PEAP ऑथेंटिकेशन क्या है? PEAP आपके WiFi को कैसे सुरक्षित करता है

PEAP ऑथेंटिकेशन क्या है? PEAP आपके WiFi को कैसे सुरक्षित करता है। एक Purple एंटरप्राइज WiFi इंटेलिजेंस ब्रीफिंग। स्वागत है। यदि आप किसी होटल समूह, रिटेल एस्टेट, स्टेडियम या सार्वजनिक क्षेत्र के संगठन में नेटवर्क सुरक्षा के लिए जिम्मेदार हैं, तो यह ब्रीफिंग आपके लिए है। अगले दस मिनटों में, हम PEAP ऑथेंटिकेशन को कवर करने जा रहे हैं — यह वास्तव में क्या है, यह हुड के नीचे कैसे काम करता है, यह आपके सुरक्षा आर्किटेक्चर में कहां फिट बैठता है, और महत्वपूर्ण रूप से, यह कब सही निर्णय है बनाम आपको कब कुछ अधिक मजबूत देखना चाहिए। आइए शुरू करते हैं। अनुभाग एक: संदर्भ और यह अभी क्यों महत्वपूर्ण है। आज अधिकांश एंटरप्राइज WiFi डिप्लॉयमेंट अभी भी दो ऑथेंटिकेशन मॉडलों में से एक पर निर्भर करते हैं। आपके पास या तो एक प्री-शेयर्ड की है — पूरे संगठन में साझा किया गया एक एकल पासवर्ड — या आपके पास 802.1X है, जो पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए IEEE मानक है। PEAP मजबूती से 802.1X के पाले में बैठता है, और यह विश्व स्तर पर कॉर्पोरेट और संस्थागत वातावरण में अब तक का सबसे व्यापक रूप से तैनात किया जाने वाला EAP तरीका है। PEAP के इतना हावी होने का कारण सीधा है: इसने एक वास्तविक परिचालन चुनौती को हल किया। PEAP से पहले, सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन तैनात करने का मतलब हर डिवाइस — हर लैपटॉप, हर फोन, हर टैबलेट — को क्लाइंट सर्टिफिकेट जारी करना था। पांच सौ कर्मचारियों और BYOD नीति वाले संगठन के लिए, यह एक PKI डिप्लॉयमेंट का सिरदर्द था जिसके लिए अधिकांश IT टीमों के पास बजट या समय नहीं था। PEAP ने एक मध्यम मार्ग की पेशकश की: क्लाइंट साइड पर यूज़रनेम और पासवर्ड क्रेडेंशियल्स के साथ, TLS के माध्यम से मजबूत सर्वर-साइड ऑथेंटिकेशन। किसी क्लाइंट सर्टिफिकेट की आवश्यकता नहीं है। उस समझौते ने PEAP को 2000 और 2010 के दशक में एंटरप्राइज WiFi ऑथेंटिकेशन के लिए वास्तविक (de facto) मानक बना दिया, और यह आज भी बेहद आम है। इसके आर्किटेक्चर — और इसकी सीमाओं — को समझना 2024 और उसके बाद इंफ्रास्ट्रक्चर के निर्णय लेने वाले किसी भी व्यक्ति के लिए आवश्यक है। अनुभाग दो: तकनीकी गहन विश्लेषण। आइए देखें कि जब कोई डिवाइस PEAP के माध्यम से ऑथेंटिकेट करता है तो वास्तव में क्या होता है। इस प्रक्रिया के दो अलग-अलग चरण हैं, और दोनों को समझना महत्वपूर्ण है। इस एक्सचेंज में तीन अभिनेता हैं: सप्लीकेंट — वह क्लाइंट डिवाइस है, चाहे वह लैपटॉप हो, स्मार्टफोन हो, या IoT टर्मिनल हो; ऑथेंटिकेटर — आमतौर पर वायरलेस एक्सेस पॉइंट या वायरलेस LAN कंट्रोलर; और ऑथेंटिकेशन सर्वर — लगभग हमेशा एक RADIUS सर्वर, जैसे कि Microsoft NPS, FreeRADIUS, या क्लाउड-होस्टेड RADIUS सेवा। चरण एक TLS टनल स्थापना है। जब सप्लीकेंट कनेक्ट करने का प्रयास करता है, तो ऑथेंटिकेटर तुरंत एक्सेस प्रदान नहीं करता है। इसके बजाय, यह स्थानीय नेटवर्क पर एक EAP एक्सचेंज शुरू करता है — यह EAPOL, EAP over LAN है। ऑथेंटिकेटर इसे RADIUS सर्वर पर फॉरवर्ड करता है, जो क्लाइंट को अपना सर्वर-साइड TLS सर्टिफिकेट प्रस्तुत करता है। क्लाइंट अपने विश्वसनीय सर्टिफिकेट स्टोर के खिलाफ उस सर्टिफिकेट को सत्यापित करता है। यदि सत्यापन सफल होता है, तो क्लाइंट और RADIUS सर्वर के बीच एक TLS टनल स्थापित हो जाती है। यह टनल एन्क्रिप्टेड होती है — आमतौर पर आधुनिक डिप्लॉयमेंट में TLS 1.2 या 1.3। चरण दो इनर ऑथेंटिकेशन है। उस एन्क्रिप्टेड टनल के अंदर, वास्तविक क्रेडेंशियल्स का आदान-प्रदान किया जाता है। सबसे आम डिप्लॉयमेंट — PEAP-MSCHAPv2 — में क्लाइंट Microsoft Challenge Handshake Authentication Protocol version 2 का उपयोग करके यूज़रनेम और पासवर्ड भेजता है। RADIUS सर्वर अपने आइडेंटिटी स्टोर के खिलाफ उन क्रेडेंशियल्स को सत्यापित करता है, जो Active Directory, LDAP, या क्लाउड आइडेंटिटी प्रोवाइडर हो सकता है। यदि क्रेडेंशियल सही पाए जाते हैं, तो RADIUS सर्वर ऑथेंटिकेटर के माध्यम से वापस एक Access-Accept संदेश भेजता है, और क्लाइंट को नेटवर्क एक्सेस प्रदान कर दिया जाता है। यहाँ मुख्य सुरक्षा विशेषता यह है कि MSCHAPv2 एक्सचेंज TLS टनल के अंदर होता है। वायरलेस चैनल की पैसिव निगरानी करने वाला हमलावर पारगमन में क्रेडेंशियल्स को नहीं देख सकता है। यही PEAP का मुख्य मूल्य प्रस्ताव है। अब, PEAP-MSCHAPv2 कहाँ कम पड़ जाता है? दो महत्वपूर्ण मुद्दे हैं जिन्हें किसी भी सुरक्षा-सचेत आर्किटेक्ट को समझने की आवश्यकता है। पहला: सर्वर सर्टिफिकेट सत्यापन। PEAP के लिए केवल सर्वर को सर्टिफिकेट प्रस्तुत करने की आवश्यकता होती है — इसके लिए क्लाइंट को सर्टिफिकेट प्रस्तुत करने की आवश्यकता नहीं होती है। यह एक अच्छी तरह से प्रलेखित हमला वेक्टर बनाता है। यदि कोई क्लाइंट डिवाइस किसी भी सर्टिफिकेट को स्वीकार करने के लिए — या किसी भी CA से सर्टिफिकेट स्वीकार करने के लिए — गलत तरीके से कॉन्फ़िगर किया गया है, तो एक हमलावर एक दुष्ट एक्सेस पॉइंट खड़ा कर सकता है, एक फर्जी सर्टिफिकेट प्रस्तुत कर सकता है, और MSCHAPv2 हैंडशेक को इंटरसेप्ट कर सकता है। hostapd-wpe जैसे टूल ने इस हमले को आसानी से सुलभ बना दिया है। इसका समाधान सख्त सप्लीकेंट कॉन्फ़िगरेशन है: सर्वर सर्टिफिकेट सत्यापन लागू करें, अपेक्षित CA को पिन करें, और सर्वर का कॉमन नेम निर्दिष्ट करें। किसी भी गंभीर डिप्लॉयमेंट में यह गैर-परक्राम्य (non-negotiable) है। दूसरा: MSCHAPv2 ज्ञात कमजोरियों वाला एक पुराना प्रोटोकॉल है। मोक्सी मार्लिनस्पाइक द्वारा 2012 के शोध ने प्रदर्शित किया कि पर्याप्त कंप्यूटिंग के साथ MSCHAPv2 चैलेंज-रिस्पॉन्स पेयर को ऑफ़लाइन क्रैक किया जा सकता है। यदि कोई हमलावर इनर ऑथेंटिकेशन एक्सचेंज को कैप्चर कर लेता है — उदाहरण के लिए ऊपर वर्णित दुष्ट AP हमले के माध्यम से — तो वे ऑफ़लाइन प्लेनटेक्स्ट पासवर्ड को पुनर्प्राप्त करने का प्रयास कर सकते हैं। इसलिए आपकी पासवर्ड नीति की मजबूती सीधे आपके जोखिम को प्रभावित करती है। लंबे, जटिल, बेतरतीब ढंग से उत्पन्न पासवर्ड इस जोखिम को काफी कम करते हैं। इसकी तुलना EAP-TLS से करें, जहाँ सर्वर और क्लाइंट दोनों सर्टिफिकेट प्रस्तुत करते हैं। चुराने के लिए कोई पासवर्ड नहीं हैं। हमले का दायरा नाटकीय रूप से कम हो जाता है। इसका समझौता परिचालन जटिलता है: आपको एक PKI की आवश्यकता है, आपको क्लाइंट सर्टिफिकेट जारी करने और प्रबंधित करने की आवश्यकता है, और आपको उन्हें हर डिवाइस पर वितरित करने के लिए एक तंत्र की आवश्यकता है। परिपक्व MDM डिप्लॉयमेंट और अच्छी तरह से प्रबंधित PKI वाले संगठनों के लिए, EAP-TLS स्वर्ण मानक है। बाकी सभी के लिए, कड़े कॉन्फ़िगरेशन के साथ PEAP-MSCHAPv2 एक बचाव योग्य और व्यावहारिक विकल्प बना हुआ है। अनुभाग तीन: कार्यान्वयन सिफारिशें और नुकसान। मैं आपको व्यावहारिक परिनियोजन मार्गदर्शन देता हूँ। ये वे चीजें हैं जो एक सुरक्षित PEAP डिप्लॉयमेंट को एक संवेदनशील डिप्लॉयमेंट से अलग करती हैं। नंबर एक: हर सप्लीकेंट पर सर्वर सर्टिफिकेट सत्यापन लागू करें। यह सबसे महत्वपूर्ण कॉन्फ़िगरेशन आइटम है। Windows में, यह वायरलेस नेटवर्क प्रोफ़ाइल में "Validate server certificate" चेकबॉक्स है। iOS और Android में, यह EAP कॉन्फ़िगरेशन में CA सर्टिफिकेट फ़ील्ड है। यदि यह कॉन्फ़िगर नहीं किया गया है, तो आपका PEAP डिप्लॉयमेंट दुष्ट AP हमलों के प्रति संवेदनशील है, चाहे बाकी सब कुछ कितनी भी अच्छी तरह से सेट किया गया हो। नंबर दो: MDM या GPO के माध्यम से तैनात करें, मैन्युअल कॉन्फ़िगरेशन के माध्यम से नहीं। अंतिम उपयोगकर्ताओं द्वारा मैन्युअल कॉन्फ़िगरेशन अविश्वसनीय है। उपयोगकर्ता सर्टिफिकेट चेतावनियों पर क्लिक करके आगे बढ़ जाएंगे। वे CA फ़ील्ड को गलत तरीके से कॉन्फ़िगर करेंगे। अपने वायरलेस प्रोफाइल को Microsoft Intune, Jamf, या ग्रुप पॉलिसी के माध्यम से भेजें। यह आपकी पूरी संपत्ति में सुसंगत, नीति-अनुपालन सप्लीकेंट कॉन्फ़िगरेशन सुनिश्चित करता है। नंबर तीन: अपने RADIUS सर्वर पर न्यूनतम के रूप में TLS 1.2 का उपयोग करें। TLS 1.0 और 1.1 को अक्षम करें। अधिकांश आधुनिक RADIUS कार्यान्वयन इसका समर्थन करते हैं, लेकिन इसे सत्यापित करना उचित है — विशेष रूप से पुराने ऑन-प्रिमाइसेस डिप्लॉयमेंट पर। नंबर चार: अपने आइडेंटिटी प्रोवाइडर के साथ एकीकृत करें। PEAP-MSCHAPv2 एक क्रेडेंशियल स्टोर के खिलाफ ऑथेंटिकेट करता है। वह स्टोर आपका आधिकारिक आइडेंटिटी प्रोवाइडर होना चाहिए — Active Directory, NPS एक्सटेंशन के माध्यम से Azure AD, या LDAP एकीकरण के साथ एक क्लाउड RADIUS सेवा। इसका मतलब यह है कि जब कोई कर्मचारी छोड़ता है, तो उसके खाते को अक्षम करने से तुरंत उसका WiFi एक्सेस रद्द हो जाता है। बदलने के लिए कोई साझा रहस्य नहीं, कोई मैन्युअल डीप्रोविज़निंग नहीं। नंबर पांच: अपने अतिथि नेटवर्क पर अलग से विचार करें। PEAP एक एंटरप्राइज ऑथेंटिकेशन तरीका है। अतिथि WiFi के लिए — जहां आप आगंतुकों, ग्राहकों या कार्यक्रम में शामिल होने वाले लोगों को ऑनबोर्ड कर रहे हैं — आपको एक अलग दृष्टिकोण की आवश्यकता है। Purple जैसे प्लेटफॉर्म एक उद्देश्य-निर्मित अतिथि WiFi परत प्रदान करते हैं जो अतिथि SSID पर RADIUS इंफ्रास्ट्रक्चर की आवश्यकता के बिना कैप्टिव पोर्टल ऑथेंटिकेशन, डेटा कैप्चर और एनालिटिक्स को संभालती है। अपने एंटरप्राइज SSID को PEAP के साथ 802.1X पर रखें, और अपने अतिथि SSID को उचित ऑनबोर्डिंग के साथ एक अलग, पृथक नेटवर्क पर रखें। नंबर छह: सर्टिफिकेट रोटेशन की योजना बनाएं। आपका RADIUS सर्वर सर्टिफिकेट समाप्त हो जाएगा। जब ऐसा होता है, तो उस सर्टिफिकेट को पिन करने वाला प्रत्येक क्लाइंट तब तक ऑथेंटिकेट करने में विफल रहेगा जब तक कि नया सर्टिफिकेट वितरित नहीं हो जाता। अपने परिचालन कैलेंडर में सर्टिफिकेट नवीनीकरण को शामिल करें — समाप्ति से कम से कम 90 दिन पहले — और उत्पादन में रोल आउट करने से पहले एक स्टेजिंग वातावरण में रोटेशन प्रक्रिया का परीक्षण करें। क्षेत्र में मेरे द्वारा देखे जाने वाले सबसे आम विफलता मोड हैं: सर्टिफिकेट सत्यापन लागू नहीं होना, जिससे दुष्ट AP भेद्यता पैदा होती है; RADIUS सर्वर सर्टिफिकेट जो बिना किसी चेतावनी के समाप्त हो जाते हैं, जिससे व्यापक ऑथेंटिकेशन विफलताएं होती हैं; और MSCHAPv2 इनर ऑथेंटिकेशन उजागर होना क्योंकि RADIUS सर्वर गलत नेटवर्क सेगमेंट से सुलभ है। उचित योजना के साथ तीनों से बचा जा सकता है। अनुभाग चार: रैपिड-फायर प्रश्न। क्या PEAP Azure AD जैसे क्लाउड आइडेंटिटी प्रोवाइडर्स के साथ काम कर सकता है? हाँ। Azure AD MFA के लिए Microsoft का NPS एक्सटेंशन आपको Azure AD के माध्यम से PEAP ऑथेंटिकेशन को प्रॉक्सी करने की अनुमति देता है, जिससे आपके WiFi पर मल्टी-फैक्टर ऑथेंटिकेशन सक्षम होता है। वैकल्पिक रूप से, Cisco ISE, Aruba ClearPass, या JumpCloud RADIUS जैसी क्लाउड RADIUS सेवाएं सीधे Azure AD या Okta के साथ एकीकृत हो सकती हैं। क्या PEAP PCI-DSS के अनुरूप है? PEAP-MSCHAPv2 का उपयोग PCI-DSS वातावरण में किया जा सकता है, लेकिन आपको यह सुनिश्चित करना होगा कि सर्वर सर्टिफिकेट सत्यापन लागू है, TLS 1.2 या उच्चतर उपयोग में है, और RADIUS सर्वर ठीक से खंडित (segmented) है। PCI-DSS 4.0 नेटवर्क एक्सेस कंट्रोल के आसपास आवश्यकताओं को कड़ा करता है — अपने QSA के साथ प्रासंगिक आवश्यकताओं की समीक्षा करें। क्या मुझे PEAP से EAP-TLS पर माइग्रेट करना चाहिए? यदि आपके पास एक परिपक्व MDM डिप्लॉयमेंट और PKI को प्रबंधित करने की परिचालन क्षमता है, तो हाँ — EAP-TLS अधिक मजबूत विकल्प है। यदि आप व्यक्तिगत उपकरणों, पुराने हार्डवेयर, या सीमित MDM कवरेज के साथ एक मिश्रित संपत्ति का प्रबंधन कर रहे हैं, तो कड़े कॉन्फ़िगरेशन के साथ PEAP-MSCHAPv2 उपयुक्त बना हुआ है। यह एक जोखिम-आधारित निर्णय है, न कि कोई बाइनरी निर्णय। WPA3-Enterprise के बारे में क्या? WPA3-Enterprise उच्च-सुरक्षा वातावरण के लिए 192-बिट सुरक्षा मोड को अनिवार्य करता है, लेकिन यह अभी भी PEAP सहित EAP तरीकों का समर्थन करता है। WPA3 ओवर-द-एयर एन्क्रिप्शन में सुधार करता है लेकिन EAP ऑथेंटिकेशन एक्सचेंज को ही नहीं बदलता है। अनुभाग पांच: सारांश और अगले कदम। इसे एक साथ लाने के लिए: PEAP एक दो-चरण ऑथेंटिकेशन प्रोटोकॉल है जो इनर क्रेडेंशियल्स — आमतौर पर MSCHAPv2 — को एक TLS टनल के अंदर लपेटता है। यह सबसे व्यापक रूप से तैनात किया जाने वाला 802.1X EAP तरीका है क्योंकि यह क्लाइंट सर्टिफिकेट की आवश्यकता को समाप्त करता है जबकि अभी भी मजबूत सर्वर ऑथेंटिकेशन प्रदान करता है। इसकी प्राथमिक भेद्यता गलत तरीके से कॉन्फ़िगर किए गए सप्लीकेंट्स द्वारा सक्षम दुष्ट AP हमले हैं जो सर्वर सर्टिफिकेट को सत्यापित नहीं करते हैं। MDM-लागू वायरलेस प्रोफाइल, CA पिनिंग और सर्वर नाम सत्यापन के माध्यम से इसे कम करें। अधिकांश एंटरप्राइज WiFi डिप्लॉयमेंट — कॉर्पोरेट कार्यालयों, होटल बैक-ऑफ-हाउस नेटवर्क, रिटेल स्टाफ नेटवर्क — के लिए उचित कॉन्फ़िगरेशन के साथ PEAP-MSCHAPv2 एक मजबूत, बचाव योग्य विकल्प है। उच्च-सुरक्षा वातावरण, विनियमित उद्योगों, या परिपक्व PKI इंफ्रास्ट्रक्चर वाले संगठनों के लिए, EAP-TLS सार्थक रूप से मजबूत सुरक्षा प्रदान करता है और इसे लक्षित आर्किटेक्चर होना चाहिए। यदि आप अपने एंटरप्राइज नेटवर्क के साथ अतिथि WiFi भी चला रहे हैं — और आप में से अधिकांश ऐसा कर रहे हैं — तो याद रखें कि PEAP अतिथि ऑनबोर्डिंग के लिए सही टूल नहीं है। Purple जैसे प्लेटफॉर्म देखें, जो एनालिटिक्स, डेटा कैप्चर और मार्केटिंग एकीकरण के साथ उद्देश्य-निर्मित अतिथि WiFi ऑथेंटिकेशन प्रदान करते हैं, जिससे आपके अतिथि और एंटरप्राइज ट्रैफ़िक ठीक से अलग रहते हैं और आपकी अनुपालन स्थिति बरकरार रहती है। आगे पढ़ने के लिए, RADIUS सर्वर आर्किटेक्चर और एंटरप्राइज WiFi ऑथेंटिकेशन पर Purple के गाइड देखें। लिंक शो नोट्स में हैं। सुनने के लिए धन्यवाद। यह एक Purple एंटरप्राइज WiFi इंटेलिजेंस ब्रीफिंग रही है।