SCEP के लिए एंटरप्राइज गाइड: स्वचालित कैंपस WiFi सुरक्षा के लिए सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल को लागू करना

शुभ प्रभात। यदि आप किसी होटल समूह, रिटेल एस्टेट, स्टेडियम, या यूनिवर्सिटी कैंपस में WiFi इंफ्रास्ट्रक्चर का प्रबंधन कर रहे हैं, तो यह ब्रीफिंग आपके लिए है। हम SCEP - Simple Certificate Enrollment Protocol - पर चर्चा करने जा रहे हैं, और विशेष रूप से इस बात पर कि यह एंटरप्राइज़ WiFi की सबसे बड़ी समस्याओं में से एक को कैसे हल करता है: बिना आपके हेल्पडेस्क को टिकटों में डुबोए, हजारों डिवाइसों पर स्वचालित रूप से सर्टिफिकेट प्राप्त करना। [short pause] आइए स्थिति को समझें। आपने यह सही निर्णय लिया है कि कर्मचारियों के WiFi के लिए प्री-शेयर्ड कीज़ अब स्वीकार्य नहीं हैं। एक अकेला लीक हुआ पासवर्ड आपके पूरे नेटवर्क सेगमेंट को खतरे में डाल देता है। आप 802.1X ऑथेंटिकेशन पर आगे बढ़ चुके हैं या बढ़ रहे हैं। यह वह IEEE मानक है जिसके तहत नेटवर्क एक्सेस मिलने से पहले हर डिवाइस को अपनी पहचान साबित करनी होती है। 802.1X का सबसे सुरक्षित रूप EAP-TLS - Extensible Authentication Protocol with Transport Layer Security - है जो पासवर्ड के बजाय डिजिटल सर्टिफिकेट का उपयोग करता है। सर्टिफिकेट प्रत्येक डिवाइस के लिए क्रिप्टोग्राफिक रूप से विशिष्ट होते हैं, उन्हें साझा नहीं किया जा सकता है, और यदि कोई डिवाइस खो जाता है या कोई कर्मचारी नौकरी छोड़ देता है, तो उन्हें तुरंत निरस्त किया जा सकता है। [short pause] यहाँ तक तो सब ठीक है। समस्या डिस्ट्रीब्यूशन की है। किसी तकनीशियन द्वारा प्रत्येक डिवाइस को छुए बिना - Windows, iOS, Android, macOS पर - आप अपने एस्टेट के हर लैपटॉप, हर फोन, हर टैबलेट पर एक विशिष्ट सर्टिफिकेट कैसे इंस्टॉल करते हैं? SCEP ठीक इसी समस्या का समाधान करता है। [medium pause] SCEP को 2020 में RFC 8894 में इंटरनेट इंजीनियरिंग टास्क फोर्स द्वारा औपचारिक रूप दिया गया था, हालांकि यह 2000 के दशक की शुरुआत से ही एंटरप्राइज़ परिवेशों में उपयोग में है। यह एक ऐसा प्रोटोकॉल है जो किसी प्रबंधित डिवाइस को प्री-कॉन्फ़िगर किए गए URL और चैलेंज पासवर्ड का उपयोग करके सीधे आपके सर्टिफिकेट अथॉरिटी से अपने खुद के सर्टिफिकेट का अनुरोध करने की अनुमति देता है। यहाँ महत्वपूर्ण सुरक्षा बिंदु यह है: प्राइवेट की डिवाइस पर ही जनरेट होती है और डिवाइस के सुरक्षित एन्क्लेव में स्टोर की जाती है - जैसे कि Windows डिवाइसों पर TPM चिप, या Apple हार्डवेयर पर सिक्योर एन्क्लेव - और यह कभी भी नेटवर्क पर ट्रांसफर नहीं होती है। डिवाइस एक सर्टिफिकेट साइनिंग रिक्वेस्ट जनरेट करता है, उसे SCEP गेटवे पर भेजता है, गेटवे चैलेंज को सत्यापित करता है, अनुरोध को आपके सर्टिफिकेट अथॉरिटी को फॉरवर्ड करता है, CA इसे साइन करता है, और हस्ताक्षरित सर्टिफिकेट डिवाइस पर वापस आ जाता है। यह पूरी प्रक्रिया एंड-यूज़र के लिए अदृश्य होती है। [short pause] अब, Microsoft परिवेश में, SCEP गेटवे आमतौर पर NDES - Network Device Enrollment Service - होता है, जो एक Windows सर्वर रोल है जो आपके MDM प्लेटफॉर्म और आपके CA के बीच मध्यस्थ के रूप में कार्य करता है। Microsoft Intune प्रबंधित डिवाइसों पर SCEP प्रोफ़ाइल को पुश करता है, जो उन्हें NDES URL और चैलेंज पासवर्ड बताता है। इसके बाद डिवाइस बाकी काम स्वचालित रूप से करते हैं। [medium pause] आइए मैं आपको दिखाता हूँ कि एक वास्तविक डिप्लॉयमेंट कैसा दिखता है। 150 संपत्तियों वाले एक होटल समूह का उदाहरण लें - जैसे Premier Inn का पैमाना। उनके पास फ्रंट-ऑफ-हाउस कर्मचारियों के लिए Windows लैपटॉप, हाउसकीपिंग सुपरवाइजरों के लिए iOS डिवाइस और रेस्टोरेंट के पॉइंट-ऑफ-सेल पर Android टैबलेट का मिश्रण है। SCEP से पहले, वे एक साझा पासवर्ड के साथ WPA2-Personal चला रहे थे जिसे त्रैमासिक रूप से बदला जाता था। प्रत्येक बदलाव से हेल्पडेस्क कॉल की बाढ़ आ जाती थी। SCEP और Intune के साथ, वे क्रम में तीन प्रोफाइल डिप्लॉय करते हैं। पहला, Trusted Root Certificate प्रोफाइल - यह प्रत्येक डिवाइस को कंपनी के सर्टिफिकेट अथॉरिटी (CA) पर भरोसा करने के लिए कहता है। दूसरा, SCEP Certificate प्रोफाइल - यह डिवाइसों को अपना अनूठा क्लाइंट सर्टिफिकेट प्राप्त करने का निर्देश देता है। तीसरा, WiFi प्रोफाइल - यह SSID को कॉन्फ़िगर करता है, सुरक्षा प्रकार को WPA2-Enterprise या WPA3-Enterprise पर सेट करता है, और प्रमाणीकरण के लिए SCEP सर्टिफिकेट की ओर इंगित करता है। Intune में उसी डिवाइस समूह में उन तीन प्रोफाइल को डिप्लॉय करें, और प्रत्येक प्रबंधित डिवाइस कॉर्पोरेट SSID से स्वचालित रूप से जुड़ जाता है, एक अनूठे सर्टिफिकेट के साथ, जिसमें किसी यूजर इंटरेक्शन की आवश्यकता नहीं होती है। [short pause] RADIUS सर्वर - आमतौर पर Microsoft NPS या एक क्लाउड RADIUS सेवा - EAP-TLS प्रमाणीकरण अनुरोध प्राप्त करता है, CA के विरुद्ध सर्टिफिकेट को मान्य करता है, सर्टिफिकेट निरसन सूची (CRL) की जाँच करता है, और एक्सेस प्रदान या अस्वीकार करता है। यदि किसी कर्मचारी को सेवा से हटा दिया जाता है, तो आप CA में उनके सर्टिफिकेट को निरस्त कर देते हैं। उनका डिवाइस अगले प्रमाणीकरण चक्र में WiFi एक्सेस खो देता है। किसी पासवर्ड रीसेट की आवश्यकता नहीं होती है। त्रैमासिक बदलाव का इंतजार करने की कोई आवश्यकता नहीं है। [medium pause] अब, लोग अक्सर SCEP और PKCS - पब्लिक की क्रिप्टोग्राफी स्टैंडर्ड्स - के बीच अंतर के बारे में पूछते हैं। दोनों Intune के साथ काम करते हैं। मुख्य अंतर यह है कि प्राइवेट की (private key) कहाँ जनरेट होती है। SCEP के साथ, यह डिवाइस पर जनरेट होती है। PKCS के साथ, CA दोनों कीज़ को केंद्रीय रूप से जनरेट करता है और प्राइवेट की को डिवाइस पर भेजता है। इसका मतलब है कि प्राइवेट की नेटवर्क पर यात्रा करती है, जिससे सैद्धांतिक रूप से इंटरसेप्शन का जोखिम पैदा होता है। PKCS का अपना स्थान है - यह S/MIME ईमेल एन्क्रिप्शन के लिए अधिक उपयुक्त है जहाँ की-एस्क्रो (key escrow) मायने रखता है। WiFi प्रमाणीकरण के लिए, SCEP ही सही विकल्प है। हर बार। [short pause] आइए मैं आपको दूसरा परिदृश्य देता हूँ - एक रिटेल एस्टेट। यूके में 200 स्टोर वाले एक फैशन रिटेलर की कल्पना करें, जिनमें से प्रत्येक Cisco Meraki एक्सेस पॉइंट चला रहा है। उनके पॉइंट-ऑफ-सेल सिस्टम Windows-आधारित हैं, जिन्हें Intune के माध्यम से प्रबंधित किया जाता है। उन्हें PCI-DSS अनुपालन की आवश्यकता है, जिसका अर्थ है कार्डधारक डेटा को संभालने वाले किसी भी डिवाइस के लिए नेटवर्क सेगमेंटेशन और मजबूत प्रमाणीकरण। SCEP-आधारित EAP-TLS उन्हें स्टाफ SSID पर डिवाइस-स्तरीय प्रमाणीकरण प्रदान करता है, जिसमें VLAN असाइनमेंट RADIUS पॉलिसी द्वारा संचालित होता है। POS टर्मिनल स्वचालित रूप से PCI-स्कोप्ड VLAN पर आ जाते हैं। अतिथि WiFi - जिसे Purple जैसे प्लेटफॉर्म के माध्यम से अलग से प्रबंधित किया जाता है - अपने स्वयं के प्रमाणीकरण प्रवाह के साथ पूरी तरह से पृथक SSID पर चलता है। दोनों नेटवर्क कभी एक-दूसरे को नहीं छूते। ऑडिटर्स खुश हैं। सुरक्षा टीम बेहतर तरीके से सो पाती है। [medium pause] ठीक है, आइए उन कमियों के बारे में बात करते हैं जो अक्सर टीमों को परेशान करती हैं। [short pause] सबसे आम विफलता मोड Intune में समूह लक्ष्यीकरण बेमेल (group targeting mismatches) है। आपका Trusted Root प्रोफ़ाइल, आपका SCEP प्रोफ़ाइल, और आपका WiFi प्रोफ़ाइल सभी एक ही Azure AD समूह को लक्षित करने चाहिए। यदि SCEP प्रोफ़ाइल किसी User समूह को लक्षित करती है और WiFi प्रोफ़ाइल किसी Device समूह को लक्षित करती है, तो Intune निर्भरता को हल नहीं कर पाता है और WiFi प्रोफ़ाइल एक त्रुटि के रूप में दिखाई देती है। सबसे पहले अपने असाइनमेंट की जाँच करें - यह लगभग हमेशा मुख्य कारण होता है। [short pause] दूसरा नुकसान: NDES सर्वर की उपलब्धता। आपके NDES सर्वर को दूरस्थ उपकरणों के ऑन-साइट आने से पहले नामांकित करने के लिए इंटरनेट से सुलभ होना आवश्यक है। ऐसा करने का सुरक्षित तरीका Azure AD Application Proxy के माध्यम से है, जो आपको इनबाउंड फ़ायरवॉल पोर्ट खोले बिना रिमोट एक्सेस देता है। NDES को सीधे इंटरनेट पर प्रदर्शित न करें। [short pause] तीसरा: CRL उपलब्धता। आपका RADIUS सर्वर हर बार किसी डिवाइस के प्रमाणित होने पर प्रमाणपत्र निरसन सूची (Certificate Revocation List) की जाँच करता है। यदि CRL वितरण बिंदु अनुपलब्ध है - शायद कोई सर्वर डाउन है, या फ़ायरवॉल नियम बदल गया है - तो प्रमाणीकरण सभी के लिए विफल हो जाता है। अपने CRL एंडपॉइंट को अत्यधिक उपलब्ध बनाएं, और नियमित रूप से उनका परीक्षण करें। [short pause] चौथा: प्रमाणपत्र टेम्पलेट अनुमतियाँ। यदि आपके NDES कनेक्टर सेवा खाते के पास प्रमाणपत्र टेम्पलेट पर Read और Enroll अनुमतियाँ नहीं हैं, तो उपकरणों को अपना प्रमाणपत्र एकत्र करने का प्रयास करते समय HTTP 403 त्रुटियाँ प्राप्त होती हैं। यह एक सरल अनुमति सुधार है, लेकिन प्रारंभिक सेटअप के दौरान इसे भूल जाना आसान है। [medium pause] अब रैपिड-फायर राउंड के लिए। [short pause] क्या SCEP गैर-Microsoft MDMs के साथ काम कर सकता है? हाँ - Apple डिवाइस फ़्लीट के लिए Jamf, VMware Workspace ONE, और अधिकांश एंटरप्राइज़ MDM प्लेटफ़ॉर्म SCEP प्रोफ़ाइल का समर्थन करते हैं। यह प्रोटोकॉल वेंडर-न्यूट्रल है। [short pause] क्या SCEP क्लाउड PKI के साथ काम करता है? हाँ। Intune Suite में Microsoft का अपना क्लाउड PKI ऑन-प्रिमाइसेस NDES सर्वर की आवश्यकता को पूरी तरह से समाप्त कर देता है। SecureW2 और Keyfactor जैसे तीसरे पक्ष के क्लाउड PKI प्रदाता भी क्लाउड SCEP एंडपॉइंट प्रदान करते हैं। [short pause] WPA3-Enterprise के बारे में क्या? WPA3-Enterprise उसी 802.1X और EAP-TLS प्रमाणीकरण स्टैक का उपयोग करता है। SCEP द्वारा जारी प्रमाणपत्र समान रूप से काम करते हैं। अपग्रेड वायरलेस प्रोटोकॉल लेयर पर होता है, न कि प्रमाणपत्र लेयर पर। [short pause] प्रमाणपत्र कितने समय तक चलते हैं? आम तौर पर एक वर्ष, हालांकि आप कम वैधता अवधि कॉन्फ़िगर कर सकते हैं। Intune समाप्ति से पहले स्वचालित नवीनीकरण को संभालता है, इसलिए उपयोगकर्ताओं को कभी भी कोई रुकावट नहीं दिखाई देती है। [medium pause] संक्षेप में। SCEP बड़े पैमाने पर प्रमाणपत्र वितरण को स्वचालित करता है, जिससे बड़े डिवाइस बेड़े में PKI परिनियोजन के मैन्युअल ओवरहेड समाप्त हो जाते हैं। निजी कुंजी डिवाइस पर ही रहती है - यही EAP-TLS का सुरक्षा आधार है। क्रम में परिनियोजित करें: पहले Trusted Root, दूसरा SCEP प्रोफ़ाइल, तीसरा WiFi प्रोफ़ाइल, सभी एक ही समूह को लक्षित करते हुए। Application Proxy के माध्यम से अपने NDES एंडपॉइंट को सुरक्षित रूप से प्रकाशित करें। अपने CRL एंडपॉइंट को अत्यधिक उपलब्ध रखें। और यदि आप नए सिरे से शुरुआत कर रहे हैं, तो ऑन-प्रिमाइसेस NDES निर्भरता को पूरी तरह से हटाने के लिए क्लाउड PKI का मूल्यांकन करें। [short pause] गेस्ट WiFi के लिए - जो कि एक अलग, विजिटर के सामने आने वाला नेटवर्क है - सर्टिफिकेट-बेस्ड ऑथेंटिकेशन सही मॉडल नहीं है। गेस्ट के पास मैनेज्ड डिवाइसेस नहीं होते हैं। यहीं पर Purple जैसा प्लेटफॉर्म ऑथेंटिकेशन फ्लो को संभालता है: captive portal, सोशल लॉगिन, ईमेल कैप्चर, या SMS वेरिफिकेशन, जो सभी सीधे एक फर्स्ट-पार्टी डेटा लेयर में जाते हैं जिसे आपकी मार्केटिंग टीम वास्तव में उपयोग कर सकती है। ये दोनों दृष्टिकोण एक-दूसरे के पूरक हैं: आपके मैनेज्ड स्टाफ एस्टेट के लिए SCEP, और आपके गेस्ट नेटवर्क के लिए Purple। दोनों एक ही हार्डवेयर पर चलते हैं, जो VLAN द्वारा स्पष्ट रूप से विभाजित होते हैं। [short pause] यह SCEP एंटरप्राइज WiFi ऑनबोर्डिंग पर आपकी ब्रीफिंग है। आर्किटेक्चर डायग्राम, स्टेप-बाय-स्टेप Intune कॉन्फ़िगरेशन, और व्यावहारिक उदाहरणों के साथ पूरी लिखित गाइड, Purple वेबसाइट पर उपलब्ध है। सुनने के लिए धन्यवाद।