PEAP-MSCHAPv2: यह अभी भी आम क्यों है, यह जोखिम भरा क्यों है, और इससे आगे कैसे बढ़ें

नमस्कार, और इस Purple तकनीकी ब्रीफिंग में स्वागत है। मैं आपका होस्ट हूँ, और आज हम एक ऐसे विषय पर बात कर रहे हैं जो नेटवर्क आर्किटेक्चर, सुरक्षा अनुपालन और स्पष्ट रूप से कहें तो, पुराने तकनीकी ऋण के चौराहे पर स्थित है। हम PEAP-MSCHAPv2 के बारे में बात कर रहे हैं। विशेष रूप से, हम यह देख रहे हैं कि यह अभी भी एंटरप्राइज़ WiFi में सबसे आम प्रमाणीकरण विधि क्यों है, आज के खतरे के परिदृश्य में यह मौलिक रूप से जोखिम भरा क्यों है, और सबसे महत्वपूर्ण बात यह है कि आप व्यावहारिक रूप से अपने संगठन को किसी बेहतर चीज़ पर कैसे ले जा सकते हैं। आइए संदर्भ से शुरू करें। यदि आप किसी होटल, रिटेल श्रृंखला, या बड़े सार्वजनिक स्थल पर IT निदेशक या नेटवर्क आर्केटेक्ट हैं, तो इस बात की बहुत अधिक संभावना है कि आपका स्टाफ WiFi नेटवर्क—और शायद आपके कॉर्पोरेट डिवाइस—PEAP-MSCHAPv2 का उपयोग करके प्रमाणित हो रहे हैं। यह लगभग दो दशकों से WPA2-Enterprise नेटवर्क के लिए डिफ़ॉल्ट मानक रहा है। क्यों? क्योंकि इसे तैनात करना अविश्वसनीय रूप से आसान है। यह सीधे RADIUS सर्वर के माध्यम से Active Directory से जुड़ता, और उपयोगकर्ता बस अपना मानक Windows उपयोगकर्ता नाम और पासवर्ड टाइप करते हैं। प्रबंधित करने के लिए कोई प्रमाणपत्र नहीं, बनाने के लिए कोई जटिल पब्लिक की इन्फ्रास्ट्रक्चर नहीं। यह बस काम करता है। लेकिन "बस काम करना" अब पर्याप्त नहीं है। PEAP-MSCHAPv2 को रेखांकित करने वाला सुरक्षा ढांचा, सीधे शब्दों में कहें तो, टूट चुका है। आइए तकनीकी वास्तविकता में गोता लगाएँ। MSCHAPv2 MD4 हैशिंग एल्गोरिदम और DES एन्क्रिप्शन पर निर्भर करता है। ये दोनों क्रिप्टोग्राफ़िक मानक 1990 के दशक में डिज़ाइन किए गए थे और एक दशक से अधिक समय से कमजोर माने जा रहे हैं। 2012 में, DEF CON सुरक्षा सम्मेलन में, शोधकर्ता Moxie Marlinspike ने प्रदर्शित किया कि MSCHAPv2 हैंडशेक को निश्चित रूप से क्रैक किया जा सकता है। उन्होंने एक उपकरण जारी किया जिसने क्रैकिंग प्रक्रिया को एकल DES कुंजी क्रैक में कम कर दिया, जिसका अर्थ है कि मामूली कंप्यूटिंग शक्ति—या क्लाउड क्रैकिंग सेवा तक पहुंच—वाला हमलावर कुछ ही घंटों में, यदि मिनटों में नहीं, तो कैप्चर किए गए हैंडशेक से उपयोगकर्ता का प्लेनटेक्स्ट Active Directory पासवर्ड पुनर्प्राप्त कर सकता है। तो, एक हमलावर वास्तव में वास्तविक दुनिया में उस हैंडशेक को कैसे कैप्चर करता है? यह हमें "Evil Twin" हमले पर लाता है। एक कॉर्पोरेट कार्यालय या होटल के बैक-ऑफ-हाउस क्षेत्र की कल्पना करें। एक हमलावर एक रॉग एक्सेस पॉइंट के साथ अंदर आता है—अक्सर उनके बैकपैक में WiFi Pineapple जितना छोटा कुछ। वे इस रॉग AP को आपके कॉर्पोरेट नेटवर्क के समान SSID, मान लें, "Staff-WiFi" प्रसारित करने के लिए कॉन्फ़िगर करते हैं। वे सिग्नल की ताकत को बढ़ाते हैं ताकि आस-पास के डिवाइस स्वाभाविक रूप से आपके वैध एक्सेस पॉइंट के बजाय इसे पसंद करें। जब किसी कर्मचारी का लैपटॉप या फोन कनेक्ट करने का प्रयास करता है, तो रॉग AP प्रमाणीकरणकर्ता के रूप में कार्य करता है और हमलावर द्वारा नियंत्रित एक नकली RADIUS सर्वर की ओर इशारा करता है। कर्मचारी का डिवाइस PEAP टनल शुरू करता है। अब, यहाँ महत्वपूर्ण विफलता बिंदु है: PEAP क्लाइंट डिवाइस पर सर्वर के डिजिटल प्रमाणपत्र को सत्यापित करने पर निर्भर करता है ताकि यह सुनिश्चित हो सके कि यह वास्तविक कॉर्पोरेट RADIUS सर्वर से बात कर रहा है। हालांकि, अधिकांश तैनाती में, क्लाइंट डिवाइस या तो गलत तरीके से कॉन्फ़िगर किए गए हैं, या उपयोगकर्ताओं को केवल एक पॉप-अप के साथ संकेत दिया जाता है जिसमें लिखा होता है "क्या आप इस प्रमाणपत्र पर भरोसा करते हैं?" और वे ऑनलाइन होने के लिए बस "हाँ" पर क्लिक कर देते हैं। एक बार जब वह नकली प्रमाणपत्र स्वीकार कर लिया जाता है, तो डिवाइस टनल के माध्यम से MSCHAPv2 चैलेंज-रिस्पॉन्स भेजता है। हमलावर इसे कैप्चर करता है, चला जाता है, और हैश को ऑफ़लाइन क्रैक करता है। अब उनके पास वैध Active Directory क्रेडेंशियल हैं, जिनका उपयोग वे आपके VPN, आपके ईमेल सिस्टम, या किसी अन्य कॉर्पोरेट सेवा में लॉग इन करने के लिए कर सकते हैं। यह कोई सैद्धांतिक जोखिम नहीं है। यह पेनेट्रेशन टेस्टर्स और दुर्भावनापूर्ण अभिनेताओं दोनों के लिए एक मानक परिचालन प्रक्रिया है। और यदि आप PCI DSS या GDPR जैसे अनुपालन ढांचे के अधीन हैं, तो समझौता किए गए प्रमाणीकरण प्रोटोकॉल पर भरोसा करना एक महत्वपूर्ण दायित्व है। तो, अगर जोखिम इतने अधिक हैं, तो हम सभी आगे क्यों नहीं बढ़े? इसका उत्तर आमतौर पर कथित जटिलता और पुराने हार्डवेयर का मिश्रण होता है। PEAP से दूर जाने का अर्थ है प्रमाणपत्र-आधारित प्रमाणीकरण, विशेष रूप से EAP-TLS की ओर बढ़ना। EAP-TLS स्वर्ण मानक है। इसके लिए सर्वर और क्लाइंट डिवाइस दोनों को एक वैध डिजिटल प्रमाणपत्र प्रस्तुत करने की आवश्यकता होती है। कोई पासवर्ड प्रसारित, हैश या अन्यथा नहीं किया जाता है। यह ऑफ़लाइन डिक्शनरी हमलों से पूरी तरह सुरक्षित है और Evil Twin हमलों के प्रति अत्यधिक प्रतिरोधी है क्योंकि क्लाइंट किसी भी नकली RADIUS सर्वर को चुपचाप अस्वीकार कर देगा जिसके पास आपके विश्वसनीय प्रमाणपत्र प्राधिकरण द्वारा हस्ताक्षरित प्रमाणपत्र नहीं है। लेकिन EAP-TLS को तैनात करने का मतलब है कि आपको एक पब्लिक की इन्फ्रास्ट्रक्चर, या PKI की आवश्यकता है। आपको प्रमाणपत्र उत्पन्न करने और उन्हें अपने बेड़े के प्रत्येक लैपटॉप, फोन और टैबलेट पर सुरक्षित रूप से वितरित करने का एक तरीका चाहिए। पांच साल पहले, Microsoft Active Directory Certificate Services बुनियादी ढांचा बनाना एक कठिन, महंगा प्रोजेक्ट था। आज, हालांकि, परिदृश्य बदल गया है। कार्यान्वयन का मार्ग बहुत स्पष्ट है। यदि आप माइग्रेशन की योजना बना रहे हैं, तो यहाँ व्यावहारिक दृष्टिकोण दिया गया है जिसकी हम Purple में अपने ग्राहकों को सलाह देते हैं। सबसे पहले, आपको हार्ड कटओवर करने की आवश्यकता नहीं है। आधुनिक RADIUS सर्वर—चाहे वह Cisco ISE हो, Aruba ClearPass हो, या क्लाउड-नेटिव समाधान हों—आपको एक ही SSID पर एक साथ PEAP-MSCHAPv2 और EAP-TLS चलाने की अनुमति देते हैं। चरण एक आपके PKI को तैनात करना है। अब आपको इसे ऑन-प्रिमाइसेस बनाने की आवश्यकता नहीं है। क्लाउड PKI समाधान सीधे आपके पहचान प्रदाता—जैसे Entra ID या Google Workspace—और आपके मोबाइल डिवाइस प्रबंधन प्लेटफार्मों जैसे Intune या Jamf के साथ एकीकृत होते हैं। चरण दो आपके प्रबंधित उपकरणों पर चुपचाप क्लाइंट प्रमाणपत्र पुश करने के लिए आपके MDM का उपयोग करना है। आप EAP-TLS को प्राथमिकता देने के लिए MDM के माध्यम से WiFi प्रोफ़ाइल को कॉन्फ़िगर कर सकते हैं। इसका मतलब है कि आपके कॉर्पोरेट लैपटॉप बिना किसी उपयोगकर्ता बातचीत के स्वचालित रूप से सुरक्षित, प्रमाणपत्र-आधारित विधि पर स्विच हो जाएंगे। चरण तीन संक्रमण चरण है। आप अपने RADIUS लॉग की निगरानी करते हैं। आप देखेंगे कि आपके प्रबंधित डिवाइस EAP-TLS के माध्यम से प्रमाणित हो रहे हैं, जबकि अप्रबंधित या पुराने डिवाइस PEAP का उपयोग करना जारी रखते हैं। यह हमें आम नुकसान पर लाता है: पुराने डिवाइस। आप अपने गोदाम में दस साल पुराने बारकोड स्कैनर, या पुराने पॉइंट-ऑफ-सेल टर्मिनलों के साथ क्या करते हैं जो केवल EAP-TLS का समर्थन नहीं करते हैं? समाधान विभाजन है। आपको सबसे कम सामान्य भाजक को समायोजित करने के लिए अपने प्राथमिक स्टाफ नेटवर्क की सुरक्षा को कभी कम नहीं करना चाहिए। इसके बजाय, उन पुराने उपकरणों को एक समर्पित VLAN पर अलग करें। आप MAC-आधारित प्रमाणीकरण का उपयोग सख्त नेटवर्क एक्सेस नियंत्रणों के साथ कर सकते हैं, यह सुनिश्चित करते हुए कि वे डिवाइस केवल उन विशिष्ट आंतरिक सर्वरों से बात कर सकें जिनकी उन्हें आवश्यकता है, और बिल्कुल कुछ नहीं। एक बार जब आपका प्रबंधित बेड़ा पूरी तरह से EAP-TLS पर माइग्रेट हो जाता, तो आप अंततः अपने मुख्य कॉर्पोरेट SSID पर PEAP-MSCHAPv2 को अक्षम कर सकते हैं, जिससे भेद्यता विंडो हमेशा के लिए बंद हो जाएगी। आइए IT निदेशकों से मिलने वाले सबसे आम सवालों के आधार पर एक त्वरित रैपिड-फायर Q&A करें। प्रश्न एक: "क्या WPA3 PEAP-MSCHAPv2 समस्या को ठीक करता है?" उत्तर: नहीं। WPA3 हवा में एन्क्रिप्शन में सुधार करता है, लेकिन अंतर्निहित EAP प्रमाणीकरण विधि वही रहती है। यदि आप PEAP-MSCHAPv2 के साथ WPA3-Enterprise का उपयोग करते हैं, तो यदि क्लाइंट सर्वर प्रमाणपत्र को कड़ाई से सत्यापित नहीं करता है, तो आप अभी भी एक Evil Twin के माध्यम से क्रेडेंशियल कैप्चर के प्रति संवेदनशील हैं। प्रश्न दो: "EAP-TTLS के बारे में क्या?" उत्तर: EAP-TTLS PEAP से बेहतर है क्योंकि यह प्रमाणीकरण को टनल करता है, अक्सर MSCHAPv2 के बजाय PAP का उपयोग करता है, जो MSCHAPv2 की विशिष्ट क्रिप्टोग्राफ़िक कमजोरियों से बचाता है। हालांकि, यह अभी भी पासवर्ड पर निर्भर करता है और यदि सर्वर प्रमाणपत्र सत्यापित नहीं है तो यह अभी भी संवेदनशील है। यह एक कदम है, लेकिन EAP-TLS अंतिम लक्ष्य होना चाहिए। प्रश्न तीन: "यह हमारे Purple अतिथि WiFi को कैसे प्रभावित करता है?" उत्तर: यह सीधे तौर पर प्रभावित नहीं करता है। अतिथि WiFi आमतौर पर कैप्टिव पोर्टल या WPA2/3-Personal वाले खुले नेटवर्क का उपयोग करता है, जो आपके 802.1X एंटरप्राइज़ प्रमाणीकरण से अलग हैं। हालांकि, आपके बैक-ऑफ-हाउस नेटवर्क को सुरक्षित करना उस बुनियादी ढांचे की सुरक्षा के लिए महत्वपूर्ण है जो आपके अतिथि सेवाओं और एनालिटिक्स प्लेटफॉर्म सहित आपके सभी स्थल संचालन का समर्थन करता है। संक्षेप में कहें तो: PEAP-MSCHAPv2 ने हमारी अच्छी सेवा की है, लेकिन इसका समय बीत चुका है। क्रिप्टोग्राफ़िक दोष सार्वजनिक हैं, और हमले के उपकरण स्वचालित हैं। EAP-TLS पर माइग्रेशन अब कोई बहुत कठिन प्रोजेक्ट नहीं है; यह एक मानक, प्राप्त करने योग्य अपग्रेड है, जिसे आधुनिक MDM और क्लाउड PKI समाधानों द्वारा काफी आसान बना दिया गया है। कुछ न करने का जोखिम—एक समझौता किया गया Active Directory पासवर्ड जो व्यापक नेटवर्क उल्लंघन की ओर ले जाता है—माइग्रेशन के परिचालन प्रयास से कहीं अधिक है। आज ही अपने RADIUS लॉग के ऑडिट से शुरुआत करें, अपने पुराने उपकरणों की पहचान करें, और प्रमाणपत्र-आधारित प्रमाणीकरण पर अपने संक्रमण का खाका तैयार करना शुरू करें। इस Purple तकनीकी ब्रीफिंग को सुनने के लिए धन्यवाद। अधिक विस्तृत तैनाती गाइड और आर्किटेक्चर आरेखों के लिए, इस पॉडकास्ट के साथ आने वाली पूरी तकनीकी संदर्भ गाइड को पढ़ना सुनिश्चित करें।