PPSK WPA3: सुविधाओं और परिनियोजन मॉडलों की तुलना

Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एक ऐसे सवाल पर चर्चा कर रहे हैं जो इस समय मल्टी-टेनेंट प्रॉपर्टी, हॉस्पिटैलिटी या रिटेल में काम करने वाले लगभग हर नेटवर्क आर्किटेक्ट के डेस्क पर आता है: PPSK और WPA3 की वास्तव में तुलना कैसे की जाती है, और कौन सा परिनियोजन मॉडल आपके वातावरण के अनुकूल है? आइए संदर्भ से शुरू करें। यदि आप एक प्रॉपर्टी डेवलपर हैं, एक BTR ऑपरेटर हैं, या साझा WiFi बुनियादी ढांचे के साथ एक आवासीय ब्लॉक का प्रबंधन करने वाले मकान मालिक हैं, तो आपने शायद दोनों शब्दों को सुना होगा। PPSK, जिसका अर्थ Private Pre-Shared Key है, और WPA3, WiFi Alliance की ओर से WiFi सुरक्षा की नवीनतम पीढ़ी। अक्सर उन पर इस तरह चर्चा की जाती है जैसे कि वे प्रतिस्पर्धी तकनीकें हों। वे नहीं हैं। वे अलग-अलग समस्याओं का समाधान करते हैं। और कई परिनियोजनों में, आपको दोनों की आवश्यकता होती है। तो आगे बढ़ने से पहले आइए अपने शब्दों को स्पष्ट रूप से परिभाषित करें। WPA3 एक सुरक्षा प्रमाणन मानक है, जिसे 2018 में WiFi Alliance द्वारा अनुमोदित किया गया था। यह दो मुख्य रूपों में आता है। WPA3-Personal, जो पुराने Pre-Shared Key तंत्र को SAE - Simultaneous Authentication of Equals नामक चीज़ से बदल देता है। और WPA3-Enterprise, जो 802.1X ढांचे पर आधारित है और उच्च-सुरक्षा वातावरण के लिए एक वैकल्पिक 192-बिट क्रिप्टोग्राफ़िक सुइट पेश करता है। WPA3-Personal में महत्वपूर्ण सुधार यह है कि SAE ऑफ़लाइन डिक्शनरी हमलों को समाप्त करता है। WPA2 में, यदि कोई हमलावर आपके नेटवर्क से कनेक्ट होने पर डिवाइस के फोर-वे हैंडशेक को कैप्चर कर लेता था, तो वे उस डेटा को ले जा सकते थे और आपके नेटवर्क को फिर से छुए बिना, इसके खिलाफ अनिश्चित काल तक ब्रूट-फोर्स क्रैकिंग टूल चला सकते थे। SAE इसे पूरी तरह से रोकता है। प्रत्येक पासवर्ड अनुमान के लिए एक्सेस पॉइंट के साथ सक्रिय इंटरैक्शन की आवश्यकता होती है। यह ऑफ़लाइन क्रैकिंग को व्यावहारिक रूप से असंभव बना देता है। WPA3 संरक्षित प्रबंधन फ़्रेम, या PMF को भी अनिवार्य बनाता है, जो IEEE 802.11w में परिभाषित है। यह उपकरणों और एक्सेस पॉइंट्स के बीच प्रबंधन ट्रैफ़िक को स्पूफ़िंग और रीप्ले हमलों से बचाता है। WPA2 में, PMF वैकल्पिक था। WPA3 में, यह गैर-परक्राम्य है। अब, PPSK। Private Pre-Shared Key एक मालिकाना तकनीक है - और वह मालिकाना शब्द मायने रखता है, इसलिए हम इस पर वापस आएंगे। मूल अवधारणा सरल है: एक SSID पर प्रत्येक डिवाइस द्वारा एक पासवर्ड साझा करने के बजाय, प्रत्येक डिवाइस या प्रत्येक उपयोगकर्ता को एक अद्वितीय पासफ़्रेज़ मिलता है। अलग-अलग वेंडर इसे अलग तरह से ब्रांड करते हैं। Cisco इसे iPSK कहता है। Extreme Networks इसे PPSK कहता है। Ruckus इसे DPSK कहता है। Juniper Mist इसे Multi-PSK कहता है। HPE Aruba इसे MPSK कहता है। Cambium इसे ePSK कहता है। अंतर्निहित तंत्र उन सभी में समान है। यहाँ बताया गया है कि यह तकनीकी रूप से कैसे काम करता है। मानक WPA2-Personal में, Pre-Shared Key 802.11i मानक में परिभाषित सूत्र का उपयोग करके आपके पासफ़्रेज़ से प्राप्त की जाती है। एक ही पासवर्ड का उपयोग करने वाला प्रत्येक डिवाइस समान PSK प्राप्त करता है। PPSK कार्यान्वयन में, प्रत्येक अद्वितीय पासफ़्रेज़ एक अलग PSK प्राप्त करता है। जब कोई डिवाइस कनेक्ट होता है, तो एक्सेस पॉइंट या RADIUS सर्वर फोर-वे हैंडशेक में Message Integrity Check के खिलाफ प्रत्येक संग्रहीत PSK का तब तक प्रयास करता है जब तक कि उसे कोई मेल न मिल जाए। इस तरह डिवाइस की पहचान होती है। इसका व्यावहारिक परिणाम यह है कि आप एक BTR भवन में प्रत्येक निवासी को, एक होटल में कर्मचारियों के प्रत्येक सदस्य को, या प्रत्येक IoT डिवाइस श्रेणी को उसका अपना अद्वितीय पासफ़्रेज़ असाइन कर सकते हैं, और उस पासफ़्रेज़ को एक विशिष्ट VLAN से मैप कर सकते हैं। फ्लैट एक के निवासी को पासफ़्रेज़ A मिलता है, जो VLAN 10 से मैप होता है। फ्लैट दो के निवासी को पासफ़्रेज़ B मिलता है, जो VLAN 20 से मैप होता है। उनका ट्रैफ़िक लेयर 2 पर पृथक रहता है। वे एक SSID, एक्सेस पॉइंट्स का एक सेट, एक बुनियादी ढांचा साझा करते हैं - लेकिन वे एक-दूसरे के उपकरणों को नहीं देख सकते हैं। अब यहाँ PPSK और WPA3 के बीच का तनाव आर्किटेक्चरल रूप से महत्वपूर्ण हो जाता है। और यह वह हिस्सा है जिसे अधिकांश गाइड अनदेखा कर देते हैं। PPSK, अपने पारंपरिक रूप में, WPA2 पर चलता है। मल्टी-PSK तंत्र 802.11i में परिभाषित फोर-वे हैंडशेक पर निर्भर करता है, जो WPA2 का आधारभूत मानक है। WPA3-Personal उस हैंडशेक को SAE से बदल देता है। दोनों तंत्र प्रोटोकॉल स्तर पर मौलिक रूप से असंगत हैं। इसका मतलब यह है कि यदि आप आज अधिकांश एक्सेस पॉइंट्स पर एक शुद्ध WPA3-Personal SSID कॉन्फ़िगर करते हैं, तो आप उसी SSID पर एक साथ PPSK नहीं चला सकते। SAE हैंडशेक मल्टी-PSK ट्रायल-एंड-मैच वर्कफ़्लो का समर्थन नहीं करता है। हालांकि - और यह महत्वपूर्ण है - उद्योग सक्रिय रूप से इसका समाधान कर रहा है। Juniper Mist का Access Assurance प्लेटफ़ॉर्म अब WPA3 Multi-PSK का समर्थन करता है, जिसमें RADIUS-आधारित दृष्टिकोण का उपयोग किया जाता है जहाँ एक्सेस पॉइंट WPA3-SAE मोड में काम करता है और RADIUS सर्वर प्रति-डिवाइस कुंजी लुकअप को संभालता है। Cisco का iPSK समाधान भी इसी तरह बाहरी RADIUS सर्वर के साथ WPA3-SAE का समर्थन करता है जो MAC एड्रेस से PSK मैपिंग को संग्रहीत करता है। 802.11ax के तहत WiFi 6E के साथ पेश किया गया 6GHz बैंड, WPA3 को अनिवार्य बनाता है। इसलिए 6GHz को लक्षित करने वाले किसी भी परिनियोजन को WPA3-संगत PPSK समाधान खोजना होगा। आपके परिनियोजन निर्णय के लिए व्यावहारिक परिणाम यह है: यदि आप Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, या Fortinet हार्डवेयर पर हैं, तो अपने सुरक्षा आर्किटेक्चर को अंतिम रूप देने से पहले WPA3 प्लस मल्टी-PSK समर्थन के लिए अपने वेंडर के वर्तमान फ़र्मवेयर की जांच करें। परिदृश्य तेजी से बदल रहा है। आइए परिनियोजन मॉडलों के बारे में बात करते हैं। क्षेत्र में हम तीन प्राथमिक पैटर्न देखते हैं। पहला बिना RADIUS के PPSK है, जिसे कभी-कभी स्थानीय PPSK या कंट्रोलर-आधारित PPSK कहा जाता है। PSK पूल सीधे एक्सेस पॉइंट या वायरलेस कंट्रोलर पर संग्रहीत होता है। यह सबसे सरल परिनियोजन है। किसी बाहरी प्रमाणीकरण सर्वर की आवश्यकता नहीं है। यह छोटे स्थानों के लिए अच्छा काम करता है - एक एकल रिटेल शाखा, 500 से कम सदस्यों वाला एक कोवर्किंग स्पेस, या एक छोटा आवासीय ब्लॉक। सीमा पैमाना है। अधिकांश कंट्रोलर-आधारित कार्यान्वयन PSK की संख्या को कुछ सौ से कुछ हज़ार तक सीमित करते हैं। कुंजी प्रबंधन मैन्युअल हो जाता है। और चूंकि कुंजियाँ स्थानीय रूप से संग्रहीत होती हैं, इसलिए किसी समझौता की गई कुंजी को रद्द करने के लिए सीधे कंट्रोलर को छूने की आवश्यकता होती है। दूसरा मॉडल RADIUS के साथ PPSK है। यहाँ, PSK पूल एक बाहरी RADIUS सर्वर में रहता है। जब कोई डिवाइस कनेक्ट होता है, तो एक्सेस पॉइंट प्रमाणीकरण अनुरोध को RADIUS पर भेजता है, जो उस डिवाइस के लिए सही PSK खोजता है और उसे AP पर वापस भेजता है। यह मॉडल हजारों उपकरणों तक स्केल करता है। यह पहचान प्रदाताओं - Microsoft Entra ID, Okta, Google Workspace - के साथ एकीकृत होता है ताकि आप प्रोविज़निंग और डीप्रोविज़निंग को स्वचालित कर सकें। जब कोई निवासी BTR भवन से बाहर जाता है, तो आप पहचान प्रदाता में उनकी प्रविष्टि को रद्द कर देते हैं, और उनकी WiFi पहुंच कुछ ही सेकंड में समाप्त हो जाती है। कोई मैन्युअल कुंजी रोटेशन नहीं। यह वह आर्किटेक्चर है जिस पर Purple का मल्टी-टेनेंट WiFi प्लेटफ़ॉर्म बनाया गया है। तीसरा मॉडल 802.1X के साथ WPA3-Enterprise है। कोई PSK नहीं। प्रत्येक डिवाइस EAP-TLS या PEAP के माध्यम से प्रमाणपत्र या क्रेडेंशियल का उपयोग करके प्रमाणित होता है। यह कॉर्पोरेट वातावरण, स्वास्थ्य सेवा और PCI-DSS या ISO 27001 जैसी सख्त अनुपालन आवश्यकताओं वाले किसी भी स्थान के लिए स्वर्ण मानक है। ओवरहेड अधिक है - आपको प्रमाणपत्र प्रबंधन के लिए एक पब्लिक की इन्फ्रास्ट्रक्चर की आवश्यकता होती है, और प्रत्येक डिवाइस को नामांकित किया जाना चाहिए। एक BTR भवन के लिए जहां निवासी अपने खुद के डिवाइस लाते हैं, यह शायद ही कभी व्यावहारिक होता है। होटल के स्टाफ नेटवर्क या अस्पताल के नैदानिक उपकरण बेड़े के लिए, यह सही उत्तर है। अब इसे ठोस बनाने के लिए दो वास्तविक दुनिया के परिदृश्यों को देखते हैं। परिदृश्य एक। एक 200-यूनिट वाला BTR विकास। ऑपरेटर चाहता है कि प्रत्येक निवासी का अपना निजी नेटवर्क सेगमेंट हो, जिसमें पड़ोसी फ्लैटों में कोई दृश्यता न हो। उन्हें स्मार्ट होम उपकरणों - थर्मोस्टेट, वीडियो डोरबेल, स्मार्ट स्पीकर - का भी समर्थन करने की आवश्यकता है, जो आमतौर पर केवल WPA2-अनुकूल होते हैं। और वे चाहते हैं कि नेटवर्क प्रबंधन ओवरहेड यथासंभव कम हो। यहाँ सही आर्किटेक्चर WPA2 या WPA2/WPA3 ट्रांज़िशन मोड SSID पर RADIUS के साथ PPSK है। प्रत्येक निवासी को आने पर एक अद्वितीय पासफ़्रेज़ मिलता है, जो RADIUS सर्वर के साथ एकीकृत प्रॉपर्टी मैनेजमेंट सिस्टम के माध्यम से स्वचालित रूप से प्रोविज़न्ड होता है। उनके डिवाइस - फोन, लैपटॉप, स्मार्ट टीवी - उस पासफ़्रेज़ का उपयोग करके कनेक्ट होते हैं और अपने समर्पित VLAN पर आते हैं। उनके IoT डिवाइस एक अलग IoT पासफ़्रेज़ का उपयोग करके कनेक्ट होते हैं जो एक प्रतिबंधित IoT VLAN से मैप होता है जिसमें मुख्य आवासीय सेगमेंट तक कोई पहुंच नहीं होती है। जब वे बाहर जाते हैं, तो प्रॉपर्टी मैनेजमेंट सिस्टम डीप्रोविज़निंग को ट्रिगर करता है। उनका पासफ़्रेज़ रद्द कर दिया जाता है। पहुंच समाप्त हो जाती है। Purple का मल्टी-टेनेंट WiFi प्लेटफ़ॉर्म ठीक इसी वर्कफ़्लो को संभालता है, जो Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks, और Fortinet के हार्डवेयर के साथ एकीकृत होता है। क्लाउड ओवरले का अर्थ है कि आप एक ही डैशबोर्ड से पूरे एस्टेट का प्रबंधन करते हैं, चाहे साइट पर कोई भी हार्डवेयर हो। परिदृश्य दो। एक 150-कमरों वाली होटल संपत्ति। होटल को तीन अलग-अलग नेटवर्क सेगमेंट की आवश्यकता होती है: होटल के आगंतुकों के लिए guest WiFi, परिचालन उपकरणों के लिए स्टाफ WiFi, और CCTV, डोर एक्सेस और HVAC के लिए एक भवन प्रबंधन नेटवर्क। अतिथि नेटवर्क को घर्षण रहित होना चाहिए। स्टाफ नेटवर्क को सुरक्षित और ऑडिट योग्य होना चाहिए। भवन प्रबंधन नेटवर्क को पूरी तरह से अलग होना चाहिए। यहाँ, आर्किटेक्चर एक तीन-SSID डिज़ाइन है। अतिथि SSID वास्तव में पासवर्ड रहित अनुभव के लिए SAE के साथ WPA3-Personal, या ऑपर्च्यूनिस्टिक वायरलेस एन्क्रिप्शन के साथ एन्हांस्ड ओपन का उपयोग करता है, जो सहमति-आधारित ऑनबोर्डिंग के लिए Purple के कैप्टिव पोर्टल के साथ संयुक्त है। स्टाफ SSID Microsoft Entra ID के खिलाफ प्रमाणित 802.1X के साथ WPA3-Enterprise का उपयोग करता है। भवन प्रबंधन SSID एक समर्पित VLAN के साथ PPSK का उपयोग करता, जो फ़ायरवॉल पर अन्य सभी ट्रैफ़िक से अलग होता है। आइए अब सबसे आम कार्यान्वयन त्रुटियों को कवर करते हैं, क्योंकि यहीं पर परिनियोजन गलत हो जाते हैं। पहला PMF अनुकूलता है। WPA3 संरक्षित प्रबंधन फ़्रेम को अनिवार्य बनाता है। यदि आपके पास पुराने डिवाइस हैं - पुराने बारकोड स्कैनर, पॉइंट-ऑफ-सेल टर्मिनल, कुछ चिकित्सा उपकरण - जो PMF का समर्थन नहीं करते हैं, तो वे शुद्ध WPA3 SSID से कनेक्ट होने में विफल रहेंगे। लक्षण यह है कि डिवाइस नेटवर्क को देखता है लेकिन जुड़ नहीं पाता है। इसका समाधान या तो WPA3 ट्रांज़िशन मोड है, जो एक ही SSID पर WPA2 और WPA3 दोनों क्लाइंट्स की अनुमति देता है, या उन पुराने उपकरणों के लिए एक पृथक VLAN पर एक समर्पित WPA2 SSID है। ट्रांज़िशन मोड एक वैध माइग्रेशन रणनीति है, लेकिन यह डाउनग्रेड हमलों के प्रति संवेदनशील है, इसलिए इसे अस्थायी मानें। दूसरा नुकसान कुंजी फैलाव है। उचित जीवनचक्र प्रबंधन के बिना PPSK परिनियोजन में, आप पुरानी कुंजियाँ जमा कर लेते हैं। पूर्व निवासी, पूर्व कर्मचारी, बंद किए गए उपकरण - ये सभी आपके RADIUS डेटाबेस में अनाथ PSK छोड़ देते हैं। प्रत्येक एक संभावित हमला वेक्टर है। पहले दिन से प्रोविज़निंग और डीप्रोविज़निंग को स्वचालित करें, और त्रैमासिक रूप से अपने PSK डेटाबेस का ऑडिट करें। तीसरा नुकसान 6GHz योजना है। यदि आप WiFi 6E या WiFi 7 एक्सेस पॉइंट तैनात कर रहे हैं और 6GHz बैंड का उपयोग करना चाहते हैं, तो WPA3 अनिवार्य है। आप 6GHz पर WPA2 नहीं चला सकते। इसलिए यदि आपकी PPSK रणनीति WPA2 पर निर्भर करती है, तो आपके 6GHz रेडियो अप्रयुक्त रहेंगे या एक अलग SSID चला रहे होंगे। अपने हार्डवेयर खरीद को अंतिम रूप देने से पहले अपने सुरक्षा आर्किटेक्चर की योजना बनाएं। अब रैपिड-फायर प्रश्न और उत्तर के लिए। प्रश्न: क्या मैं एक ही SSID पर PPSK और WPA3 चला सकता हूँ? उत्तर: आज अधिकांश हार्डवेयर पर, मूल रूप से नहीं। लेकिन Juniper Mist और Cisco दोनों RADIUS-आधारित मल्टी-PSK के साथ WPA3-SAE का समर्थन करते हैं। अपने वेंडर के वर्तमान फ़र्मवेयर की जांच करें। अगले 12 से 18 महीनों के भीतर सभी वेंडरों में व्यापक समर्थन की उम्मीद करें। प्रश्न: क्या PPSK PCI-DSS के अनुरूप है? उत्तर: PPSK PCI-DSS नेटवर्क सेगमेंटेशन आवश्यकताओं को पूरा कर सकता है यदि प्रत्येक कार्डधारक डेटा वातावरण डिवाइस अपने स्वयं के पृथक VLAN पर हो, और पहुंच नियंत्रित और ऑडिट योग्य हो। कार्डधारक डेटा वातावरण के लिए, 802.1X और EAP-TLS के साथ WPA3-Enterprise सुरक्षित दीर्घकालिक विकल्प है। प्रश्न: क्या होगा यदि कोई निवासी अपने PPSK को किसी पड़ोसी के साथ साझा करता है? उत्तर: उनका पड़ोसी निवासी के समान VLAN पर आ जाता है। पड़ोसी अन्य निवासियों के ट्रैफ़िक तक नहीं पहुँच सकता। लेकिन इसका मतलब यह है कि प्रॉपर्टी ऑपरेटर एक अनधिकृत उपयोगकर्ता को सेवा प्रदान कर रहा है। जहां हार्डवेयर इसका समर्थन करता है वहां PSK को MAC पते से बांधकर, या उपयोग की निगरानी और विसंगति अलर्ट लागू करके इसे कम करें। संक्षेप में। PPSK और WPA3 पूरक हैं, प्रतिस्पर्धी नहीं। PPSK मल्टी-टेनेंट अलगाव की समस्या का समाधान करता है - एक SSID, प्रति निवासी या डिवाइस अद्वितीय क्रेडेंशियल, स्वचालित VLAN असाइनमेंट। WPA3 प्रमाणीकरण सुरक्षा समस्या का समाधान करता है - SAE ऑफ़लाइन डिक्शनरी हमलों को समाप्त करता है, PMF प्रबंधन फ़्रेम की सुरक्षा करता है, और 192-बिट सुइट उच्च-सुरक्षा अनुपालन आवश्यकताओं को पूरा करता है। आज साझा WiFi बुनियादी ढांचे को तैनात करने वाले BTR ऑपरेटरों और मकान मालिकों के लिए, अनुशंसित आर्किटेक्चर निवासी अलगाव के लिए RADIUS के साथ PPSK है, जो व्यापक डिवाइस अनुकूलता के लिए WPA2 या WPA3 ट्रांज़िशन मोड पर चल रहा है, जिसमें वेंडर समर्थन परिपक्व होने पर WPA3-मूल PPSK के लिए एक स्पष्ट माइग्रेशन पथ है। इसे कर्मचारियों और परिचालन उपकरणों के लिए एक समर्पित WPA3-Enterprise SSID और स्मार्ट बिल्डिंग सिस्टम के लिए एक पृथक IoT VLAN के साथ जोड़ें। Purple का मल्टी-टेनेंट WiFi प्लेटफ़ॉर्म इस सब के ऊपर एक हार्डवेयर-अज्ञेयवादी क्लाउड ओवरले के रूप में बैठता है। हम 80,000 लाइव स्थानों और 350 मिलियन अद्वितीय उपयोगकर्ताओं में RADIUS एकीकरण, प्रोविज़निंग वर्कफ़्लो, एनालिटिक्स और अनुपालन रिपोर्टिंग का प्रबंधन करते हैं। ISO 27001 प्रमाणित, GDPR और CCPA अनुपालन, 99.999% अपटाइम। अगली बार तक।