PKI क्या है? पब्लिक की इन्फ्रास्ट्रक्चर WiFi सुरक्षा को कैसे सशक्त बनाता है

Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एंटरप्राइज नेटवर्क सुरक्षा के एक बुनियादी घटक से निपट रहे हैं: पब्लिक की इन्फ्रास्ट्रक्चर, या PKI, और विशेष रूप से यह सर्टिफिकेट-आधारित प्रमाणीकरण के माध्यम से सुरक्षित WiFi को कैसे संचालित करता है। यदि आप एक IT प्रबंधक, एक नेटवर्क आर्किटेक्ट, या एक वेन्यू ऑपरेशंस डायरेक्टर हैं जो होटलों, रिटेल श्रृंखलाओं, या बड़े सार्वजनिक स्थानों पर कनेक्टिविटी का प्रबंधन कर रहे हैं, तो आप जानते हैं कि पारंपरिक प्री-शेयर्ड की — दीवार पर चिपकाया गया या व्हाइटबोर्ड पर साझा किया गया पासवर्ड — समाप्त हो चुका है। यह एक बहुत बड़ा सुरक्षा जोखिम है। यह कोई व्यक्तिगत जवाबदेही प्रदान नहीं करता है, और इसे रोटेट करना एक परिचालन दुःस्वप्न है। तो, विकल्प क्या है? इसका उत्तर है PKI के साथ जुड़ा हुआ IEEE 802.1X। चलिए बुनियादी बातों से शुरू करते हैं। PKI क्या है? पब्लिक की इन्फ्रास्ट्रक्चर डिजिटल सर्टिफिकेट बनाने, प्रबंधित करने, वितरित करने, उपयोग करने, संग्रहीत करने और निरस्त करने के लिए आवश्यक हार्डवेयर, सॉफ्टवेयर, नीतियों और प्रक्रियाओं का व्यापक ढांचा है। सरल शब्दों में, यह वह प्रणाली है जो आपको अपने नेटवर्क पर प्रत्येक डिवाइस और उपयोगकर्ता को डिजिटल पासपोर्ट जारी करने की अनुमति देती है। उपयोगकर्ता द्वारा पासवर्ड टाइप करने के बजाय, उनका डिवाइस एक डिजिटल सर्टिफिकेट प्रस्तुत करता है — जो X.509 मानक के अनुरूप एक क्रिप्टोग्राफिक दस्तावेज़ है। यह सर्टिफिकेट एक पब्लिक की को एक पहचान से बांधता है, जैसे कि डिवाइस का MAC पता या किसी कर्मचारी का ईमेल पता। इस प्रणाली में केंद्रीय प्राधिकरण सर्टिफिकेट अथॉरिटी, या CA है। CA को उस पासपोर्ट को जारी करने वाली सरकार के रूप में सोचें। यदि आपका नेटवर्क CA पर भरोसा करता है, तो यह उस CA द्वारा जारी किए गए सर्टिफिकेट पर भरोसा करता है। अब, यह WiFi पर कैसे लागू होता है? यह हमें 802.1X और EAP-TLS पर लाता है। 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए IEEE मानक है। यह अनिवार्य रूप से आपके नेटवर्क के दरवाजे पर एक बाउंसर के रूप में कार्य करता है — एक्सेस पॉइंट। यह तब तक सभी ट्रैफ़िक को ब्लॉक करता है जब तक कि डिवाइस यह साबित नहीं कर देता कि वह कौन है। EAP-TLS, जिसका अर्थ एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल विद ट्रांसपोर्ट लेयर सिक्योरिटी है, इस प्रमाण के लिए स्वर्ण मानक विधि है। इसके लिए पारस्परिक प्रमाणीकरण की आवश्यकता होती है। यह बिल्कुल महत्वपूर्ण है। EAP-TLS में, क्लाइंट डिवाइस RADIUS सर्वर को अपना सर्टिफिकेट प्रस्तुत करके कहता है, मैं एक वैध कॉर्पोरेट डिवाइस हूँ। लेकिन फिर, RADIUS सर्वर क्लाइंट को अपना सर्टिफिकेट वापस प्रस्तुत करके कहता है, और मैं वैध कॉर्पोरेट नेटवर्क हूँ, कोई नकली एक्सेस पॉइंट नहीं। यह पारस्परिक विश्वास उस चीज़ को रोकता है जिसे सुरक्षा पेशेवर इविल ट्विन (Evil Twin) हमले कहते हैं, जहाँ एक दुर्भावनापूर्ण कर्ता क्रेडेंशियल चुराने के लिए उसी नेटवर्क नाम के साथ एक नकली एक्सेस पॉइंट स्थापित करता है। चूंकि दुर्भावनापूर्ण कर्ता के पास आपके आंतरिक सर्टिफिकेट अथॉरिटी से वैध सर्टिफिकेट नहीं होता है, इसलिए क्लाइंट डिवाइस कनेक्ट होने से इनकार कर देगा। बिल्कुल समाप्त। आइए घटकों के बारे में अधिक विस्तार से बात करें। सर्टिफिकेट अथॉरिटी पदानुक्रम में आमतौर पर तीन स्तर होते हैं। सबसे ऊपर, आपके पास रूट CA (Root CA) होता है। यह विश्वास का अंतिम स्रोत है। एक अच्छी तरह से डिज़ाइन किए गए परिनियोजन में, रूट CA को पूरी तरह से ऑफ़लाइन रखा जाता है — भौतिक रूप से सुरक्षित, एयर-गैप्ड। यह केवल इंटरमीडिएट CA सर्टिफिकेट पर हस्ताक्षर करता है। उसके नीचे, आपके पास एक या अधिक इंटरमीडिएट CAs होते हैं। ये ऑनलाइन होते हैं और जारीकर्ता CA सर्टिफिकेट के दैनिक हस्ताक्षर को संभालते हैं। इंटरमीडिएट CAs से रूट CA का अलगाव का मतलब है कि भले ही किसी इंटरमीडिएट CA से समझौता हो जाए, आप अपने पूरे PKI को नष्ट किए बिना इसे निरस्त कर सकते हैं। पदानुक्रम के निचले भाग में, जारीकर्ता CA वह है जो वास्तव में अंतिम-इकाई सर्टिफिकेट (end-entity certificates) पर हस्ताक्षर करता है — जो आपके लैपटॉप, टैबलेट और स्मार्टफोन पर जाते हैं। प्रत्येक सर्टिफिकेट में कई प्रमुख फ़ील्ड होते हैं: सब्जेक्ट, जो सर्टिफिकेट धारक की पहचान करता है; जारीकर्ता, जो इसे हस्ताक्षरित करने वाले CA की पहचान करता है; पब्लिक की; वैधता अवधि, जो प्रारंभ और समाप्ति तिथियों को परिभाषित करती है; और जारीकर्ता CA का डिजिटल हस्ताक्षर। अब, आइए एक वास्तविक दुनिया के कार्यान्वयन परिदृश्य पर चलते हैं। पांच सौ स्टोर वाली एक रिटेल श्रृंखला की कल्पना करें। वे वर्तमान में WPA2-PSK चला रहे हैं — सभी स्थानों पर एक साझा पासवर्ड। IT टीम जानती है कि यह एक समस्या है। स्टाफ टर्नओवर का मतलब है कि पासवर्ड बाहरी रूप से साझा हो जाता है। नेटवर्क पर कौन है, इसका ऑडिट करने का कोई तरीका नहीं है। और यदि किसी एक स्टोर के पासवर्ड से समझौता हो जाता है, तो हमलावर के पास पूरे साम्राज्य तक पहुंच होती है। PKI का माइग्रेशन पथ इस प्रकार दिखता है। पहला, एक क्लाउड-प्रबंधित PKI प्रदाता चुनें और इसे मौजूदा मोबाइल डिवाइस प्रबंधन समाधान के साथ एकीकृत करें। दूसरा, प्रत्येक कॉर्पोरेट डिवाइस पर अद्वितीय, डिवाइस-बाउंड सर्टिफिकेट स्वचालित रूप से पुश करने के लिए SCEP — सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल — को कॉन्फ़िगर करें। तीसरा, एक क्लाउड RADIUS सेवा तैनात करें और इसे PKI के विरुद्ध सर्टिफिकेट को मान्य करने के लिए कॉन्फ़िगर करें। चौथा, कॉर्पोरेट SSID पर 802.1X प्रमाणीकरण लागू करने के लिए प्रत्येक स्टोर पर वायरलेस कंट्रोलर को पुन: कॉन्फ़िगर करें। अंत में, PSK नेटवर्क को हटा दें। परिणाम? प्रत्येक डिवाइस की एक अद्वितीय क्रिप्टोग्राफिक पहचान होती है। यदि कोई टैबलेट चोरी हो जाता है, तो उसका सर्टिफिकेट PKI में निरस्त कर दिया जाता है, और कुछ ही मिनटों में, वह डिवाइस किसी भी स्टोर में किसी भी नेटवर्क तक नहीं पहुंच सकता है। कोई पासवर्ड रोटेशन नहीं। कोई डाउनटाइम नहीं। कोई परिचालन अराजकता नहीं। अब, आइए कुछ सामान्य कमियों के बारे में बात करते हैं, क्योंकि यहीं पर कई परिनियोजन मुश्किल में पड़ जाते हैं। पहली और सबसे आम समस्या खराब निरस्तीकरण प्रबंधन है। सर्टिफिकेट जारी करना आसान काम है। उन्हें विश्वसनीय रूप से निरस्त करना वह जगह है जहाँ टीमें अक्सर पीछे रह जाती हैं। आपके RADIUS सर्वर को प्रत्येक प्रमाणीकरण प्रयास पर सर्टिफिकेट निरस्तीकरण सूची, या CRL की सक्रिय रूप से जांच करने, या ऑनलाइन सर्टिफिकेट स्थिति प्रोटोकॉल, जिसे OCSP के रूप में जाना जाता है, का उपयोग करने के लिए कॉन्फ़िगर किया जाना चाहिए। दिन में सिर्फ एक बार नहीं। हर बार। यदि किसी डिवाइस से समझौता किया जाता है और उसका सर्टिफिकेट निरस्त कर दिया जाता है, लेकिन आपका RADIUS सर्वर हर चौबीस घंटे में केवल एक बार CRL की जांच कर रहा है, तो आपके पास जोखिम की चौबीस घंटे की खिड़की है। दूसरा नुकसान समय सिंक्रनाइज़ेशन है। यह टीमों को आपकी अपेक्षा से अधिक बार फंसाता है। डिजिटल सर्टिफिकेट समय के प्रति बेहद संवेदनशील होते हैं। यदि किसी क्लाइंट डिवाइस की घड़ी कुछ मिनटों से अधिक पीछे या आगे है — उदाहरण के लिए, NTP विफलता के कारण — तो सर्टिफिकेट सत्यापन विफल हो जाएगा। सर्टिफिकेट या तो अभी तक वैध नहीं दिखाई देगा या पहले ही समाप्त हो चुका होगा। अपने संपूर्ण नेटवर्क इन्फ्रास्ट्रक्चर में मजबूत NTP कॉन्फ़िगरेशन सुनिश्चित करें। तीसरा नुकसान ट्रस्ट चेन वितरण है। EAP-TLS पारस्परिक प्रमाणीकरण के काम करने के लिए, क्लाइंट डिवाइस को उस रूट CA पर भरोसा करना चाहिए जिसने RADIUS सर्वर का सर्टिफिकेट जारी किया था। Active Directory से जुड़े Windows उपकरणों पर, इसे आमतौर पर समूह नीति के माध्यम से स्वचालित रूप से नियंत्रित किया जाता है। लेकिन Android उपकरणों, iOS उपकरणों, या BYOD उपकरणों के लिए, आपको MDM के माध्यम से रूट CA सर्टिफिकेट पुश करना होगा। यदि आप इस चरण को छोड़ देते हैं, तो वे डिवाइस RADIUS सर्वर के सर्टिफिकेट को अस्वीकार कर देंगे और कनेक्ट होने में विफल रहेंगे। आइए उन त्वरित-प्रश्नों पर आगे बढ़ें जो मुझसे सबसे अधिक पूछे जाते हैं। क्या मैं गेस्ट WiFi के लिए EAP-TLS का उपयोग कर सकता हूँ? तकनीकी रूप से हाँ, लेकिन व्यावहारिक रूप से नहीं। गेस्ट डिवाइस अप्रबंधित होते हैं, इसलिए आप उन पर सर्टिफिकेट पुश नहीं कर सकते। गेस्ट नेटवर्क को सोशल लॉगिन या ईमेल प्रमाणीकरण के साथ Captive Portal का उपयोग करना चाहिए, जबकि कॉर्पोरेट SSID EAP-TLS का उपयोग करता है। Purple जैसे प्लेटफॉर्म इस अलगाव को सफाई से संभालते हैं। OpenRoaming क्या है और PKI इससे कैसे संबंधित है? OpenRoaming एक संघीकृत (federated) WiFi मानक है जो उपयोगकर्ताओं को पूर्व-प्रोविजन की गई प्रोफ़ाइल — अनिवार्य रूप से एक सर्टिफिकेट-आधारित क्रेडेंशियल — का उपयोग करके भाग लेने वाले नेटवर्क से सहज और सुरक्षित रूप से कनेक्ट करने की अनुमति देता है। Purple, Connect लाइसेंस के तहत OpenRoaming के लिए एक मुफ्त पहचान प्रदाता के रूप में कार्य करता है, जिसका अर्थ है कि Purple के माध्यम से प्रोविजन किए गए उपयोगकर्ता बिना किसी Captive Portal या पासवर्ड के किसी भी OpenRoaming-सक्षम स्थान से कनेक्ट हो सकते हैं। सर्टिफिकेट को कितनी बार नवीनीकृत किया जाना चाहिए? सर्वोत्तम अभ्यास यह है कि अंतिम-इकाई सर्टिफिकेट के लिए सर्टिफिकेट का जीवनकाल एक वर्ष निर्धारित किया जाए और वैधता अवधि के साठ प्रतिशत के निशान पर नवीनीकरण को स्वचालित किया जाए। यदि नवीनीकरण प्रक्रिया विफल हो जाती है तो यह आपको एक बड़ा बफर देता है। आज की ब्रीफिंग का सारांश प्रस्तुत करने के लिए। PKI कमजोर साझा रहस्यों को क्रिप्टोग्राफिक पहचान से बदल देता है। प्रत्येक डिवाइस को एक अद्वितीय, जाली न बनाई जा सकने वाली डिजिटल सर्टिफिकेट मिलता है। EAP-TLS पारस्परिक प्रमाणीकरण प्रदान करता है, यह सुनिश्चित करता है कि डिवाइस नेटवर्क पर भरोसा करता है और नेटवर्क डिवाइस पर भरोसा करता है। स्केलेबल परिनियोजन के लिए MDM के माध्यम से स्वचालित प्रोविजनिंग गैर-परक्राम्य है। मजबूत निरस्तीकरण जांच एक सुरक्षित परिनियोजन और सुरक्षा की झूठी भावना के बीच का अंतर है। और जनता के सामने आने वाले स्थानों के लिए, OpenRoaming जैसे PKI-समर्थित मानकों को अपनाना बड़े पैमाने पर एक सहज, सुरक्षित अतिथि अनुभव प्रदान करता है। यदि आप सर्टिफिकेट-आधारित WiFi पर माइग्रेशन की योजना बना रहे हैं, तो पूर्ण तकनीकी संदर्भ गाइड Purple वेबसाइट पर उपलब्ध है, जिसमें हॉस्पिटैलिटी, रिटेल और स्वास्थ्य सेवा वातावरण के लिए आर्किटेक्चर आरेख, परिनियोजन चेकलिस्ट और व्यावहारिक उदाहरण शामिल हैं। इस ब्रीफिंग में शामिल होने के लिए धन्यवाद। अगली बार तक।