मुख्य सामग्री पर जाएं
हिन्दी

WPA2 बनाम 802.1X: क्या अंतर है?

यह गाइड WPA2 एन्क्रिप्शन और IEEE 802.1X प्रमाणीकरण फ्रेमवर्क के बीच के संबंध को स्पष्ट करती है — दो पूरक मानक जिन्हें अक्सर वेंडर दस्तावेजों और नेटवर्क डिज़ाइन चर्चाओं में मिला दिया जाता है। यह IT निदेशकों, नेटवर्क आर्किटेक्ट्स और वेन्यू ऑपरेशंस लीडर्स को यह स्पष्ट तकनीकी विश्लेषण प्रदान करती है कि ये प्रोटोकॉल कैसे इंटरैक्ट करते हैं, आतिथ्य, रिटेल और सार्वजनिक क्षेत्र के वातावरण में व्यावहारिक परिनियोजन रणनीतियाँ, और अनुपालन, जोखिम न्यूनीकरण और गेस्ट WiFi एकीकरण पर व्यावहारिक मार्गदर्शन प्रदान करती है।

📖 7 मिनट का पाठ📝 1,746 शब्द🔧 2 हल किए गए उदाहरण❓ 3 अभ्यास प्रश्न📚 10 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एक ऐसे विषय पर बात कर रहे हैं जो अक्सर एंटरप्राइज नेटवर्क डिज़ाइन में भ्रम पैदा करता है: WPA2 और 802.1X के बीच का अंतर। यदि आप एक IT निदेशक हैं, एक नेटवर्क आर्किटेक्ट हैं, या किसी बड़े स्थान के लिए बुनियादी ढांचे का प्रबंधन कर रहे हैं, तो यह समझना कि ये दोनों मानक कैसे इंटरैक्ट करते हैं, एक सुरक्षित, स्केलेबल वायरलेस वातावरण बनाने के लिए बुनियादी है। आइए प्राथमिक गलतफहमी को दूर करके शुरुआत करें। WPA2 और 802.1X प्रतिस्पर्धी मानक नहीं हैं। आप एक के ऊपर दूसरे को नहीं चुनते हैं। एक मजबूत एंटरप्राइज परिनियोजन में, वे पूरक परतें हैं। इसे इस तरह से सोचें: WPA2 तिजोरी है। यह एन्क्रिप्शन मानक है जो यह सुनिश्चित करता है कि एक बार डेटा हवा में प्रवाहित होने के बाद, यह स्क्रैम्बल हो जाए और ईव्सड्रॉपिंग से सुरक्षित रहे। 802.1X दरवाजे पर खड़ा बाउंसर है। यह प्रमाणीकरण फ्रेमवर्क है जो तिजोरी के पास जाने की अनुमति मिलने से पहले ही आपकी आईडी की जांच करता है। आइए WPA2 से शुरू करते हुए तकनीकी यांत्रिकी में गोता लगाएँ। WPA2 एक प्रमाणन कार्यक्रम है जो यह तय करता है कि वायरलेस डेटा को कैसे एन्क्रिप्ट किया जाए। एक एंटरप्राइज सेटिंग में, यह AES-CCMP, एक अत्यधिक सुरक्षित सिफर सुइट के उपयोग को अनिवार्य बनाता है। WPA2 दो मुख्य मोड में काम करता है: Personal और Enterprise। WPA2-Personal एक प्री-शेयर्ड की का उपयोग करता है — एक एकल पासवर्ड जिसे हर कोई साझा करता है। हम सभी यहाँ के जोखिमों को जानते हैं। यदि कोई एक कर्मचारी छोड़ देता है, या वह पासवर्ड व्हाइटबोर्ड पर लिखा जाता है, तो पूरा नेटवर्क खतरे में पड़ जाता है। यह हमें WPA2-Enterprise पर लाता है। जब आप अपने वायरलेस कंट्रोलर पर WPA2-Enterprise का चयन करते हैं, तो आप एक्सेस पॉइंट को साझा पासवर्ड का उपयोग बंद करने और इसके बजाय एक बाहरी प्रमाणीकरण सर्वर पर भरोसा करने के लिए कह रहे होते हैं। यहीं पर 802.1X की भूमिका आती है। IEEE 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए एक मानक है। यह एक डिजिटल गेटकीपर के रूप में कार्य करता है। जब कोई डिवाइस — जिसे हम supplicant कहते हैं — एक्सेस पॉइंट से जुड़ता है, तो AP सभी ट्रैफ़िक को ब्लॉक कर देता है। यह केवल प्रमाणीकरण संदेशों को RADIUS सर्वर तक जाने की अनुमति देता है। RADIUS सर्वर आपकी Active Directory के विरुद्ध क्रेडेंशियल्स की जांच करता है। यदि क्रेडेंशियल्स वैध हैं, तो RADIUS सर्वर AP को एक Access-Accept संदेश भेजता है, और पोर्ट खोल दिया जाता है। महत्वपूर्ण रूप से, 802.1X इन क्रेडेंशियल्स को सुरक्षित रूप से स्थानांतरित करने के लिए Extensible Authentication Protocol, या EAP का उपयोग करता है। आप अक्सर PEAP या EAP-TLS जैसे शब्द सुनेंगे। ये 802.1X फ्रेमवर्क के भीतर पहचान साबित करने के अलग-अलग तरीके हैं। PEAP उपयोगकर्ता नाम और पासवर्ड का उपयोग करता है, जबकि EAP-TLS डिजिटल प्रमाणपत्रों का उपयोग करता है, जो ज़ीरो-ट्रस्ट वातावरण के लिए स्वर्ण मानक है। तो, वे एक साथ कैसे काम करते हैं? एक बार जब 802.1X उपयोगकर्ता को सफलतापूर्वक प्रमाणित कर लेता है, तो RADIUS सर्वर और क्लाइंट डिवाइस एक अद्वितीय मास्टर सेशन की प्राप्त करते हैं। वे इस कुंजी का उपयोग WPA2 फोर-वे हैंडशेक करने के लिए करते हैं, जिससे उस व्यक्तिगत सत्र के लिए विशिष्ट एन्क्रिप्शन कुंजियाँ उत्पन्न होती हैं। इसका मतलब है कि प्रत्येक उपयोगकर्ता के पास अपना अनूठा एन्क्रिप्शन टनल है। भले ही कोई आपके वायरलेस ट्रैफ़िक को कैप्चर कर ले, वे इसे डिक्रिप्ट नहीं कर सकते क्योंकि उनके पास आपकी विशिष्ट सत्र कुंजियाँ नहीं हैं। अब, कार्यान्वयन की बात करते हैं। आप अपने विशिष्ट स्थान के लिए इसे कैसे डिजाइन करते हैं? यदि आप एक कॉर्पोरेट कार्यालय का प्रबंधन कर रहे हैं, तो आपका लक्ष्य ज़ीरो ट्रस्ट होना चाहिए। इसका मतलब है EAP-TLS का उपयोग करके 802.1X के साथ WPA2-Enterprise। आप MDM के माध्यम से अपने प्रबंधित लैपटॉप पर प्रमाणपत्र तैनात करते हैं। उपयोगकर्ताओं के भूलने या साझा करने के लिए कोई पासवर्ड नहीं हैं। केवल कंपनी के स्वामित्व वाले डिवाइस ही आंतरिक नेटवर्क पर आते हैं। लेकिन क्या होगा यदि आप एक बड़ी रिटेल श्रृंखला हैं? आपके पास पॉइंट ऑफ सेल (PoS) टर्मिनल हैं जिन्हें सख्त PCI-DSS अनुपालन की आवश्यकता है, लेकिन आप लॉयल्टी साइन-अप को बढ़ावा देने के लिए गेस्ट WiFi की पेशकश भी करना चाहते हैं। यहाँ, आप विभाजित करते हैं। आप अपने कर्मचारियों और पॉइंट ऑफ सेल उपकरणों के लिए 802.1X के साथ WPA2-Enterprise का उपयोग करते हैं, जिससे व्यक्तिगत जवाबदेही सुनिश्चित होती है। मेहमानों के लिए, उनके व्यक्तिगत फोन पर 802.1X कॉन्फ़िगर करना बहुत जटिल है। इसलिए, आप सीधे एक कैप्टिव पोर्टल पर रूट किए गए ओपन नेटवर्क का उपयोग करते हैं। यहीं पर Purple जैसा प्लेटफॉर्म काम आता है, जो सोशल लॉगिन के माध्यम से गेस्ट प्रमाणीकरण को संभालता है, उस मूल्यवान फर्स्ट-पार्टी डेटा को कैप्चर करता है, जबकि उस ट्रैफ़िक को आपके सुरक्षित पॉइंट ऑफ सेल VLAN से पूरी तरह से अलग रखता है। आतिथ्य वातावरण — होटल, सम्मेलन केंद्र, बड़े स्थान — में चुनौती फिर से अलग है। आप हजारों अस्थायी उपयोगकर्ताओं से निपट रहे हैं जिनका आपकी कॉर्पोरेट निर्देशिका के साथ कोई संबंध नहीं है। Passpoint, जिसे Hotspot 2.0 के रूप में भी जाना जाता है, यहाँ उभरता हुआ समाधान है। यह बैकएंड में 802.1X और WPA2-Enterprise का उपयोग करता है, लेकिन प्रोविजनिंग प्रक्रिया को स्वचालित करता है। उपयोगकर्ता बिना किसी मैन्युअल नेटवर्क कॉन्फ़िगरेशन के अपने मौजूदा प्रोफाइल का उपयोग करके निर्बाध रूप से प्रमाणित होते हैं। Purple इस पारिस्थितिकी तंत्र में एक पहचान प्रदाता के रूप में कार्य करता है, जो गेस्ट अनुभव और एंटरप्राइज-ग्रेड सुरक्षा के बीच की खाई को पाटता है। आइए कुछ सर्वोत्तम प्रथाओं और सामान्य गलतियों पर बात करते हैं। 802.1X परिनियोजन में हम जो सबसे बड़ी गलती देखते हैं, वह है सख्त प्रमाणपत्र सत्यापन लागू करने में विफलता। यदि आपके लैपटॉप RADIUS सर्वर के प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर नहीं हैं, तो आप Evil Twin हमले के प्रति संवेदनशील हैं। एक हैकर एक अनधिकृत एक्सेस पॉइंट शुरू कर सकता है, आपके कॉर्पोरेट SSID को प्रसारित कर सकता है, और आपके डिवाइस आंख मूंदकर अपने हैश किए गए क्रेडेंशियल्स सौंप देंगे। प्रमाणपत्र ट्रस्ट लागू करने के लिए हमेशा Group Policy या MDM का उपयोग करें। यह गैर-परक्राम्य है। एक और चुनौती बिना स्क्रीन वाले (headless) IoT डिवाइस हैं — प्रिंटर, स्कैनर, सेंसर — जो 802.1X का समर्थन नहीं करते हैं। इनके लिए, प्रशासक अक्सर MAC प्रमाणीकरण बाईपास, या MAB का उपयोग करते हैं। यहाँ बहुत सावधान रहें। MAC पतों को आसानी से स्पूफ किया जा सकता है। यदि आपको MAB का उपयोग करना ही है, तो सुनिश्चित करें कि उन उपकरणों को सख्त एक्सेस कंट्रोल सूचियों (ACL) के साथ अत्यधिक प्रतिबंधित VLAN में रखा गया है। उन्हें डिफ़ॉल्ट रूप से अविश्वसनीय मानें। तीसरा सामान्य विफलता मोड उच्च-घनत्व वाले वातावरण में RADIUS टाइमआउट है। स्टेडियम और सम्मेलन केंद्र हजारों उपकरणों को एक साथ प्रमाणित करने का प्रयास करते हुए देख सकते हैं। यदि आपका RADIUS बुनियादी ढांचा लोड को नहीं संभाल सकता है, तो आपको प्रमाणीकरण टाइमआउट मिलता है, और उपयोगकर्ता कनेक्ट नहीं हो पाते हैं। सुनिश्चित करें कि आपके RADIUS सर्वर लोड-बैलेंस्ड हैं और आपके एक्सेस पॉइंट्स और प्रमाणीकरण सर्वरों के बीच नेटवर्क पथ में न्यूनतम लेटेंसी है। यह वह जगह है जहां SD-WAN वितरित परिनियोजन में महत्वपूर्ण भूमिका निभा सकता है, जिससे केंद्रीकृत प्रमाणीकरण सेवाओं के लिए विश्वसनीय कनेक्टिविटी सुनिश्चित होती है। अब, आइए प्रमुख निर्णय बिंदुओं का एक त्वरित रैपिड-फायर सारांश देखें। क्या आपको WPA2-Personal या WPA2-Enterprise का उपयोग करना चाहिए? यदि आपके पास दस से अधिक कर्मचारी हैं, तो Enterprise का उपयोग करें। RADIUS सर्वर के प्रबंधन का परिचालन ओवरहेड सुरक्षा लाभों की तुलना में बहुत कम है। क्या आपको PEAP या EAP-TLS का उपयोग करना चाहिए? यदि आपके पास MDM है और आप प्रमाणपत्र तैनात कर सकते हैं तो EAP-TLS का उपयोग करें। यदि आप Active Directory क्रेडेंशियल्स पर निर्भर हैं तो PEAP का उपयोग करें। और आप जो भी चुनें, हमेशा क्लाइंट साइड पर प्रमाणपत्र सत्यापन लागू करें। गेस्ट WiFi के बारे में क्या? मेहमानों को 802.1X पर न रखें। एक कैप्टिव पोर्टल समाधान का उपयोग करें। उनके डेटा को अनुपालन के साथ कैप्चर करें, उनके ट्रैफ़िक को विभाजित करें, और उन्हें अपने आंतरिक नेटवर्क से पूरी तरह से अलग रखें। क्या WPA3 प्रासंगिक है? बिल्कुल। WPA3-Enterprise सरकारी और वित्त जैसे उच्च-सुरक्षा वातावरण के लिए 192-बिट सुरक्षा मोड प्रदान करता है। यह बैकवर्ड कम्पैटिबल है, इसलिए अपने माइग्रेशन की योजना बनाना शुरू करें, विशेष रूप से नए परिनियोजन के लिए। समापन के लिए: WPA2 और 802.1X एक ही चीज़ नहीं हैं, लेकिन एक एंटरप्राइज वातावरण में, वे एक साथ काम करते हैं। WPA2 डेटा को एन्क्रिप्ट करता है। 802.1X पहचान को प्रमाणित करता है। WPA2-Enterprise वह मोड है जो उन्हें जोड़ता है। कॉर्पोरेट नेटवर्क के लिए, यह संयोजन आधारभूत सुरक्षा आवश्यकता है। गेस्ट और सार्वजनिक WiFi के लिए, आपको एक अलग दृष्टिकोण की आवश्यकता है — जो सुरक्षा को उपयोगकर्ता अनुभव के साथ संतुलित करता है, और यही वह जगह है जहां Purple जैसे प्लेटफॉर्म महत्वपूर्ण मूल्य जोड़ते हैं। मुख्य निष्कर्ष: WPA2 एन्क्रिप्शन है; 802.1X प्रमाणीकरण है। WPA2-Enterprise के लिए 802.1X लागू करने वाले RADIUS सर्वर की आवश्यकता होती है। Evil Twin हमलों को रोकने के लिए हमेशा प्रमाणपत्र सत्यापन लागू करें। अपने गेस्ट ट्रैफ़िक को अपने कॉर्पोरेट नेटवर्क से अलग करें। और सार्वजनिक स्थानों के लिए, एंटरप्राइज सुरक्षा और निर्बाध गेस्ट ऑनबोर्डिंग के बीच सेतु के रूप में Passpoint पर विचार करें। इस Purple टेक्निकल ब्रीफिंग में शामिल होने के लिए धन्यवाद। EAP विधियों, परिनियोजन आर्किटेक्चर और अनुपालन फ्रेमवर्क पर अधिक विवरण के लिए, purple dot ai पर जाएं।

header_image.png

कार्यकारी सारांश

एंटरप्राइज वातावरण का प्रबंधन करने वाले IT निदेशकों और नेटवर्क आर्किटेक्ट्स के लिए, वेंडर दस्तावेजों में अक्सर WPA2 और 802.1X के बीच का अंतर स्पष्ट नहीं होता है। WPA2 एक सुरक्षा प्रमाणन कार्यक्रम है जो यह तय करता है कि वायरलेस डेटा को हवा में कैसे एन्क्रिप्ट किया जाए। इसके विपरीत, IEEE 802.1X एक पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) फ्रेमवर्क है जो यह तय करता है कि कोई उपयोगकर्ता या डिवाइस नेटवर्क पर अनुमति मिलने से पहले अपनी पहचान कैसे साबित करता है।

वे प्रतिस्पर्धी मानक नहीं हैं — वे एक सुरक्षित वायरलेस आर्किटेक्चर के पूरक स्तर हैं। जब कोई एंटरप्राइज "WPA2-Enterprise" तैनात करता है, तो वे स्वाभाविक रूप से एन्क्रिप्शन के लिए WPA2 और प्रमाणीकरण के लिए 802.1X तैनात कर रहे होते हैं। यह समझना कि ये प्रोटोकॉल कैसे इंटरैक्ट करते हैं, अनधिकृत पहुंच (rogue access) को कम करने, PCI-DSS और GDPR जैसे फ्रेमवर्क के अनुपालन को सुनिश्चित करने और वितरित स्थानों पर स्केलेबल इन्फ्रास्ट्रक्चर तैनात करने के लिए महत्वपूर्ण है। यह गाइड दोनों मानकों की कार्यप्रणाली का विश्लेषण करती है, वेंडर-तटस्थ कार्यान्वयन रणनीतियाँ प्रदान करती है, और विस्तार से बताती है कि कैसे Purple के Guest WiFi जैसे आधुनिक प्लेटफॉर्म इन सुरक्षित आर्किटेक्चर में आसानी से एकीकृत होते हैं।

तकनीकी गहन विश्लेषण: मानकों का विश्लेषण

एक सुरक्षित वायरलेस नेटवर्क को डिजाइन करने के लिए, डेटा गोपनीयता (एन्क्रिप्शन) और पहचान सत्यापन (प्रमाणीकरण) की अवधारणाओं को अलग करना आवश्यक है। ये अलग-अलग समस्याएं हैं, जिन्हें अलग-अलग मानकों द्वारा हल किया जाता है, जो एक क्रम में काम करते हैं।

WPA2: एन्क्रिप्शन मानक

WPA2 वायरलेस कंप्यूटर नेटवर्क को सुरक्षित करने के लिए WiFi एलायंस द्वारा विकसित एक प्रमाणन कार्यक्रम है। यह IEEE 802.11i मानक पर आधारित है। इसका प्राथमिक कार्य यह सुनिश्चित करना है कि क्लाइंट डिवाइस (supplicant) और एक्सेस पॉइंट (authenticator) के बीच प्रसारित डेटा को दुर्भावनापूर्ण तत्वों द्वारा इंटरसेप्ट और पढ़ा न जा सके।

WPA2 AES (Advanced Encryption Standard) के साथ CCMP (Counter Mode Cipher Block Chaining Message Authentication Code Protocol) के उपयोग को अनिवार्य बनाता है। इसने मूल WPA मानक में उपयोग किए जाने वाले कमजोर TKIP सिफर को बदल दिया। WPA2 दो प्राथमिक मोड में काम करता है: WPA2-Personal (PSK), जो एक प्री-शेयर्ड की (Pre-Shared Key) का उपयोग करता है जहां प्रत्येक डिवाइस एन्क्रिप्शन की उत्पन्न करने के लिए एक ही पासवर्ड का उपयोग करता है, और WPA2-Enterprise, जो एक 802.1X प्रमाणीकरण सर्वर के साथ एकीकृत होता है और प्रत्येक व्यक्तिगत सत्र के लिए अद्वितीय, गतिशील एन्क्रिप्शन की उत्पन्न करता है।

WPA2-Personal की गंभीर कमजोरी यह है कि एक भी समझौता किया गया PSK पूरे नेटवर्क को खतरे में डाल देता है। 400 स्थानों की एक रिटेल श्रृंखला में, हर AP और हर डिवाइस पर PSK को बदलना परिचालन रूप से अत्यधिक कठिन है। WPA2-Enterprise, जो 802.1X द्वारा समर्थित है, इस समस्या को पूरी तरह से समाप्त कर देता है।

802.1X: प्रमाणीकरण फ्रेमवर्क

IEEE 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक मानक है। मूल रूप से वायर्ड ईथरनेट के लिए डिज़ाइन किया गया, इसे मजबूत, प्रति-उपयोगकर्ता प्रमाणीकरण प्रदान करने के लिए वायरलेस नेटवर्क के लिए अनुकूलित किया गया था। यह डेटा को एन्क्रिप्ट नहीं करता है — यह एक डिजिटल गेटकीपर के रूप में कार्य करता है, नेटवर्क पोर्ट को तार्किक रूप से तब तक "बंद" रखता है जब तक कि डिवाइस एक केंद्रीकृत प्रमाणीकरण सर्वर के सामने अपनी पहचान साबित नहीं कर देता।

architecture_overview.png

802.1X फ्रेमवर्क तीन भूमिकाओं पर बना है। Supplicant क्लाइंट डिवाइस (लैपटॉप, स्मार्टफोन, IoT सेंसर) है जो नेटवर्क एक्सेस का अनुरोध करता है। Authenticator नेटवर्क एक्सेस डिवाइस है — आमतौर पर एक वायरलेस एक्सेस पॉइंट या प्रबंधित स्विच — जो स्वयं एक्सेस का निर्णय लिए बिना प्रमाणीकरण एक्सचेंज की सुविधा प्रदान करता है। Authentication Server (आमतौर पर एक RADIUS सर्वर) केंद्रीकृत प्रणाली है जो Active Directory या LDAP जैसी निर्देशिका के विरुद्ध supplicant के क्रेडेंशियल्स को सत्यापित करती है और एक्सेस का निर्णय जारी करती है।

802.1X, supplicant और प्रमाणीकरण सर्वर के बीच प्रमाणीकरण डेटा को स्थानांतरित करने के लिए Extensible Authentication Protocol (EAP) पर निर्भर करता है। EAP अत्यधिक लचीला है, जो कई आंतरिक तरीकों का समर्थन करता है। EAP-TLS पारस्परिक प्रमाणपत्र-आधारित प्रमाणीकरण का उपयोग करता है और इसे ज़ीरो-ट्रस्ट वातावरण के लिए स्वर्ण मानक माना जाता है। PEAP क्रेडेंशियल्स को एक TLS टनल के भीतर समाहित करता है, जिसके लिए केवल सर्वर-साइड प्रमाणपत्र की आवश्यकता होती है। इन तरीकों की विस्तृत तुलना के लिए, हमारी गाइड EAP-TLS बनाम PEAP: आपकी नेटवर्क के लिए कौन सा प्रमाणीकरण प्रोटोकॉल सही है? देखें।

WPA2 और 802.1X एक साथ कैसे काम करते हैं

जब कोई डिवाइस WPA2-Enterprise SSID से जुड़ता है, तो निम्नलिखित क्रम होता है। पहला, डिवाइस AP के साथ जुड़ता है, लेकिन AP 802.1X EAP संदेशों को छोड़कर सभी ट्रैफ़िक को ब्लॉक कर देता है। दूसरा, डिवाइस और RADIUS सर्वर AP के माध्यम से क्रेडेंशियल्स का आदान-प्रदान करते हैं — यह 802.1X प्रमाणीकरण चरण है। यदि सफल होता है, तो RADIUS सर्वर AP को एक "Access-Accept" संदेश भेजता है, साथ ही एक मास्टर सेशन की (MSK) भी भेजता है। तीसरा, AP और डिवाइस MSK का उपयोग करके WPA2 4-वे हैंडशेक करते हैं, जिससे AES-CCMP के माध्यम से उस सत्र के डेटा ट्रैफ़िक को एन्क्रिप्ट करने के लिए उपयोग की जाने वाली विशिष्ट पेयरवाइज ट्रांजिएंट की (PTK) प्राप्त होती है। अंत में, पोर्ट "खुल" जाता है, और एन्क्रिप्टेड डेटा प्रवाहित होता है। प्रत्येक उपयोगकर्ता के पास एक अद्वितीय एन्क्रिप्शन की होती है, जिसका अर्थ है कि एक उपयोगकर्ता के ट्रैफ़िक को कैप्चर करने से दूसरे के बारे में कोई जानकारी नहीं मिलती है।

comparison_chart.png

कार्यान्वयन गाइड: अपने स्थान के लिए आर्किटेक्चर तैयार करना

इन मानकों को तैनात करने के लिए तकनीकी क्षमताओं को व्यावसायिक आवश्यकताओं के साथ संरेखित करने की आवश्यकता होती है। स्थान के प्रकार और उपयोगकर्ता जनसांख्यिकी के आधार पर दृष्टिकोण काफी भिन्न होता है।

deployment_decision_matrix.png

कॉर्पोरेट कार्यालय: ज़ीरो ट्रस्ट आर्किटेक्चर

ISO 27001 या Cyber Essentials+ अनुपालन का लक्ष्य रखने वाले संगठनों के लिए, अनुशंसित परिनियोजन EAP-TLS का उपयोग करके 802.1X के साथ WPA2-Enterprise (या नए निर्माणों के लिए WPA3-Enterprise) है। इसके लिए Microsoft Intune या Jamf जैसे MDM समाधान के माध्यम से सभी कॉर्पोरेट उपकरणों पर डिजिटल प्रमाणपत्र तैनात करने की आवश्यकता होती है। यह पासवर्ड-आधारित कमजोरियों को पूरी तरह से समाप्त कर देता है — केवल कंपनी के स्वामित्व वाले, प्रबंधित डिवाइस ही प्रमाणित हो सकते हैं। अप्रबंधित या व्यक्तिगत उपकरणों को स्वचालित रूप से एक खंडित (segmented) गेस्ट SSID में भेज दिया जाता है। RADIUS विशेषताओं के माध्यम से गतिशील VLAN असाइनमेंट भूमिका के आधार पर और अधिक विभाजन की अनुमति देता है: IT प्रशासकों, सामान्य कर्मचारियों और ठेकेदारों को एक ही SSID से उपयुक्त ACL के साथ अलग-अलग VLAN में असाइन किया जा सकता है।

रिटेल श्रृंखला: PCI-DSS के लिए खंडित सुरक्षा

एक बड़ी रिटेल श्रृंखला के लिए, चुनौती दोहरी है: PCI-DSS अनुपालन के लिए PoS टर्मिनलों को सुरक्षित करना और साथ ही लॉयल्टी प्रोग्राम साइन-अप को बढ़ावा देने के लिए घर्षण रहित गेस्ट एक्सेस की पेशकश करना। इस आर्किटेक्चर के लिए एक ही भौतिक बुनियादी ढांचे पर दो अलग-अलग सुरक्षा स्थितियों की आवश्यकता होती है। कर्मचारियों और PoS SSID को 802.1X के साथ WPA2-Enterprise का उपयोग करना चाहिए (कर्मचारियों के लिए Active Directory से जुड़े PEAP-MSCHAPv2, PoS टर्मिनलों के लिए मशीन प्रमाणपत्रों के साथ EAP-TLS)। यह व्यक्तिगत जवाबदेही सुनिश्चित करता है और PoS ट्रैफ़िक को पूरी तरह से अलग, PCI-अनुरूप VLAN पर रखता है। गेस्ट SSID एक ओपन नेटवर्क का उपयोग करता है जो सीधे एक कैप्टिव पोर्टल पर रूट होता है। Purple का WiFi Analytics प्लेटफॉर्म सोशल लॉगिन या फॉर्म फिल के माध्यम से गेस्ट प्रमाणीकरण को संभालता है, GDPR के तहत अनुपालन के साथ फर्स्ट-पार्टी डेटा कैप्चर करता है और PoS वातावरण से पूर्ण नेटवर्क अलगाव बनाए रखता है।

आतिथ्य और सार्वजनिक स्थान: बड़े पैमाने पर निर्बाध ऑनबोर्डिंग

आतिथ्य वातावरण — होटल, सम्मेलन केंद्र, स्टेडियम — के लिए 802.1X उन अस्थायी मेहमानों के लिए परिचालन रूप से बहुत जटिल है जिनका कॉर्पोरेट निर्देशिका के साथ कोई संबंध नहीं है। इस उपयोग के मामले के लिए उभरता हुआ मानक Passpoint (Hotspot 2.0) है, जो बैकएंड में 802.1X और WPA2-Enterprise का उपयोग करता है लेकिन डिवाइस प्रोविजनिंग प्रक्रिया को स्वचालित करता है। Purple, Connect लाइसेंस के तहत OpenRoaming जैसी सेवाओं के लिए एक मुफ्त पहचान प्रदाता के रूप में कार्य करता है, जिससे मेहमानों को बिना किसी मैन्युअल नेटवर्क कॉन्फ़िगरेशन के अपने मौजूदा प्रोफाइल का उपयोग करके निर्बाध रूप से प्रमाणित करने की अनुमति मिलती है। परिवहन और सार्वजनिक क्षेत्र के स्थानों के लिए, यह दृष्टिकोण प्रमाणीकरण प्रवाह में सीधे सहमति प्रबंधन को एकीकृत करके GDPR डेटा कैप्चर आवश्यकताओं के अनुपालन का भी समर्थन करता है।

एंटरप्राइज परिनियोजन के लिए सर्वोत्तम अभ्यास

सभी supplicants पर सख्त प्रमाणपत्र सत्यापन लागू करें। PEAP का उपयोग करते समय, सुनिश्चित करें कि क्लाइंट डिवाइस RADIUS सर्वर के प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर किए गए हैं। ऐसा न करने पर नेटवर्क Evil Twin हमलों के प्रति संवेदनशील हो जाता है, जहां एक अनधिकृत AP उन उपकरणों से क्रेडेंशियल्स एकत्र करता है जो EAP चुनौती पेश करने वाले किसी भी सर्वर पर आंख मूंदकर भरोसा करते हैं। इस कॉन्फ़िगरेशन को Group Policy या MDM के माध्यम से तैनात करें — इस निर्णय को मैन्युअल रूप से लेने के लिए अंतिम उपयोगकर्ताओं पर कभी भरोसा न करें।

गतिशील VLAN असाइनमेंट लागू करें। सफल 802.1X प्रमाणीकरण पर उपयोगकर्ताओं को उनकी Active Directory समूह सदस्यता के आधार पर विशिष्ट VLAN में असाइन करने के लिए RADIUS विशेषताओं (विशेष रूप से Tunnel-Type, Tunnel-Medium-Type, और Tunnel-Private-Group-ID) का लाभ उठाएं। यह प्रत्येक उपयोगकर्ता वर्ग के लिए अलग SSID की आवश्यकता के बिना भूमिका-आधारित नेटवर्क विभाजन को सक्षम बनाता है।

पुरानी सिफर सुइट्स को हटा दें। सुनिश्चित करें कि सभी वायरलेस कंट्रोलर और एक्सेस पॉइंट पर TKIP और WEP पूरी तरह से अक्षम हैं। दोनों क्रिप्टोग्राफिक रूप से टूट चुके हैं। WPA2 का विज्ञापन करने वाला लेकिन TKIP फ़ॉलबैक की अनुमति देने वाला नेटवर्क WEP की तुलना में सार्थक रूप से अधिक सुरक्षित नहीं है।

उच्च-घनत्व वाले वातावरण के लिए RADIUS क्षमता की योजना बनाएं। स्टेडियमों, सम्मेलन केंद्रों और बड़े स्वास्थ्य सेवा परिसरों में, हजारों डिवाइस एक साथ प्रमाणित करने का प्रयास कर सकते हैं। सुनिश्चित करें कि RADIUS इन्फ्रास्ट्रक्चर लोड-बैलेंस्ड है और APs और प्रमाणीकरण सर्वरों के बीच नेटवर्क पथों में 10ms से कम की लेटेंसी है। वितरित परिनियोजन के लिए कनेक्टिविटी विश्वसनीयता एक प्रमुख विचार है — केंद्रीकृत प्रमाणीकरण सेवाओं के लिए लचीले WAN पथ सुनिश्चित करने के मार्गदर्शन के लिए The Core SD-WAN Benefits for Modern Businesses देखें।

समस्या निवारण और जोखिम न्यूनीकरण

मूक विफलता (The Silent Failure)। एक डिवाइस कनेक्ट होने में विफल रहता है, लेकिन उपयोगकर्ता को कोई सार्थक त्रुटि प्राप्त नहीं होती है। यह लगभग हमेशा एक प्रमाणपत्र ट्रस्ट समस्या होती है — supplicant RADIUS सर्वर के प्रमाणपत्र को अस्वीकार कर रहा है। समाधान: सुनिश्चित करें कि RADIUS प्रमाणपत्र जारी करने वाला Root CA GPO या MDM के माध्यम से सभी क्लाइंट उपकरणों में वितरित किया गया है, और वायरलेस प्रोफ़ाइल को इस पर भरोसा करने के लिए पूर्व-कॉन्फ़िगर किया गया है।

RADIUS टाइमआउट। AP ट्रैफ़िक को अग्रेषित करना बंद कर देता है क्योंकि RADIUS सर्वर प्रतिक्रिया टाइमआउट सीमा से अधिक हो गया है। समाधान: RADIUS सर्वर रिडंडेंसी (प्राथमिक और माध्यमिक) लागू करें, सुनिश्चित करें कि प्रमाणीकरण सर्वर एक भीड़भाड़ वाले नेटवर्क खंड पर स्थित नहीं है, और AP के RADIUS टाइमआउट और पुनः प्रयास मापदंडों को उचित रूप से ट्यून करें।

MAC प्रमाणीकरण बाईपास (MAB) कमजोरियां। बिना स्क्रीन वाले (headless) IoT उपकरणों के लिए जो 802.1X supplicant नहीं चला सकते हैं, प्रशासक अक्सर MAB का सहारा लेते हैं, जो MAC पते के आधार पर प्रमाणित करता है। MAC पतों को आसानी से स्पूफ किया जा सकता है। समाधान: सभी MAB-प्रमाणित उपकरणों को अत्यधिक प्रतिबंधित, पृथक VLAN में रखें, जिसमें सख्त ACL हों जो केवल डिवाइस संचालन के लिए आवश्यक विशिष्ट ट्रैफ़िक प्रवाह की अनुमति देते हैं। डिफ़ॉल्ट रूप से सभी MAB उपकरणों को अविश्वसनीय मानें।

Evil Twin हमले। एक अनधिकृत AP कॉर्पोरेट SSID को प्रसारित करता है और उन उपकरणों से क्रेडेंशियल्स एकत्र करता है जो सर्वर प्रमाणपत्र को सत्यापित नहीं करते हैं। समाधान: प्रमाणपत्र सत्यापन लागू करें (जैसा कि ऊपर बताया गया है) और वायरलेस LAN कंट्रोलर पर अनधिकृत AP का पता लगाने की सुविधा तैनात करें। अधिकांश एंटरप्राइज-ग्रेड कंट्रोलर में यह क्षमता मूल रूप से शामिल होती है।

ROI और व्यावसायिक प्रभाव

WPA2-Personal से 802.1X-समर्थित WPA2-Enterprise आर्किटेक्चर में संक्रमण के लिए RADIUS इन्फ्रास्ट्रक्चर में निवेश की आवश्यकता होती है और, EAP-TLS परिनियोजन के लिए, एक PKI (पब्लिक की इन्फ्रास्ट्रक्चर) की आवश्यकता होती है। हालांकि, इसका व्यावसायिक मामला सम्मोहक है।

जोखिम में कमी प्राथमिक चालक है। साझा PSK को समाप्त करने से वायरलेस नेटवर्क में सबसे बड़ा हमलावर वेक्टर हट जाता है। जब कोई कर्मचारी छोड़ता है, तो उनकी विशिष्ट पहुंच को Active Directory में केंद्रीय रूप से रद्द कर दिया जाता है — संभावित रूप से हजारों एक्सेस पॉइंट्स पर PSK रोटेशन की आवश्यकता नहीं होती है। 400-स्थानों की रिटेल संपत्ति में परिचालन लागत की बचत महत्वपूर्ण है।

अनुपालन सक्षमता द्वितीयक चालक है। PCI-DSS आवश्यकता 8 अद्वितीय उपयोगकर्ता आईडी और व्यक्तिगत जवाबदेही को अनिवार्य बनाती है। 802.1X इसे मूल रूप से प्रदान करता है। एक्सेस कंट्रोल और ऑडिट लॉगिंग के लिए HIPAA की तकनीकी सुरक्षा आवश्यकताओं को RADIUS अकाउंटिंग लॉग में 802.1X के प्रति-उपयोगकर्ता प्रमाणीकरण रिकॉर्ड द्वारा समान रूप से पूरा किया जाता है।

बड़े पैमाने पर परिचालन दक्षता दीर्घकालिक लाभ है। केंद्रीय निर्देशिका एकीकरण के माध्यम से दैनिक प्रबंधन को सुव्यवस्थित किया जाता है। नए शामिल होने वाले कर्मचारियों को उनके AD खाते के चालू होते ही नेटवर्क एक्सेस मिल जाता है। जाने वाले कर्मचारियों की पहुंच अक्षम होते ही समाप्त हो जाती है। भूले हुए WiFi पासवर्ड के लिए कोई हेल्पडेस्क टिकट नहीं।

एन्क्रिप्शन (WPA2) को प्रमाणीकरण (802.1X) से अलग करके, एंटरप्राइज IT टीमें ऐसे वायरलेस नेटवर्क बनाती हैं जो स्केलेबल, ऑडिट योग्य और लचीले होते हैं — जो सबसे कठिन कॉर्पोरेट सुरक्षा स्थितियों और सबसे निर्बाध गेस्ट अनुभवों दोनों का समर्थन करने में सक्षम होते हैं।

मुख्य परिभाषाएं

WPA2 (WiFi Protected Access 2)

IEEE 802.11i पर आधारित एक WiFi एलायंस प्रमाणन कार्यक्रम जो पारगमन में वायरलेस डेटा के लिए AES-CCMP एन्क्रिप्शन को अनिवार्य बनाता है।

IT टीमें वायरलेस कंट्रोलर पर SSID कॉन्फ़िगर करते समय इसका सामना करती हैं। WPA2-Personal और WPA2-Enterprise के बीच का चुनाव यह निर्धारित करता है कि प्रमाणीकरण एक साझा पासवर्ड द्वारा संभाला जाता है या 802.1X सर्वर द्वारा।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक IEEE मानक जो नेटवर्क से कनेक्ट करने का प्रयास करने वाले उपकरणों के लिए एक प्रमाणीकरण फ्रेमवर्क प्रदान करता है।

वायरलेस कंट्रोलर और स्विच पर RADIUS एकीकरण को कॉन्फ़िगर करते समय संदर्भित किया जाता है। यह अंतर्निहित तंत्र है जो WPA2-Enterprise को प्रति-उपयोगकर्ता प्रमाणीकरण प्रदान करने में सक्षम बनाता है।

Supplicant

क्लाइंट डिवाइस (लैपटॉप, स्मार्टफोन, IoT सेंसर) जो 802.1X प्रमाणीकरण एक्सचेंज शुरू करता है और क्रेडेंशियल्स या प्रमाणपत्र प्रदान करता है।

समस्या निवारण में, supplicant अक्सर कॉन्फ़िगरेशन समस्याओं का स्रोत होता है — विशेष रूप से वायरलेस नेटवर्क प्रोफ़ाइल में प्रमाणपत्र सत्यापन सेटिंग्स के आसपास।

Authenticator

नेटवर्क एक्सेस डिवाइस (आमतौर पर एक वायरलेस AP या प्रबंधित स्विच) जो स्वयं एक्सेस का निर्णय लिए बिना supplicant और प्रमाणीकरण सर्वर के बीच EAP संदेशों को रिले करता है।

authenticator तब तक सभी गैर-EAP ट्रैफ़िक को ब्लॉक करता है जब तक कि उसे RADIUS सर्वर से Access-Accept प्राप्त नहीं हो जाता, जिस बिंदु पर यह तार्किक पोर्ट खोलता है।

RADIUS (Remote Authentication Dial-In User Service)

एक केंद्रीकृत AAA (प्रमाणीकरण, प्राधिकरण और लेखांकन) प्रोटोकॉल सर्वर जो क्रेडेंशियल्स को सत्यापित करता है, नीतियों को लागू करता है, और एक्सेस घटनाओं को लॉग करता है।

RADIUS सर्वर किसी भी 802.1X परिनियोजन की रीढ़ है। यह Active Directory या LDAP के साथ एकीकृत होता है और सफल प्रमाणीकरण पर गतिशील VLAN असाइनमेंट और अन्य नीति विशेषताओं को वापस करता है।

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

एक प्रमाणपत्र-आधारित EAP तरीका जिसके लिए क्लाइंट और सर्वर दोनों पर डिजिटल प्रमाणपत्र की आवश्यकता होती है, जो पारस्परिक प्रमाणीकरण प्रदान करता है।

सबसे सुरक्षित EAP तरीका माना जाता है। ज़ीरो-ट्रस्ट कॉर्पोरेट वातावरण में उपयोग किया जाता है जहां उपकरणों को MDM के माध्यम से प्रबंधित किया जाता है और प्रमाणपत्र स्वचालित रूप से तैनात किए जा सकते हैं।

PEAP (Protected Extensible Authentication Protocol)

एक EAP तरीका जो आंतरिक प्रमाणीकरण एक्सचेंज को एक TLS टनल के भीतर समाहित करता है, जिसके लिए केवल सर्वर-साइड प्रमाणपत्र की आवश्यकता होती है।

BYOD और मिश्रित-डिवाइस वातावरण में व्यापक रूप से तैनात किया जाता है क्योंकि यह उपयोगकर्ताओं को क्लाइंट प्रमाणपत्रों की आवश्यकता के बिना मानक AD उपयोगकर्ता नाम और पासवर्ड क्रेडेंशियल्स के साथ प्रमाणित करने की अनुमति देता है।

AES-CCMP

WPA2 में अनिवार्य एन्क्रिप्शन सिफर सुइट, जो डेटा गोपनीयता और अखंडता के लिए CCMP प्रोटोकॉल के साथ AES ब्लॉक सिफर को जोड़ता है।

IT टीमों को यह सुनिश्चित करना चाहिए कि सभी AP और क्लाइंट डिवाइस AES-CCMP का समर्थन करते हैं। TKIP फ़ॉलबैक की अनुमति देने वाला कोई भी परिनियोजन WPA2 की सुरक्षा गारंटी को कमजोर करता है।

4-Way Handshake

एक क्लाइंट डिवाइस और एक एक्सेस पॉइंट के बीच WPA2 क्रिप्टोग्राफिक एक्सचेंज जो डेटा ट्रैफ़िक को एन्क्रिप्ट करने के लिए उपयोग की जाने वाली सत्र-विशिष्ट पेयरवाइज ट्रांजिएंट की (PTK) प्राप्त करता है।

सफल 802.1X प्रमाणीकरण के बाद होता है, जो RADIUS सर्वर द्वारा प्रदान की गई मास्टर सेशन की का उपयोग करता है। प्रत्येक उपयोगकर्ता की PTK अद्वितीय होती है, जो सत्रों के बीच ट्रैफ़िक अलगाव सुनिश्चित करती है।

Captive Portal

सार्वजनिक या गेस्ट WiFi नेटवर्क तक पहुंच प्रदान करने से पहले उपयोगकर्ताओं को प्रस्तुत किया जाने वाला एक वेब-आधारित प्रमाणीकरण या सहमति पृष्ठ।

आतिथ्य, रिटेल और सार्वजनिक स्थानों पर उपयोग किया जाता है जहां अस्थायी उपयोगकर्ताओं के लिए 802.1X अव्यावहारिक है। Purple के Guest WiFi जैसे प्लेटफॉर्म कॉर्पोरेट बुनियादी ढांचे से गेस्ट ट्रैफ़िक को अलग रखते हुए अनुपालन के साथ फर्स्ट-पार्टी डेटा कैप्चर करने के लिए कैप्टिव पोर्टल का उपयोग करते हैं।

हल किए गए उदाहरण

एक 400-स्थानों वाली रिटेल श्रृंखला वर्तमान में कर्मचारियों के टैबलेट और PoS टर्मिनलों दोनों पर साझा किए गए एक एकल WPA2-Personal पासवर्ड (PSK) का उपयोग करती है। वे आवश्यकता 8 (अद्वितीय उपयोगकर्ता आईडी) और आवश्यकता 1 (नेटवर्क विभाजन) के तहत अपने PCI-DSS ऑडिट में विफल हो रहे हैं। उन्हें मौजूदा गेस्ट WiFi कैप्टिव पोर्टल को बाधित किए बिना आंतरिक नेटवर्क को सुरक्षित करने की आवश्यकता है। उन्हें अपनी वायरलेस सुरक्षा को फिर से कैसे डिजाइन करना चाहिए?

चरण 1: कॉर्पोरेट Active Directory के साथ एकीकृत एक RADIUS सर्वर (जैसे, Cisco ISE, Microsoft NPS, या FreeRADIUS) तैनात करें। एक वितरित संपत्ति के लिए, दूरस्थ साइटों पर प्रमाणीकरण विलंबता को कम करने के लिए क्षेत्रीय केंद्रों पर RADIUS प्रॉक्सी तैनात करें।

चरण 2: WPA2-Enterprise का उपयोग करने के लिए सभी वायरलेस कंट्रोलर पर कॉर्पोरेट SSID को पुन: कॉन्फ़िगर करें। कर्मचारियों के टैबलेट के लिए PEAP-MSCHAPv2 (AD उपयोगकर्ता क्रेडेंशियल्स के विरुद्ध प्रमाणित) और PoS टर्मिनलों के लिए मशीन प्रमाणपत्रों (MDM के माध्यम से तैनात) के साथ 802.1X कॉन्फ़िगर करें।

चरण 3: गतिशील VLAN असाइनमेंट विशेषताओं को वापस करने के लिए RADIUS सर्वर को कॉन्फ़िगर करें। कर्मचारियों के टैबलेट को एक स्टाफ VLAN में असाइन किया जाता है; PoS टर्मिनलों को एक सख्त रूप से पृथक PCI VLAN में असाइन किया जाता है, जिसमें केवल भुगतान प्रोसेसर के IP रेंज के ट्रैफ़िक की अनुमति देने वाले ACL होते हैं।

चरण 4: गेस्ट SSID को अपरिवर्तित छोड़ दें। यह खुला रहता है (या सार्वजनिक रूप से ज्ञात PSK के साथ WPA2-Personal) लेकिन इसे एक अलग VLAN पर मैप किया जाता है जो सीधे Purple गेस्ट WiFi कैप्टिव पोर्टल पर रूट होता है। गेस्ट ट्रैफ़िक कभी भी PCI VLAN को नहीं छूता है।

चरण 5: प्रति-उपयोगकर्ता प्रमाणीकरण लॉग उत्पन्न करने के लिए सभी AP पर RADIUS अकाउंटिंग सक्षम करें, जो PCI-DSS ऑडिट ट्रेल आवश्यकताओं को पूरा करता है।

परीक्षक की टिप्पणी: यह आर्किटेक्चर सीधे दोनों PCI-DSS विफलताओं का समाधान करता है। 802.1X पर जाने से व्यक्तिगत जवाबदेही प्रदान करके आवश्यकता 8 पूरी होती है — प्रत्येक स्टाफ सदस्य अपने स्वयं के AD क्रेडेंशियल्स के साथ प्रमाणित होता है, और प्रत्येक PoS टर्मिनल एक अद्वितीय मशीन प्रमाणपत्र के साथ प्रमाणित होता है। गतिशील VLAN असाइनमेंट यह सुनिश्चित करके आवश्यकता 1 को पूरा करता है कि PoS ट्रैफ़िक नेटवर्क परत पर अलग है। गेस्ट WiFi अंतिम-उपयोगकर्ता के दृष्टिकोण से परिचालन रूप से अपरिवर्तित रहता है, लेकिन अब इसे औपचारिक रूप से एक अलग, खंडित नेटवर्क के रूप में प्रलेखित किया गया है — जो सार्वजनिक नेटवर्क से कार्डधारक डेटा वातावरण को अलग करने की PCI-DSS आवश्यकता को भी पूरा करता है।

एक विश्वविद्यालय परिसर क्रेडेंशियल हार्वेस्टिंग हमलों का सामना कर रहा है। छात्र आधिकारिक 'CampusNet' SSID प्रसारित करने वाले अनधिकृत एक्सेस पॉइंट्स से जुड़ रहे हैं। नेटवर्क PEAP-MSCHAPv2 के साथ WPA2-Enterprise का उपयोग करता है, लेकिन छात्रों के उपकरणों को RADIUS सर्वर प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर नहीं किया गया है। हमलावर वेक्टर क्या है, और नेटवर्क टीम को इसका समाधान कैसे करना चाहिए?

यह हमला एक Evil Twin है। हमलावर अधिक सिग्नल शक्ति के साथ 'CampusNet' प्रसारित करने वाला एक अनधिकृत AP तैनात करता है। छात्र उपकरण, जो PEAP चुनौती पेश करने वाले किसी भी सर्वर पर भरोसा करने के लिए कॉन्फ़िगर किए गए हैं, अनधिकृत AP से जुड़ते हैं और PEAP हैंडशेक पूरा करते हैं, जिससे उनके हैश किए गए AD क्रेडेंशियल्स हमलावर के सर्वर पर प्रसारित हो जाते हैं।

समाधान चरण 1: उस Root CA की पहचान करें जिसने RADIUS सर्वर का TLS प्रमाणपत्र जारी किया था। यदि आंतरिक CA का उपयोग कर रहे हैं, तो सुनिश्चित करें कि यह CA प्रमाणपत्र सभी छात्रों और कर्मचारियों के उपकरणों में वितरित किया गया है।

समाधान चरण 2: एक वायरलेस नेटवर्क प्रोफ़ाइल बनाएं (विश्वविद्यालय द्वारा प्रबंधित उपकरणों के लिए MDM के माध्यम से, या BYOD के लिए डाउनलोड करने योग्य कॉन्फ़िगरेशन प्रोफ़ाइल) जो निर्दिष्ट करती है: (a) सत्यापित करने के लिए सटीक RADIUS सर्वर होस्टनाम, (b) विश्वसनीय Root CA, और (c) 'Validate Server Certificate' फ़्लैग को true पर सेट किया गया हो।

समाधान चरण 3: वायरलेस LAN कंट्रोलर पर अनधिकृत AP का पता लगाने की सुविधा तैनात करें। किसी भी ऐसे AP के लिए अलर्ट कॉन्फ़िगर करें जो 'CampusNet' प्रसारित कर रहा है और अधिकृत AP इन्वेंट्री में नहीं है।

समाधान चरण 4: BYOD उपकरणों के लिए, एक ऑनबोर्डिंग टूल (जैसे Cloudpath या Cisco ISE का BYOD पोर्टल) तैनात करने पर विचार करें जो supplicant कॉन्फ़िगरेशन को स्वचालित करता है, जिससे अंतिम उपयोगकर्ताओं का बोझ कम हो जाता है।

परीक्षक की टिप्पणी: क्लाइंट-साइड प्रमाणपत्र सत्यापन अक्षम होने पर PEAP मौलिक रूप से क्रेडेंशियल हार्वेस्टिंग के प्रति संवेदनशील होता है। PEAP टनल आंतरिक क्रेडेंशियल्स को निष्क्रिय अवरोधन (passive eavesdropping) से बचाती है, लेकिन यह किसी सक्रिय हमलावर को अनधिकृत सर्वर पर TLS टनल को समाप्त करने से रोकने के लिए कुछ नहीं करती है। सर्वर प्रमाणपत्र सत्यापन लागू करने का अर्थ है कि क्रेडेंशियल्स प्रसारित करने से पहले supplicant RADIUS सर्वर की पहचान को सत्यापित करता है — अनधिकृत AP वैध RADIUS सर्वर के होस्टनाम के लिए एक वैध प्रमाणपत्र प्रस्तुत नहीं कर सकता है, इसलिए कनेक्शन अस्वीकार कर दिया जाता है। PEAP चलाने वाले किसी भी संगठन के लिए यह सबसे प्रभावशाली एकल कॉन्फ़िगरेशन परिवर्तन है।

अभ्यास प्रश्न

Q1. आपका संगठन 50 कार्यालय स्थानों पर WPA2-Personal से WPA2-Enterprise में माइग्रेट कर रहा है। पायलट परीक्षण के दौरान, उपयोगकर्ता रिपोर्ट करते हैं कि उनके Windows लैपटॉप पर उपयोगकर्ता नाम और पासवर्ड दर्ज करने से पहले 'प्रमाणपत्र स्वीकार करें' पूछने वाला एक संकेत प्रदर्शित होता है। कई उपयोगकर्ता 'अस्वीकार करें' पर क्लिक करते हैं और कनेक्ट नहीं हो पाते हैं। इस व्यवहार का क्या कारण है, और पूर्ण रोलआउट से पहले इसका समाधान कैसे किया जाना चाहिए?

संकेत: PEAP प्रमाणीकरण में supplicant की भूमिका पर विचार करें और यह क्रेडेंशियल्स प्रसारित करने से पहले RADIUS सर्वर की पहचान को कैसे सत्यापित करता है।

मॉडल उत्तर देखें

Windows supplicant PEAP TLS हैंडशेक के हिस्से के रूप में सर्वर प्रमाणपत्र सत्यापन कर रहा है। चूंकि RADIUS सर्वर का प्रमाणपत्र एक आंतरिक CA द्वारा जारी किया गया था जो डिवाइस के विश्वसनीय रूट स्टोर में नहीं है, इसलिए Windows उपयोगकर्ता को इसे मैन्युअल रूप से स्वीकार करने के लिए संकेत देता है। प्रमाणपत्र स्वीकार करने के लिए उपयोगकर्ताओं पर भरोसा करना एक खराब उपयोगकर्ता अनुभव और सुरक्षा जोखिम दोनों है — जो उपयोगकर्ता किसी भी प्रमाणपत्र पर 'स्वीकार करें' पर क्लिक करते हैं, वे Evil Twin हमलों के प्रति समान रूप से संवेदनशील होते हैं। सही समाधान सभी कॉर्पोरेट उपकरणों में आंतरिक Root CA प्रमाणपत्र वितरित करने के लिए Group Policy (GPO) का उपयोग करना और Windows वायरलेस प्रोफ़ाइल को स्वचालित रूप से इस पर भरोसा करने और RADIUS सर्वर होस्टनाम को सत्यापित करने के लिए पूर्व-कॉन्फ़िगर करना है। यह संकेत को पूरी तरह से समाप्त कर देता है और उपयोगकर्ता के हस्तक्षेप के बिना प्रमाणपत्र सत्यापन लागू करता है।

Q2. एक अस्पताल के IT निदेशक को IoT चिकित्सा उपकरणों (इन्फ्यूजन पंप, रोगी निगरानी प्रणाली) को वायरलेस नेटवर्क से जोड़ने की आवश्यकता है। ये उपकरण बिना किसी 802.1X supplicant क्षमता के एम्बेडेड फर्मवेयर चलाते हैं और केवल एक स्थिर प्री-शेयर्ड की (PSK) का उपयोग करके कनेक्ट हो सकते हैं। नेटवर्क आर्किटेक्ट को समग्र सुरक्षा स्थिति से समझौता किए बिना इन उपकरणों को कैसे संभालना चाहिए?

संकेत: नेटवर्क विभाजन, VLAN अलगाव, और 802.1X के विकल्प के रूप में MAC प्रमाणीकरण बाईपास से जुड़े जोखिमों के बारे में सोचें।

मॉडल उत्तर देखें

चूंकि ये उपकरण 802.1X नहीं कर सकते हैं, इसलिए आर्किटेक्ट के पास दो विकल्प हैं: एक समर्पित SSID पर WPA2-Personal (PSK), या कॉर्पोरेट SSID पर MAC प्रमाणीकरण बाईपास (MAB)। ऑडिट योग्यता के लिए MAB आम तौर पर बेहतर है लेकिन इसमें स्पूफिंग के जोखिम होते हैं। चुने गए प्रमाणीकरण तरीके के बावजूद, महत्वपूर्ण नियंत्रण नेटवर्क विभाजन है। इन उपकरणों को सख्त ACL के साथ एक समर्पित, पृथक VLAN पर रखा जाना चाहिए जो केवल आवश्यक विशिष्ट ट्रैफ़िक प्रवाह की अनुमति देता है — उदाहरण के लिए, एक विशिष्ट पोर्ट पर क्लिनिकल प्रबंधन सर्वर से संचार, अन्य सभी ट्रैफ़िक ब्लॉक होने के साथ। SSID या MAB VLAN का कॉर्पोरेट नेटवर्क, PoS वातावरण या इंटरनेट के लिए कोई रूटिंग पथ नहीं होना चाहिए। इसके अतिरिक्त, PSK (यदि उपयोग किया जाता है) को समय-समय पर बदला जाना चाहिए और केंद्रीय रूप से प्रबंधित किया जाना चाहिए। उपकरणों को MAC पते द्वारा सूचीबद्ध किया जाना चाहिए, और चिकित्सा उपकरण VLAN में शामिल होने का प्रयास करने वाले किसी भी अपरिचित MAC को एक अलर्ट ट्रिगर करना चाहिए।

Q3. एक स्टेडियम CIO 60,000 की क्षमता वाले स्थान पर प्रशंसकों के WiFi ऑनबोर्डिंग अनुभव को बेहतर बनाने के लिए Passpoint (Hotspot 2.0) का मूल्यांकन कर रहा है। CIO पूछता है: 'क्या Passpoint WPA2 और 802.1X को प्रतिस्थापित करता है, या यह उनका उपयोग करता है?' आप क्या प्रतिक्रिया देंगे, और इस पैमाने पर परिनियोजन के लिए प्रमुख परिचालन विचार क्या हैं?

संकेत: विचार करें कि Passpoint वास्तव में क्या स्वचालित करता है बनाम यह किसे प्रतिस्थापित करता है, और एक उच्च-घनत्व वाले स्थान के लिए RADIUS क्षमता की आवश्यकताएं क्या हैं।

मॉडल उत्तर देखें

Passpoint WPA2 या 802.1X को प्रतिस्थापित नहीं करता है — यह उन्हें स्वचालित और अमूर्त (abstract) बनाता है। Passpoint एक प्रोविजनिंग और डिस्कवरी परत है जो WPA2-Enterprise (या WPA3-Enterprise) और 802.1X के शीर्ष पर बनाई गई है। यह प्रमाणीकरण के लिए 802.1X का उपयोग करता है (आमतौर पर मोबाइल कैरियर या लॉयल्टी ऐप पहचान प्रदाता के क्रेडेंशियल्स के माध्यम से) और परिणामी सत्र को एन्क्रिप्ट करने के लिए WPA2/WPA3 का उपयोग करता है। प्रशंसक के दृष्टिकोण से, उनका डिवाइस बिना किसी मैन्युअल कॉन्फ़िगरेशन के स्वचालित रूप से कनेक्ट हो जाता है। नेटवर्क के दृष्टिकोण से, प्रत्येक कनेक्शन एक पूर्ण 802.1X एक्सचेंज है। 60,000 की क्षमता पर प्रमुख परिचालन विचार हैं: (1) RADIUS इन्फ्रास्ट्रक्चर का आकार समवर्ती प्रमाणीकरण तूफानों को संभालने के लिए पर्याप्त होना चाहिए — विशेष रूप से मैच शुरू होने के समय जब हजारों डिवाइस एक साथ कनेक्ट होने का प्रयास करते हैं; (2) RADIUS सर्वर को लोड बैलेंसिंग और भौगोलिक रिडंडेंसी के साथ तैनात किया जाना चाहिए; (3) पहचान प्रदाता (जैसे OpenRoaming फ्रेमवर्क के तहत Purple) के पास पर्याप्त थ्रूपुट समझौते होने चाहिए; और (4) प्रशंसकों के स्थान में घूमने पर पुन: प्रमाणीकरण ओवरहेड को कम करने के लिए वायरलेस कंट्रोलर को फास्ट BSS ट्रांजिशन (802.11r) का समर्थन करना चाहिए।

इस श्रृंखला में आगे पढ़ें

विक्रेता द्वारा प्रति-डिवाइस PSK: iPSK, DPSK, MPSK और PPSK की तुलना (और WPA3 सपोर्ट)

Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Extreme, Fortinet, और Ubiquiti UniFi में प्रति-डिवाइस PSK कार्यान्वयन की एक व्यापक तुलना। जानें कि WPA3-SAE प्रति-डिवाइस कुंजी रणनीतियों को कैसे प्रभावित करता है और कब ट्रांज़िशन मोड को लागू करना चाहिए बनाम 802.1X पर जाना चाहिए।

गाइड पढ़ें →

कैप्टिव पोर्टल प्रमाणीकरण विधियों की तुलना

यह आधिकारिक तकनीकी संदर्भ गाइड पांच मुख्य कैप्टिव पोर्टल प्रमाणीकरण विधियों के आर्किटेक्चरल, परिचालन और अनुपालन ट्रेड-ऑफ का मूल्यांकन करती है। यह नेटवर्क आर्किटेक्ट्स, IT निदेशकों और मार्केटिंग प्रबंधकों को एंटरप्राइज़ वेन्यू में डेटा-संग्रह आवश्यकताओं के साथ गेस्ट ऑनबोर्डिंग घर्षण को संतुलित करने के लिए आवश्यक मात्रात्मक डेटा और निर्णय ढांचे प्रदान करती है।

गाइड पढ़ें →

MAC Address Authentication क्या है? इसका उपयोग कब करें और कब बचें

यह आधिकारिक तकनीकी संदर्भ गाइड एंटरप्राइज़ WiFi वातावरण में MAC एड्रेस ऑथेंटिकेशन को कवर करती है — लेयर 2 पर RADIUS-आधारित MAC ऑथेंटिकेशन कैसे काम करता है, इसकी अंतर्निहित सुरक्षा कमजोरियां (जिसमें MAC स्पूफिंग और OS-स्तरीय MAC रैंडमाइज़ेशन का प्रभाव शामिल है), और सटीक परिचालन संदर्भ जहां यह IoT और हेडलेस डिवाइसों के प्रबंधन के लिए एक वैध उपकरण बना हुआ है। यह हॉस्पिटैलिटी, रिटेल, हेल्थकेयर और सार्वजनिक क्षेत्र के स्थानों में IT प्रबंधकों और नेटवर्क आर्किटेक्ट्स के लिए कार्रवाई योग्य डिप्लॉयमेंट मार्गदर्शन प्रदान करता है, जिसमें वास्तविक दुनिया के काम किए गए उदाहरण, निर्णय ढांचे और Purple के अतिथि WiFi और एनालिटिक्स प्लेटफ़ॉर्म के लिए एकीकरण संदर्भ शामिल हैं।

गाइड पढ़ें →