Cisco SUDI को समझना: नेटवर्क एक्सेस कंट्रोल में हार्डवेयर - आधारित डिवाइस पहचान

Cisco SUDI को समझना: नेटवर्क एक्सेस कंट्रोल में हार्डवेयर-आधारित डिवाइस पहचान एक Purple तकनीकी ब्रीफिंग - पूरा पॉडकास्ट स्क्रिप्ट (लगभग 10 मिनट) --- खंड 1: परिचय और संदर्भ (लगभग 1 मिनट) नमस्कार और Purple तकनीकी ब्रीफिंग में आपका स्वागत है। मैं अगले दस मिनट आपको Cisco SUDI - Secure Unique Device Identifier - को समझाने में बिताऊंगा कि वास्तव में यह क्या है, यह आपके नेटवर्क एक्सेस कंट्रोल आर्किटेक्चर में कैसे फिट बैठता है, और यदि आप बड़े पैमाने पर Cisco इन्फ्रास्ट्रक्चर चला रहे हैं तो आपको इसके बारे में क्या करने की आवश्यकता है। इसका उद्देश्य स्थानों - होटलों, रिटेल संपत्तियों, स्टेडियमों, सम्मेलन केंद्रों - के नेटवर्क आर्किटेक्ट्स, IT प्रबंधकों और CTOs की मदद करना है - जहां भी आप एंटरप्राइज WiFi चला रहे हैं और आपको यह विश्वास होना चाहिए कि आपके नेटवर्क पर मौजूद हार्डवेयर ठीक वही है जो वह होने का दावा करता है। आइए उस समस्या से शुरू करें जिसे SUDI हल करता है। किसी भी बड़े स्थान के नेटवर्क में, आपके पास दर्जनों या सैकड़ों एक्सेस पॉइंट्स, स्विच और कंट्रोलर होते हैं। वह प्रश्न जिस पर आपकी सुरक्षा स्थिति निर्भर करती है वह है: आप कैसे जानते हैं कि इनमें से प्रत्येक डिवाइस एक वास्तविक, असंशोधित Cisco उत्पाद है - न कि कोई नकली, एक समझौता की गई यूनिट, या पारगमन में छेड़छाड़ की गई कोई डिवाइस? यही वह अंतर है जिसे SUDI पाटता है। --- खंड 2: तकनीकी गहन-विश्लेषण (लगभग 5 मिनट) SUDI का अर्थ Secure Unique Device Identifier है। यह एक X.509 वर्शन 3 सर्टिफिकेट है - वही सर्टिफिकेट फॉर्मेट जो HTTPS और TLS में उपयोग किया जाता है - लेकिन किसी व्यक्ति या सर्वर को जारी किए जाने के बजाय, यह निर्माण के दौरान किसी विशिष्ट हार्डवेयर को जारी किया जाता है। इसमें डिवाइस का उत्पाद पहचानकर्ता और सीरियल नंबर होता है, और यह Cisco के अपने पब्लिक की इन्फ्रास्ट्रक्चर में निहित होता है। यहाँ वह बात दी गई है जो SUDI को आपके द्वारा स्वयं इंस्टॉल किए जाने वाले सॉफ़्टवेयर सर्टिफिकेट से अलग बनाती है। SUDI सर्टिफिकेट, अपने संबंधित की-पेयर के साथ, ट्रस्ट एंकर मॉड्यूल, या TAm नामक एक छेड़छाड़-प्रतिरोधी चिप के अंदर रहता है। प्राइवेट की उस चिप के भीतर ही जनरेट होती है और कभी भी इससे बाहर नहीं निकलती है। आप इसे एक्सपोर्ट नहीं कर सकते। आप इसे क्लोन नहीं कर सकते। यदि कोई चिप के साथ शारीरिक रूप से छेड़छाड़ करता है, तो की नष्ट हो जाती है। यही ट्रस्ट का हार्डवेयर रूट है। SUDI IEEE 802.1AR मानक का Cisco कार्यान्वयन है - जो सिक्योर डिवाइस आइडेंटिफायर्स, या DevIDs के लिए उद्योग मानक है। 802.1AR के तहत, निर्माता द्वारा इंस्टॉल किए गए क्रेडेंशियल को इनिशियल डिवाइस आइडेंटिफायर, या IDevID कहा जाता है। Cisco का SUDI बिल्कुल वही है - एक IDevID जिसे Cisco फ़ैक्टरी में इंस्टॉल करता है। आप इसे लोकली सिग्निफिकेंट डिवाइस आइडेंटिफायर, या LDevID के साथ पूरक कर सकते हैं, जिसे आपका अपना PKI स्थानीय प्राधिकरण नीतियों के लिए जारी करता है।अब, यह नेटवर्क एक्सेस कंट्रोल में कैसे प्लग होता है? सबसे आम एकीकरण बिंदु IEEE 802.1X है - जो पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल मानक है। जब एक Cisco एक्सेस पॉइंट या स्विच ऑनलाइन होता है, तो यह EAP-TLS, जो कि ट्रांसपोर्ट लेयर सिक्योरिटी के साथ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल है, का उपयोग करके एक RADIUS सर्वर - आमतौर पर Cisco ISE, आइडेंटिटी सर्विसेज इंजन - के सामने अपना SUDI सर्टिफिकेट प्रस्तुत कर सकता है। RADIUS सर्वर Cisco की पब्लिक सर्टिफिकेट अथॉरिटी के खिलाफ सर्टिफिकेट को सत्यापित करता है, पुष्टि करता है कि डिवाइस असली है, और फिर उपयुक्त नेटवर्क पॉलिसी लागू करता है। यह MAC एड्रेस बाईपास की तुलना में काफी मजबूत है, जो कि अधिकांश नेटवर्क इंफ्रास्ट्रक्चर डिवाइसेज के लिए फ़ॉलबैक के रूप में उपयोग करते हैं। MAC एड्रेस को एक मिनट से भी कम समय में स्पूफ किया जा सकता है। टैम्पर-रेसिस्टेंट चिप में हार्डवेयर-बाउंड सर्टिफिकेट को डिवाइस को भौतिक रूप से नष्ट किए बिना स्पूफ नहीं किया जा सकता है। एक वेन्यू के संदर्भ में, यह तीन कारणों से महत्वपूर्ण है। पहला, यह आपके नेटवर्क में अनधिकृत या नकली एक्सेस पॉइंट्स के शामिल होने के जोखिम को समाप्त करता है। एक नकली या अनधिकृत डिवाइस केवल एक वैध SUDI प्रस्तुत नहीं कर सकता है। दूसरा, यह स्वचालित, ज़ीरो टच प्रोविज़निंग को सक्षम बनाता है - एक नया डिवाइस आपके वेन्यू पर डिलीवर होता है, चालू होता है, अपना SUDI प्रस्तुत करता है, और आपका मैनेजमेंट सिस्टम कॉन्फ़िगरेशन पुश करने से पहले आपकी इन्वेंट्री के खिलाफ इसे सत्यापित करता है। किसी मैन्युअल हस्तक्षेप की आवश्यकता नहीं है। तीसरा, यह आपको एक क्रिप्टोग्राफिक रूप से सत्यापन योग्य ऑडिट ट्रेल प्रदान करता है। आपके नेटवर्क पर ऑथेंटिकेट होने वाले प्रत्येक डिवाइस ने एक ऐसे सर्टिफिकेट के साथ ऐसा किया जो यह साबित करता है कि यह एक विशिष्ट, नामित Cisco उत्पाद है। मुझे Trust Anchor मॉड्यूल के बारे में थोड़ा और विस्तार से बात करने दें, क्योंकि यह वह आधार है जिस पर बाकी सब कुछ टिका है। TAm एक मालिकाना Cisco चिप है जो तीन चीजें प्रदान करता है: SUDI और कीज़ के लिए नॉन-वोलाटाइल सुरक्षित स्टोरेज, रैंडम नंबर जनरेशन सहित क्रिप्टोग्राफिक सेवाएं, और हार्डवेयर फ़िंगरप्रिंटिंग। आखिरी वाले पर ध्यान देना महत्वपूर्ण है - Cisco मैन्युफैक्चरिंग के समय डिवाइस के महत्वपूर्ण हार्डवेयर घटकों को फ़िंगरप्रिंट करता है और उस फ़िंगरप्रिंट को TAm में स्टोर करता है। जब डिवाइस बूट होता है, तो यह देखे गए हार्डवेयर फ़िंगरप्रिंट को स्टोर किए गए फ़िंगरप्रिंट से मिलाता है। यदि वे मेल नहीं खाते हैं, तो डिवाइस बूट नहीं होगा। यह ट्रांजिट में हार्डवेयर के साथ छेड़छाड़ का पता लगाता है - बड़े वेन्यू पर डिप्लॉयमेंट के लिए यह एक वास्तविक चिंता है जहां इंस्टॉलेशन से पहले हार्डवेयर कई हाथों से गुजर सकता है। एक परिचालन समस्या जिसके बारे में आपको जागरूक होने की आवश्यकता है: मई 2019 से पहले जारी किए गए SUDI सर्टिफिकेट या तो मैन्युफैक्चरिंग की तारीख से दस साल बाद या 14 मई 2029 को समाप्त हो जाते हैं, जो भी पहले हो। Cisco ने SUDI-2099 नामक नई पीढ़ी के सर्टिफिकेट के साथ इसका समाधान किया है, जो दिसंबर 2099 तक मान्य हैं। यदि आप 2019 से पहले निर्मित Catalyst 9000 सीरीज हार्डवेयर चला रहे हैं, तो आपको अभी अपनी SUDI समाप्ति तिथियों की जांच करनी होगी। IOS-XE पर कमांड show crypto pki certificate है। CISCO_IDEVID_SUDI ट्रस्टपॉइंट को देखें और अंतिम तिथि की जांच करें। यदि आप Catalyst 9200 पर हैं, तो यह सुनिश्चित करने के लिए कि आप सही 2099 सर्टिफिकेट का उपयोग कर रहे हैं, IOS-XE 17.12.2 या उसके बाद के वर्जन पर अपग्रेड करें। - खंड 3: कार्यान्वयन की सिफारिशें और संभावित गलतियां (लगभग 2 मिनट) आइए मैं आपको व्यावहारिक कार्यान्वयन की तस्वीर दिखाता हूँ। यदि आप किसी वेन्यू परिवेश में SUDI-आधारित ऑथेंटिकेशन को लागू कर रहे हैं, तो यहाँ वह क्रम दिया गया है जो काम करता है। अपने RADIUS इन्फ्रास्ट्रक्चर से शुरुआत करें। यदि आप पहले से ही Cisco इकोसिस्टम में हैं तो Cisco ISE स्वाभाविक विकल्प है, लेकिन कोई भी RADIUS सर्वर जो EAP-TLS का समर्थन करता है और बाहरी CA के विरुद्ध सत्यापन कर सकता है, काम करेगा। आपको Cisco के रूट CA और ACT2 SUDI CA सर्टिफिकेट को अपने RADIUS ट्रस्ट स्टोर में इम्पोर्ट करना होगा। ये Cisco के PKI पोर्टल से सार्वजनिक रूप से उपलब्ध हैं। इसके बाद, इन्फ्रास्ट्रक्चर डिवाइसेज के लिए सर्टिफिकेट-आधारित ऑथेंटिकेशन की आवश्यकता के लिए अपनी 802.1X पॉलिसी को कॉन्फ़िगर करें। इसे अपनी एंड-यूज़र ऑथेंटिकेशन पॉलिसी से अलग रखें - स्टाफ और गेस्ट ऑथेंटिकेशन फ्लो अलग-अलग होते हैं और इन्हें ISE में अलग-अलग पॉलिसी सेट पर होना चाहिए। नए डिप्लॉयमेंट के लिए, ज़ीरो टच प्रोविज़निंग को इनेबल करें। आपका नेटवर्क मैनेजमेंट सिस्टम - Cisco DNA Centre या Catalyst Centre - कॉन्फ़िगरेशन पुश करने से पहले डिवाइस की पहचान सत्यापित करने के लिए SUDI का उपयोग कर सकता है। यह मैन्युअल स्टेजिंग प्रक्रिया को समाप्त करता है और प्रोविज़निंग समय को प्रति डिवाइस घंटों से घटाकर मिनटों में कर देता है। अब, कमियों की बात करते हैं। सबसे आम कमी जो मैं देखता हूँ वह है एक ही पोर्ट पर SUDI ऑथेंटिकेशन को MAC एड्रेस बाईपास के साथ मिक्स करना। यदि SUDI विफल होने पर आप MAB पर वापस आ जाते हैं, तो आपने सुरक्षा मॉडल को कमजोर कर दिया है। एक स्पष्ट पॉलिसी परिभाषित करें: SUDI-सक्षम डिवाइसेज को SUDI के माध्यम से ही ऑथेंटिकेट होना चाहिए, बस। नॉन-SUDI डिवाइसेज मैन्युअल समीक्षा के लंबित रहने तक एक क्वारंटाइन VLAN में जाते हैं। दूसरी कमी सर्टिफिकेट की समाप्ति है। अपने पूरे एस्टेट में SUDI समाप्ति तिथियों के लिए अभी से मॉनिटरिंग सेट करें। यह पता लगाने के लिए सर्विस आउटेज का इंतजार न करें कि आपके एक्सेस पॉइंट्स अब ऑथेंटिकेट नहीं हो सकते हैं। Purple का प्लेटफॉर्म डिवाइस हेल्थ सिग्नल्स - जिसमें ऑथेंटिकेशन स्टेटस शामिल है - को एक सिंगल डैशबोर्ड में प्रदर्शित करने के लिए Cisco Meraki और अन्य हार्डवेयर वेंडर्स के साथ एकीकृत होता है, जो इस तरह की प्रोएक्टिव मॉनिटरिंग को बड़े पैमाने पर व्यावहारिक बनाता है। तीसरी कमी स्कोप क्रीप है। SUDI हार्डवेयर डिवाइस को ऑथेंटिकेट करता है। यह उस डिवाइस के माध्यम से कनेक्ट होने वाले यूजर को ऑथेंटिकेट नहीं करता है। आपको अभी भी गेस्ट, स्टाफ और निवासियों के लिए एक अलग आइडेंटिटी लेयर की आवश्यकता है। यहीं पर Purple जैसा प्लेटफॉर्म काम आता है - हम मानव आइडेंटिटी लेयर, सहमति कैप्चर, गेस्ट ट्रैफ़िक के लिए VLAN असाइनमेंट और एनालिटिक्स को संभालते हैं, जबकि SUDI नीचे के इन्फ्रास्ट्रक्चर लेयर को संभालता है। --- सेगमेंट 4: रैपिड-फायर प्रश्न और उत्तर (लगभग 1 मिनट) आइए मैं उन तीन सवालों पर नज़र डालूँ जो मुझसे नियमित रूप से पूछे जाते हैं। क्या SUDI मेरे मौजूदा PKI को रिप्लेस करता है? नहीं। SUDI एक मैन्युफैक्चरर-इंस्टॉल्ड IDevID है। यह साबित करता है कि डिवाइस असली Cisco हार्डवेयर है। आपका एंटरप्राइज PKI अन्य सभी चीज़ों के लिए LDevIDs और यूजर सर्टिफिकेट जारी करता है। वे समानांतर रूप से काम करते हैं। क्या मैं नॉन-Cisco हार्डवेयर पर SUDI का उपयोग कर सकता हूँ? नहीं। SUDI केवल Cisco-विशिष्ट है। HPE Aruba के पास इसके समकक्ष एक चीज़ है जिसे IAP प्रोविज़निंग सर्टिफिकेट कहा जाता है। Ruckus और Juniper Mist के पास अपने स्वयं के डिवाइस आइडेंटिटी मैकेनिज्म हैं। अंतर्निहित मानक - IEEE 802.1AR - वेंडर-न्यूट्रल है, लेकिन प्रत्येक निर्माता इसे अलग तरह से लागू करता है।जब एक SUDI सर्टिफिकेट की अवधि समाप्त (expire) हो जाती है तो क्या होता है? वे सेवाएं जो प्रमाणीकरण (authentication) के लिए SUDI पर निर्भर करती हैं - जैसे HTTPS, सर्टिफिकेट ऑथेंटिकेशन के साथ SSH, और Zero Touch Provisioning - काम करना बंद कर देंगी। डिवाइस खुद तो काम करता रहेगा, लेकिन यह अब क्रिप्टोग्राफिक रूप से अपनी पहचान साबित नहीं कर सकता। इसीलिए SUDI-2099 माइग्रेशन महत्वपूर्ण है। - खंड 5: सारांश और अगले कदम (लगभग 1 मिनट) संक्षेप में: Cisco SUDI आपको हार्डवेयर-आधारित डिवाइस पहचान प्रदान करता है जिसे स्पूफ, क्लोन या एक्सपोर्ट नहीं किया जा सकता है। यह एक भरोसेमंद इंफ्रास्ट्रक्चर लेयर की नींव है। IEEE 802.1X और एक अच्छी तरह से कॉन्फ़िगर की गई RADIUS पॉलिसी के साथ मिलकर, यह अनधिकृत डिवाइस के जोखिम को समाप्त करता है और बड़े पैमाने पर ऑटोमेटेड प्रोविजनिंग को सक्षम बनाता है। आपके तीन तत्काल कदम: पहला, show crypto pki certificate का उपयोग करके SUDI की समाप्ति तिथियों के लिए अपने Cisco एस्टेट का ऑडिट करें। दूसरा, Cisco के रूट CA को अपने RADIUS ट्रस्ट स्टोर में इम्पोर्ट करें और इंफ्रास्ट्रक्चर डिवाइसेस के लिए EAP-TLS पॉलिसियों को कॉन्फ़िगर करें। तीसरा, अपनी इंफ्रास्ट्रक्चर ऑथेंटिकेशन पॉलिसी को अपनी एंड-यूज़र ऑथेंटिकेशन पॉलिसी से अलग करें - ये दोनों अलग-अलग उद्देश्यों को पूरा करते हैं और इनका प्रबंधन स्वतंत्र रूप से किया जाना चाहिए। यदि आप इस बारे में और अधिक जानना चाहते हैं कि मेहमानों, कर्मचारियों और निवासियों के लिए पहचान-आधारित नेटवर्क सेगमेंटेशन प्रदान करने के लिए Purple, Cisco Meraki और अन्य हार्डवेयर विक्रेताओं के साथ कैसे एकीकृत (integrate) होता है, तो purple.ai पर जाएं या इस एपिसोड के नीचे लिंक किए गए संबंधित गाइड पढ़ें। सुनने के लिए धन्यवाद। मैं आपसे अगले ब्रीफिंग में मिलूँगा। - स्क्रिप्ट समाप्त