीकरण (group targeting) बेमेल होना है। आपका विश्वसनीय रूट प्रोफाइल, आपका SCEP प्रोफाइल और आपका WiFi प्रोफाइल सभी एक ही Azure AD समूह को लक्षित करने चाहिए। यदि SCEP प्रोफाइल किसी उपयोगकर्ता समूह को लक्षित करता है और WiFi प्रोफाइल किसी डिवाइस समूह को लक्षित करता है, तो Intune निर्भरता को हल नहीं कर सकता है और WiFi प्रोफाइल एक त्रुटि के रूप में दिखाई देता है। पहले अपने असाइनमेंट की जांच करें - यह लगभग हमेशा मुख्य कारण होता है। [short pause] दूसरा नुकसान: NDES सर्वर की उपलब्धता। रिमोट डिवाइसों को साइट पर आने से पहले एनरोल करने के लिए आपके NDES सर्वर का इंटरनेट से सुलभ होना आवश्यक है। ऐसा करने का सुरक्षित तरीका Azure AD एप्लिकेशन प्रॉक्सी के माध्यम से है, जो आपको इनबाउंड फ़ायरवॉल पोर्ट खोले बिना रिमोट एक्सेस देता है। NDES को सीधे इंटरनेट पर उजागर न करें। [short pause] तीसरा: CRL उपलब्धता। जब भी कोई डिवाइस प्रमाणित होता है, आपका RADIUS सर्वर सर्टिफिकेट निरसन सूची (CRL) की जांच करता है। यदि CRL वितरण बिंदु पहुंच से बाहर है - शायद कोई सर्वर डाउन है, या फ़ायरवॉल नियम बदल गया है - तो प्रमाणीकरण सभी के लिए विफल हो जाता है। अपने CRL एंडपॉइंट्स को अत्यधिक उपलब्ध बनाएं, और उनका नियमित रूप से परीक्षण करें। [short pause] चौथा: सर्टिफिकेट टेम्पलेट अनुमतियां। यदि आपके NDES कनेक्टर सेवा खाते के पास सर्टिफिकेट टेम्पलेट पर पढ़ने और एनरोल करने की अनुमतियां नहीं हैं, तो डिवाइसों को अपना सर्टिफिकेट एकत्र करने का प्रयास करते समय HTTP 403 त्रुटियां मिलती हैं। यह एक सरल अनुमति सुधार है, लेकिन प्रारंभिक सेटअप के दौरान इसे भूल जाना आसान है। [medium pause] अब रैपिड-फायर राउंड के लिए। [short pause] क्या SCEP गैर-Microsoft MDM के साथ काम कर सकता है? हाँ - Apple डिवाइस बेड़े के लिए Jamf, VMware Workspace ONE, और अधिकांश एंटरप्राइज MDM प्लेटफॉर्म SCEP प्रोफाइल का समर्थन करते हैं। यह प्रोटोकॉल विक्रेता-तटस्थ है। [short pause] क्या SCEP क्लाउड PKI के साथ काम करता है? हाँ। Intune Suite में Microsoft का अपना क्लाउड PKI ऑन-प्रिमाइसेस NDES सर्वर की आवश्यकता को पूरी तरह से समाप्त कर देता है। SecureW2 और Keyfactor जैसे तीसरे पक्ष के क्लाउड PKI प्रदाता भी क्लाउड SCEP एंडपॉइंट प्रदान करते हैं। [short pause] WPA3-Enterprise के बारे में क्या? WPA3-Enterprise उसी 802.1X and EAP-TLS प्रमाणीकरण स्टैक का उपयोग करता है। SCEP-जारी सर्टिफिकेट समान रूप से काम करते हैं। अपग्रेड वायरलेस प्रोटोकॉल लेयर पर है, सर्टिफिकेट लेयर पर नहीं। [short pause] सर्टिफिकेट कितने समय तक चलते हैं? आमतौर पर एक वर्ष, हालांकि आप कम वैधता अवधि कॉन्फ़िगर कर सकते हैं। Intune समाप्ति से पहले स्वचालित नवीनीकरण को संभालता है, इसलिए उपयोगकर्ताओं को कभी कोई रुकावट नहीं दिखती है। [medium pause] संक्षेप में। SCEP बड़े पैमाने पर सर्टिफिकेट वितरण को स्वचालित करता है, जिससे बड़े डिवाइस बेड़े में PKI परिनियोजन के मैन्युअल ओवरहेड समाप्त हो जाते हैं। प्राइवेट की डिवाइस पर ही रहती है - यही EAP-TLS की सुरक्षा का आधार है। अनुक्रम में तैनात करें: पहले विश्वसनीय रूट, दूसरा SCEP प्रोफाइल, तीसरा WiFi प्रोफाइल, सभी एक ही समूह को लक्षित करते हुए। एप्लिकेशन प्रॉक्सी के माध्यम से अपने NDES एंडपॉइंट को सुरक्षित रूप से प्रकाशित करें। अपने CRL एंडपॉइंट्स को अत्यधिक उपलब्ध रखें। और यदि आप नए सिरे से शुरुआत कर रहे हैं, तो ऑन-प्रिमाइसेस NDES निर्भरता को पूरी तरह से हटाने के लिए क्लाउड PKI का मूल्यांकन करें। [short pause] Guest WiFi के लिए - जो अलग, आगंतुकों के लिए नेटवर्क है - सर्टिफिकेट-आधारित प्रमाणीकरण सही मॉडल नहीं है। मेहमानों के पास प्रबंधित डिवाइस नहीं होते हैं। यही वह जगह है जहाँ Purple जैसा प्लेटफ़ॉर्म प्रमाणीकरण प्रवाह को संभालता है: कैप्टिव पोर्टल, सोशल लॉगिन, ईमेल कैप्चर, या SMS सत्यापन, जो सभी एक फर्स्ट-पार्टी डेटा लेयर में फीड होते हैं जिसका आपकी मार्केटिंग टीम वास्तव में उपयोग कर सकती है। दोनों दृष्टिकोण एक-दूसरे के पूरक हैं: आपके प्रबंधित स्टाफ एस्टेट के लिए SCEP, आपके अतिथि नेटवर्क के लिए Purple। दोनों एक ही हार्डवेयर पर चल रहे हैं, VLAN द्वारा स्पष्ट रूप से विभाजित हैं। [short pause] यह SCEP एंटरप्राइज WiFi ऑनबोर्डिंग पर आपकी ब्रीफिंग है। आर्किटेक्चर आरेख, चरण-दर-चरण Intune कॉन्फ़िगरेशन और व्यावहारिक उदाहरणों के साथ पूरी लिखित मार्गदर्शिका Purple वेबसाइट पर उपलब्ध है। सुनने के लिए धन्यवाद।