मुख्य सामग्री पर जाएं
हिन्दी

WPA2 बनाम 802.1X: क्या अंतर है?

यह गाइड WPA2 एन्क्रिप्शन और IEEE 802.1X प्रमाणीकरण ढांचे के बीच के संबंध को स्पष्ट करती है — दो पूरक मानक जिन्हें अक्सर विक्रेता के दस्तावेज़ों और नेटवर्क डिज़ाइन चर्चाओं में मिला दिया जाता है। यह IT निदेशकों, नेटवर्क आर्किटेक्ट्स और स्थान संचालन नेताओं को यह स्पष्ट तकनीकी विश्लेषण प्रदान करती है कि ये प्रोटोकॉल कैसे इंटरैक्ट करते हैं, आतिथ्य, रिटेल और सार्वजनिक-क्षेत्र के वातावरण में व्यावहारिक परिनियोजन रणनीतियाँ, और अनुपालन, जोखिम न्यूनीकरण और अतिथि WiFi एकीकरण पर व्यावहारिक मार्गदर्शन प्रदान करती है।

📖 7 मिनट का पाठ📝 2,252 शब्द🔧 2 हल किए गए उदाहरण❓ 3 अभ्यास प्रश्न📚 10 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
Purple Technical Briefing में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एक ऐसे विषय पर बात कर रहे हैं जो अक्सर एंटरप्राइज़ नेटवर्क डिज़ाइन में भ्रम पैदा करता है: WPA2 और 802.1X के बीच का अंतर। यदि आप एक IT निदेशक हैं, एक नेटवर्क आर्किटेक्ट हैं, या किसी बड़े स्थान के लिए बुनियादी ढांचे का प्रबंधन कर रहे हैं, तो यह समझना कि ये दोनों मानक कैसे इंटरैक्ट करते हैं, एक सुरक्षित, स्केलेबल वायरलेस वातावरण बनाने के लिए बुनियादी है। आइए प्राथमिक गलतफहमी को दूर करके शुरुआत करें। WPA2 और 802.1X प्रतिस्पर्धी मानक नहीं हैं। आप एक के ऊपर दूसरे को नहीं चुनते हैं। एक मजबूत एंटरप्राइज़ परिनियोजन में, वे पूरक परतें हैं। इसे इस तरह सोचें: WPA2 तिजोरी है। यह एन्क्रिप्शन मानक है जो यह सुनिश्चित करता है कि एक बार डेटा हवा में प्रवाहित होने के बाद, यह स्क्रैम्बल हो जाए और ईव्सड्रॉपिंग से सुरक्षित रहे। 802.1X दरवाजे पर खड़ा बाउंसर है। यह प्रमाणीकरण ढांचा है जो तिजोरी के पास जाने की अनुमति देने से पहले आपकी आईडी की जांच करता है। आइए WPA2 से शुरू करते हुए तकनीकी यांत्रिकी में गोता लगाएँ। WPA2 एक प्रमाणन कार्यक्रम है जो यह तय करता है कि वायरलेस डेटा को कैसे एन्क्रिप्ट किया जाता है। एक एंटरप्राइज़ सेटिंग में, यह AES-CCMP, एक अत्यधिक सुरक्षित सिफर सुइट के उपयोग को अनिवार्य करता है। WPA2 दो मुख्य मोड में काम करता है: Personal और Enterprise। WPA2-Personal एक प्री-शेयर्ड की (PSK) का उपयोग करता है — एक एकल पासवर्ड जिसे हर कोई साझा करता है। हम सभी यहाँ के जोखिमों को जानते हैं। यदि एक कर्मचारी छोड़ देता है, या वह पासवर्ड व्हाइटबोर्ड पर लिखा जाता है, तो पूरा नेटवर्क खतरे में पड़ जाता है। यह हमें WPA2-Enterprise पर लाता है। जब आप अपने वायरलेस कंट्रोलर पर WPA2-Enterprise का चयन करते हैं, तो आप एक्सेस पॉइंट को साझा पासवर्ड का उपयोग बंद करने और इसके बजाय एक बाहरी प्रमाणीकरण सर्वर पर भरोसा करने के लिए कह रहे होते हैं। यहीं पर 802.1X की भूमिका आती है। IEEE 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए एक मानक है। यह एक डिजिटल द्वारपाल के रूप में कार्य करता है। जब कोई डिवाइस — जिसे हम सप्लीकेंट कहते हैं — एक्सेस पॉइंट से जुड़ता, तो AP सभी ट्रैफ़िक को ब्लॉक कर देता है। यह केवल प्रमाणीकरण संदेशों को RADIUS सर्वर तक जाने की अनुमति देता है। RADIUS सर्वर आपके Active Directory के विरुद्ध क्रेडेंशियल्स की जांच करता है। यदि क्रेडेंशियल्स वैध हैं, तो RADIUS सर्वर AP को एक Access-Accept संदेश भेजता है, और पोर्ट खोल दिया जाता है। महत्वपूर्ण रूप से, 802.1X इन क्रेडेंशियल्स को सुरक्षित रूप से स्थानांतरित करने के लिए एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल, या EAP का उपयोग करता है। आप अक्सर PEAP या EAP-TLS जैसे शब्द सुनेंगे। ये 802.1X ढांचे के भीतर पहचान साबित करने के विभिन्न तरीके हैं। PEAP एक उपयोगकर्ता नाम और पासवर्ड का उपयोग करता है, जबकि EAP-TLS डिजिटल प्रमाणपत्रों का उपयोग करता है, जो ज़ीरो-ट्रस्ट वातावरण के लिए स्वर्ण मानक है। तो, वे एक साथ कैसे काम करते हैं? एक बार जब 802.1X उपयोगकर्ता को सफलतापूर्वक प्रमाणित कर देता है, तो RADIUS सर्वर और क्लाइंट डिवाइस एक अद्वितीय मास्टर सेशन की प्राप्त करते हैं। वे उस व्यक्तिगत सत्र के लिए विशिष्ट एन्क्रिप्शन की उत्पन्न करने के लिए WPA2 फोर-वे हैंडशेक करने के लिए इस की का उपयोग करते हैं। इसका मतलब है कि प्रत्येक उपयोगकर्ता का अपना अनूठा एन्क्रिप्शन टनल होता है। भले ही कोई आपके वायरलेस ट्रैफ़िक को कैप्चर कर ले, वे इसे डिक्रिप्ट नहीं कर सकते क्योंकि उनके पास आपकी विशिष्ट सत्र कीज़ नहीं हैं। अब, आइए कार्यान्वयन के बारे में बात करते हैं। आप अपने विशिष्ट स्थान के लिए इसे कैसे डिज़ाइन करते हैं? यदि आप एक कॉर्पोरेट कार्यालय का प्रबंधन कर रहे हैं, तो आपको ज़ीरो ट्रस्ट का लक्ष्य रखना चाहिए। इसका मतलब है EAP-TLS का उपयोग करके 802.1X के साथ WPA2-Enterprise। आप MDM के माध्यम से अपने प्रबंधित लैपटॉप पर प्रमाणपत्र तैनात करते हैं। उपयोगकर्ताओं के लिए भूलने या साझा करने के लिए कोई पासवर्ड नहीं हैं। केवल कंपनी के स्वामित्व वाले उपकरण ही आंतरिक नेटवर्क पर आते हैं। लेकिन क्या होगा यदि आप एक बड़ी रिटेल श्रृंखला हैं? आपके पास पॉइंट ऑफ़ सेल टर्मिनल हैं जिन्हें सख्त PCI-DSS अनुपालन की आवश्यकता है, लेकिन आप लॉयल्टी साइन-अप को बढ़ावा देने के लिए अतिथि WiFi की पेशकश भी करना चाहते हैं। यहाँ, आप विभाजित करते हैं। आप अपने कर्मचारियों और पॉइंट ऑफ़ सेल उपकरणों के लिए 802.1X के साथ WPA2-Enterprise का उपयोग करते हैं, जिससे व्यक्तिगत जवाबदेही सुनिश्चित होती है। मेहमानों के लिए, उनके व्यक्तिगत फोन पर 802.1X कॉन्फ़िगर करना बहुत जटिल है। इसलिए, आप सीधे एक कैप्टिव पोर्टल पर रूट किए गए ओपन नेटवर्क का उपयोग करते हैं। यहीं पर Purple जैसा प्लेटफॉर्म आता है, जो सोशल लॉगिन के माध्यम से अतिथि प्रमाणीकरण को संभालता है, उस मूल्यवान प्रथम-पक्ष डेटा को कैप्चर करता है, जबकि उस ट्रैफ़िक को आपके सुरक्षित पॉइंट ऑफ़ सेल VLAN से पूरी तरह से अलग रखता है। आतिथ्य वातावरण — होटल, सम्मेलन केंद्र, बड़े स्थान — में चुनौती फिर से अलग है। आप हजारों अस्थायी उपयोगकर्ताओं से निपट रहे हैं जिनका आपके कॉर्पोरेट निर्देशिका के साथ कोई संबंध नहीं है। Passpoint, जिसे Hotspot 2.0 के रूप में भी जाना जाता है, यहाँ उभरता हुआ उत्तर है। यह बैकएंड में 802.1X और WPA2-Enterprise का उपयोग करता है, लेकिन डिवाइस प्रोविज़निंग प्रक्रिया को स्वचालित करता है। उपयोगकर्ता बिना किसी मैन्युअल नेटवर्क कॉन्फ़िगरेशन के अपने मौजूदा प्रोफाइल का उपयोग करके सहजता से प्रमाणित होते हैं। Purple इस पारिस्थितिकी तंत्र में एक पहचान प्रदाता के रूप में कार्य करता है, जो अतिथि अनुभव और एंटरप्राइज़-ग्रेड सुरक्षा के बीच के अंतर को पाटता है। आइए कुछ सर्वोत्तम प्रथाओं और सामान्य गलतियों पर बात करते हैं। 802.1X परिनियोजन में हम जो सबसे बड़ी गलती देखते हैं, वह है सख्त प्रमाणपत्र सत्यापन लागू करने में विफलता। यदि आपके लैपटॉप RADIUS सर्वर के प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर नहीं हैं, तो आप Evil Twin हमले के प्रति संवेदनशील हैं। एक हैकर एक अनधिकृत एक्सेस पॉइंट शुरू कर सकता है, आपके कॉर्पोरेट SSID को प्रसारित कर सकता है, और आपके डिवाइस आंख मूंदकर अपने हैश किए गए क्रेडेंशियल्स सौंप देंगे। प्रमाणपत्र ट्रस्ट लागू करने के लिए हमेशा Group Policy या MDM का उपयोग करें। यह गैर-परक्राम्य है। एक और चुनौती बिना स्क्रीन वाले IoT उपकरण हैं — प्रिंटर, स्कैनर, सेंसर — जो 802.1X का समर्थन नहीं करते हैं। इनके लिए, प्रशासक अक्सर MAC प्रमाणीकरण बाईपास, या MAB का उपयोग करते हैं। यहाँ बहुत सावधान रहें। MAC पतों को आसानी से स्पूफ़ किया जा सकता है। यदि आपको MAB का उपयोग करना ही है, तो सुनिश्चित करें कि उन उपकरणों को सख्त एक्सेस कंट्रोल सूचियों के साथ अत्यधिक प्रतिबंधित VLAN में रखा गया है। डिफ़ॉल्ट रूप से उन्हें अविश्वसनीय मानें। तीसरी सामान्य विफलता मोड उच्च-घनत्व वाले वातावरण में RADIUS टाइमआउट है। स्टेडियम और सम्मेलन केंद्र हजारों उपकरणों को एक साथ प्रमाणित करने का प्रयास करते हुए देख सकते हैं। यदि आपका RADIUS इन्फ्रास्ट्रक्चर लोड को नहीं संभाल सकता है, तो आपको प्रमाणीकरण टाइमआउट मिलता है, और उपयोगकर्ता कनेक्ट नहीं हो पाते हैं। सुनिश्चित करें कि आपके RADIUS सर्वर लोड-बैलेंस्ड हैं और आपके एक्सेस पॉइंट्स और प्रमाणीकरण सर्वरों के बीच नेटवर्क पथ में न्यूनतम लेटेंसी है। यह वह जगह है जहां SD-WAN वितरित परिनियोजन में महत्वपूर्ण भूमिका निभा सकता है, जिससे केंद्रीकृत प्रमाणीकरण सेवाओं के लिए विश्वसनीय कनेक्टिविटी सुनिश्चित होती है। अब, आइए प्रमुख निर्णय बिंदुओं का एक त्वरित रैपिड-फायर सारांश करें। क्या आपको WPA2-Personal या WPA2-Enterprise का उपयोग करना चाहिए? यदि आपके पास दस से अधिक कर्मचारी हैं, तो Enterprise का उपयोग करें। RADIUS सर्वर के प्रबंधन का परिचालन ओवरहेड सुरक्षा लाभों की तुलना में बहुत कम है। क्या आपको PEAP या EAP-TLS का उपयोग करना चाहिए? यदि आपके पास MDM है और आप प्रमाणपत्र तैनात कर सकते हैं तो EAP-TLS का उपयोग करें। यदि आप Active Directory क्रेडेंशियल्स पर निर्भर हैं तो PEAP का उपयोग करें। और आप जो भी चुनें, हमेशा क्लाइंट साइड पर प्रमाणपत्र सत्यापन लागू करें। अतिथि WiFi के बारे में क्या? मेहमानों को 802.1X पर न रखें। कैप्टिव पोर्टल समाधान का उपयोग करें। उनके डेटा को अनुपालन के साथ कैप्चर करें, उनके ट्रैफ़िक को विभाजित करें, और उन्हें अपने आंतरिक नेटवर्क से पूरी तरह से अलग रखें। क्या WPA3 प्रासंगिक है? बिल्कुल। WPA3-Enterprise सरकारी और वित्त जैसे उच्च-सुरक्षा वातावरण के लिए 192-बिट सुरक्षा मोड प्रदान करता है। यह बैकवर्ड कम्पैटिबल है, इसलिए अपने माइग्रेशन की योजना बनाना शुरू करें, विशेष रूप से नए परिनियोजन के लिए। समापन करने के लिए: WPA2 और 802.1X एक ही चीज़ नहीं हैं, लेकिन एक एंटरप्राइज़ वातावरण में, वे एक साथ काम करते हैं। WPA2 डेटा को एन्क्रिप्ट करता है। 802.1X पहचान को प्रमाणित करता है। WPA2-Enterprise वह मोड है जो उन्हें जोड़ता है। कॉर्पोरेट नेटवर्क के लिए, यह संयोजन आधारभूत सुरक्षा आवश्यकता है। अतिथि और सार्वजनिक WiFi के लिए, आपको एक अलग दृष्टिकोण की आवश्यकता है — जो उपयोगकर्ता अनुभव के साथ सुरक्षा को संतुलित करता है, और यही वह जगह है जहां Purple जैसे प्लेटफॉर्म महत्वपूर्ण मूल्य जोड़ते हैं। मुख्य निष्कर्ष: WPA2 एन्क्रिप्शन है; 802.1X प्रमाणीकरण है। WPA2-Enterprise के लिए 802.1X लागू करने वाले RADIUS सर्वर की आवश्यकता होती है। Evil Twin हमलों को रोकने के लिए हमेशा प्रमाणपत्र सत्यापन लागू करें। अपने अतिथि ट्रैफ़िक को अपने कॉर्पोरेट नेटवर्क से अलग करें। और सार्वजनिक स्थानों के लिए, एंटरप्राइज़ सुरक्षा और निर्बाध अतिथि ऑनबोर्डिंग के बीच सेतु के रूप में Passpoint पर विचार करें। इस Purple Technical Briefing में शामिल होने के लिए धन्यवाद। EAP विधियों, परिनियोजन आर्किटेक्चर और अनुपालन ढांचों पर अधिक विवरण के लिए, purple dot ai पर जाएं।

📚 हमारी मुख्य श्रृंखला का हिस्सा: Enterprise WiFi Security Guide →

header_image.png

कार्यकारी सारांश

एंटरप्राइज़ वातावरण का प्रबंधन करने वाले IT निदेशकों और नेटवर्क आर्किटेक्ट्स के लिए, विक्रेता दस्तावेज़ों में अक्सर WPA2 और 802.1X के बीच का अंतर स्पष्ट नहीं होता है। WPA2 एक सुरक्षा प्रमाणन कार्यक्रम है जो यह तय करता है कि वायरलेस डेटा को हवा में कैसे एन्क्रिप्ट किया जाता है। इसके विपरीत, IEEE 802.1X एक पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) ढांचा है जो यह तय करता है कि कोई उपयोगकर्ता या डिवाइस नेटवर्क पर अनुमति मिलने से पहले अपनी पहचान कैसे साबित करता है।

वे प्रतिस्पर्धी मानक नहीं हैं — वे एक सुरक्षित वायरलेस आर्किटेक्चर के पूरक स्तर हैं। जब कोई एंटरप्राइज़ "WPA2-Enterprise" तैनात करता है, तो वे स्वाभाविक रूप से एन्क्रिप्शन के लिए WPA2 और प्रमाणीकरण के लिए 802.1X तैनात कर रहे होते हैं। यह समझना कि ये प्रोटोकॉल कैसे इंटरैक्ट करते हैं, अनधिकृत पहुंच को कम करने, PCI-DSS और GDPR जैसे ढांचों का अनुपालन सुनिश्चित करने और वितरित स्थानों पर स्केलेबल इन्फ्रास्ट्रक्चर तैनात करने के लिए महत्वपूर्ण है। यह गाइड दोनों मानकों की कार्यप्रणाली का विश्लेषण करती है, विक्रेता-तटस्थ कार्यान्वयन रणनीतियाँ प्रदान करती है, और विवरण देती है कि कैसे Purple के Guest WiFi जैसे आधुनिक प्लेटफॉर्म इन सुरक्षित आर्किटेक्चर में सहजता से एकीकृत होते हैं।

तकनीकी गहन विश्लेषण: मानकों का विश्लेषण

एक सुरक्षित वायरलेस नेटवर्क को डिजाइन करने के लिए, डेटा गोपनीयता (एन्क्रिप्शन) की अवधारणाओं को पहचान सत्यापन (प्रमाणीकरण) से अलग करना होगा। ये अलग-अलग समस्याएं हैं, जिन्हें अलग-अलग मानकों द्वारा हल किया जाता है, जो क्रम में काम करते हैं।

WPA2: एन्क्रिप्शन मानक

WPA2 वायरलेस कंप्यूटर नेटवर्क को सुरक्षित करने के लिए Wi-Fi Alliance द्वारा विकसित एक प्रमाणन कार्यक्रम है। यह IEEE 802.11i मानक पर आधारित है। इसका प्राथमिक कार्य यह सुनिश्चित करना है कि क्लाइंट डिवाइस (सप्लीकेंट) और एक्सेस पॉइंट (ऑथेंटिकेटर) के बीच प्रसारित डेटा को दुर्भावनापूर्ण तत्वों द्वारा इंटरसेप्ट और पढ़ा न जा सके।

WPA2, CCMP (काउंटर मोड सिफर ब्लॉक चेनिंग मैसेज ऑथेंटिकेशन कोड प्रोटोकॉल) के साथ संयुक्त AES (उन्नत एन्क्रिप्शन मानक) के उपयोग को अनिवार्य करता है। इसने मूल WPA मानक में उपयोग किए जाने वाले कमजोर TKIP सिफर को बदल दिया। WPA2 दो प्राथमिक मोड में काम करता है: WPA2-Personal (PSK), जो एक प्री-शेयर्ड की (Pre-Shared Key) का उपयोग करता है जहां प्रत्येक डिवाइस एन्क्रिप्शन की उत्पन्न करने के लिए एक ही पासवर्ड का उपयोग करता है, और WPA2-Enterprise, जो एक 802.1X प्रमाणीकरण सर्वर के साथ एकीकृत होता है और प्रत्येक व्यक्तिगत सत्र के लिए अद्वितीय, गतिशील एन्क्रिप्शन की उत्पन्न करता है।

WPA2-Personal की गंभीर कमजोरी यह है कि एक भी समझौता किया गया PSK पूरे नेटवर्क को खतरे में डाल देता है। 400 स्थानों की एक रिटेल श्रृंखला में, प्रत्येक AP और प्रत्येक डिवाइस पर PSK को बदलना परिचालन रूप से अत्यधिक कठिन है। 802.1X द्वारा समर्थित WPA2-Enterprise इस समस्या को पूरी तरह से समाप्त कर देता है।

802.1X: प्रमाणीकरण ढांचा

IEEE 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक मानक है। मूल रूप से वायर्ड ईथरनेट के लिए डिज़ाइन किया गया, इसे मजबूत, प्रति-उपयोगकर्ता प्रमाणीकरण प्रदान करने के लिए वायरलेस नेटवर्क के लिए अनुकूलित किया गया था। यह डेटा को एन्क्रिप्ट नहीं करता है — यह एक डिजिटल द्वारपाल के रूप में कार्य करता है, नेटवर्क पोर्ट को तार्किक रूप से तब तक "बंद" रखता है जब तक कि डिवाइस एक केंद्रीकृत प्रमाणीकरण सर्वर के सामने अपनी पहचान साबित नहीं कर देता।

architecture_overview.png

802.1X ढांचा तीन भूमिकाओं पर बनाया गया है। सप्लीकेंट (Supplicant) क्लाइंट डिवाइस (लैपटॉप, स्मार्टफोन, IoT सेंसर) है जो नेटवर्क एक्सेस का अनुरोध करता है। ऑथेंटिकेटर (Authenticator) नेटवर्क एक्सेस डिवाइस है — आमतौर पर एक वायरलेस एक्सेस पॉइंट या प्रबंधित स्विच — जो स्वयं एक्सेस का निर्णय लिए बिना प्रमाणीकरण विनिमय की सुविधा प्रदान करता है। प्रमाणीकरण सर्वर (Authentication Server) (आमतौर पर एक RADIUS सर्वर) केंद्रीकृत प्रणाली है जो Active Directory या LDAP जैसी निर्देशिका के विरुद्ध सप्लीकेंट के क्रेडेंशियल्स को सत्यापित करती है और एक्सेस का निर्णय जारी करती है।

802.1X सप्लीकेंट और प्रमाणीकरण सर्वर के बीच प्रमाणीकरण डेटा को स्थानांतरित करने के लिए एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल (EAP) पर निर्भर करता है। EAP अत्यधिक लचीला है, जो कई आंतरिक तरीकों का समर्थन करता है। EAP-TLS पारस्परिक प्रमाणपत्र-आधारित प्रमाणीकरण का उपयोग करता है और इसे ज़ीरो-ट्रस्ट वातावरण के लिए स्वर्ण मानक माना जाता है। PEAP क्रेडेंशियल्स को एक TLS टनल के भीतर समाहित करता है, जिसके लिए केवल सर्वर-साइड प्रमाणपत्र की आवश्यकता होती है। इन तरीकों की विस्तृत तुलना के लिए, हमारी गाइड EAP-TLS बनाम PEAP: आपके नेटवर्क के लिए कौन सा प्रमाणीकरण प्रोटोकॉल सही है? देखें।

WPA2 और 802.1X एक साथ कैसे काम करते हैं

जब कोई डिवाइस WPA2-Enterprise SSID से कनेक्ट होता है, तो निम्नलिखित क्रम होता है। पहला, डिवाइस AP के साथ जुड़ता है, लेकिन AP 802.1X EAP संदेशों को छोड़कर अन्य सभी ट्रैफ़िक को ब्लॉक कर देता है। दूसरा, डिवाइस और RADIUS सर्वर AP के माध्यम से क्रेडेंशियल्स का आदान-प्रदान करते हैं — यह 802.1X प्रमाणीकरण चरण है। यदि सफल होता है, तो RADIUS सर्वर AP को एक "Access-Accept" संदेश भेजता है, साथ ही एक मास्टर सेशन की (MSK) भी भेजता है। तीसरा, AP और डिवाइस MSK का उपयोग करके WPA2 4-वे हैंडशेक करते हैं, जिससे AES-CCMP के माध्यम से उस सत्र के डेटा ट्रैफ़िक को एन्क्रिप्ट करने के लिए उपयोग की जाने वाली विशिष्ट पेयरवाइज़ ट्रांजिएंट की (PTK) प्राप्त होती है। अंत में, पोर्ट "खुल" जाता है, और एन्क्रिप्टेड डेटा प्रवाहित होता है। प्रत्येक उपयोगकर्ता के पास एक अद्वितीय एन्क्रिप्शन की होती है, जिसका अर्थ है कि एक उपयोगकर्ता के ट्रैफ़िक को कैप्चर करने से दूसरे के ट्रैफ़िक के बारे में कोई जानकारी नहीं मिलती है।

comparison_chart.png

कार्यान्वयन गाइड: अपने स्थान के लिए आर्किटेक्चर तैयार करना

इन मानकों को तैनात करने के लिए तकनीकी क्षमताओं को व्यावसायिक आवश्यकताओं के साथ संरेखित करने की आवश्यकता होती है। स्थान के प्रकार और उपयोगकर्ता जनसांख्यिकी के आधार पर दृष्टिकोण काफी भिन्न होता है।

deployment_decision_matrix.png

कॉर्पोरेट कार्यालय: ज़ीरो ट्रस्ट आर्किटेक्चर

ISO 27001 या Cyber Essentials+ अनुपालन का लक्ष्य रखने वाले संगठनों के लिए, अनुशंसित परिनियोजन EAP-TLS का उपयोग करके 802.1X के साथ WPA2-Enterprise (या नए निर्माणों के लिए WPA3-Enterprise) है। इसके लिए Microsoft Intune या Jamf जैसे MDM समाधान के माध्यम से सभी कॉर्पोरेट उपकरणों पर डिजिटल प्रमाणपत्र तैनात करने की आवश्यकता होती है। यह पासवर्ड-आधारित कमजोरियों को पूरी तरह से समाप्त कर देता है — केवल कंपनी के स्वामित्व वाले, प्रबंधित उपकरण ही प्रमाणित हो सकते हैं। अप्रबंधित या व्यक्तिगत उपकरणों को स्वचालित रूप से एक खंडित अतिथि SSID में भेज दिया जाता है। RADIUS विशेषताओं के माध्यम से गतिशील VLAN असाइनमेंट भूमिका के आधार पर आगे के विभाजन की अनुमति देता है: IT प्रशासकों, सामान्य कर्मचारियों और ठेकेदारों को एक ही SSID से उपयुक्त ACL के साथ अलग-अलग VLAN में असाइन किया जा सकता है।

रिटेल श्रृंखला: PCI-DSS के लिए खंडित सुरक्षा

एक बड़ी रिटेल श्रृंखला के लिए, चुनौती दोहरे उद्देश्य वाली है: PCI-DSS अनुपालन के लिए PoS टर्मिनलों को सुरक्षित करना और साथ ही लॉयल्टी प्रोग्राम साइन-अप को बढ़ावा देने के लिए घर्षण रहित अतिथि पहुंच प्रदान करना। इस आर्किटेक्चर के लिए एक ही भौतिक बुनियादी ढांचे पर दो अलग-अलग सुरक्षा स्थितियों की आवश्यकता होती है। कर्मचारियों और PoS SSID को 802.1X के साथ WPA2-Enterprise का उपयोग करना चाहिए (कर्मचारियों के लिए Active Directory से जुड़ा PEAP-MSCHAPv2, PoS टर्मिनलों के लिए मशीन प्रमाणपत्रों के साथ EAP-TLS)। यह व्यक्तिगत जवाबदेही सुनिश्चित करता है और PoS ट्रैफ़िक को पूरी तरह से अलग, PCI-अनुपालन वाले VLAN पर रखता है। अतिथि SSID एक ओपन नेटवर्क का उपयोग करता है जो सीधे कैप्टिव पोर्टल पर रूट होता है। Purple का WiFi Analytics प्लेटफॉर्म सोशल लॉगिन या फॉर्म भरने के माध्यम से अतिथि प्रमाणीकरण को संभालता है, PoS वातावरण से पूर्ण नेटवर्क अलगाव बनाए रखते हुए GDPR के तहत अनुपालन के साथ प्रथम-पक्ष डेटा कैप्चर करता है।

आतिथ्य और सार्वजनिक स्थान: बड़े पैमाने पर निर्बाध ऑनबोर्डिंग

आतिथ्य वातावरण — होटल, सम्मेलन केंद्र, स्टेडियम — के लिए 802.1X उन अस्थायी मेहमानों के लिए परिचालन रूप से बहुत जटिल है जिनका कॉर्पोरेट निर्देशिका के साथ कोई संबंध नहीं है। इस उपयोग के मामले के लिए उभरता हुआ मानक Passpoint (Hotspot 2.0) है, जो बैकएंड में 802.1X और WPA2-Enterprise का उपयोग करता है लेकिन डिवाइस प्रोविज़निंग प्रक्रिया को स्वचालित करता है। Purple, Connect लाइसेंस के तहत OpenRoaming जैसी सेवाओं के लिए एक मुफ्त पहचान प्रदाता के रूप में कार्य करता है, जिससे मेहमानों को बिना किसी मैन्युअल नेटवर्क कॉन्फ़िगरेशन के अपने मौजूदा प्रोफाइल का उपयोग करके सहजता से प्रमाणित करने की अनुमति मिलती है। परिवहन और सार्वजनिक-क्षेत्र के स्थानों के लिए, यह दृष्टिकोण प्रमाणीकरण प्रवाह में सीधे सहमति प्रबंधन को एकीकृत करके GDPR डेटा कैप्चर आवश्यकताओं के अनुपालन का भी समर्थन करता है।

एंटरप्राइज़ परिनियोजन के लिए सर्वोत्तम प्रथाएं

सभी सप्लीकेंट्स पर सख्त प्रमाणपत्र सत्यापन लागू करें। PEAP का उपयोग करते समय, सुनिश्चित करें कि क्लाइंट डिवाइस RADIUS सर्वर के प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर किए गए हैं। ऐसा न करने से नेटवर्क Evil Twin हमलों के प्रति संवेदनशील हो जाता है, जहां एक अनधिकृत AP उन उपकरणों से क्रेडेंशियल्स एकत्र करता है जो EAP चुनौती पेश करने वाले किसी भी सर्वर पर आंख मूंदकर भरोसा करते हैं। इस कॉन्फ़िगरेशन को Group Policy या MDM के माध्यम से तैनात करें — इस निर्णय को मैन्युअल रूप से लेने के लिए कभी भी अंतिम उपयोगकर्ताओं पर निर्भर न रहें।

गतिशील VLAN असाइनमेंट लागू करें। सफल 802.1X प्रमाणीकरण पर उपयोगकर्ताओं को उनकी Active Directory समूह सदस्यता के आधार पर विशिष्ट VLAN में असाइन करने के लिए RADIUS विशेषताओं (विशेष रूप से Tunnel-Type, Tunnel-Medium-Type, और Tunnel-Private-Group-ID) का लाभ उठाएं। यह प्रत्येक उपयोगकर्ता वर्ग के लिए अलग SSID की आवश्यकता के बिना भूमिका-आधारित नेटवर्क विभाजन को सक्षम बनाता है।

पुरानी सिफर सुइट्स को हटा दें। सुनिश्चित करें कि सभी वायरलेस कंट्रोलर और एक्सेस पॉइंट पर TKIP और WEP पूरी तरह से अक्षम हैं। दोनों क्रिप्टोग्राफ़िक रूप से टूट चुके हैं। WPA2 का विज्ञापन करने वाला लेकिन TKIP फ़ॉलबैक की अनुमति देने वाला नेटवर्क WEP की तुलना में सार्थक रूप से अधिक सुरक्षित नहीं है।

उच्च-घनत्व वाले वातावरण के लिए RADIUS क्षमता की योजना बनाएं। स्टेडियमों, सम्मेलन केंद्रों और बड़े स्वास्थ्य सेवा परिसरों में, हजारों उपकरण एक साथ प्रमाणित करने का प्रयास कर सकते हैं। सुनिश्चित करें कि RADIUS इन्फ्रास्ट्रक्चर लोड-बैलेंस्ड है और APs तथा प्रमाणीकरण सर्वरों के बीच नेटवर्क पथों में 10ms से कम की लेटेंसी है। वितरित परिनियोजन के लिए कनेक्टिविटी विश्वसनीयता एक प्रमुख विचार है — केंद्रीकृत प्रमाणीकरण सेवाओं के लिए लचीले WAN पथ सुनिश्चित करने के मार्गदर्शन के लिए आधुनिक व्यवसायों के लिए मुख्य SD-WAN लाभ देखें।

समस्या निवारण और जोखिम न्यूनीकरण

मूक विफलता (The Silent Failure)। एक डिवाइस कनेक्ट होने में विफल रहता है, लेकिन उपयोगकर्ता को कोई सार्थक त्रुटि प्राप्त नहीं होती है। यह लगभग हमेशा एक प्रमाणपत्र ट्रस्ट समस्या होती है — सप्लीकेंट RADIUS सर्वर के प्रमाणपत्र को अस्वीकार कर रहा होता है। समाधान: सुनिश्चित करें कि RADIUS प्रमाणपत्र जारी करने वाला Root CA सभी क्लाइंट उपकरणों को GPO या MDM के माध्यम से वितरित किया गया है, और वायरलेस प्रोफ़ाइल को इस पर भरोसा करने के लिए पूर्व-कॉन्फ़िगर किया गया है।

RADIUS टाइमआउट। AP ट्रैफ़िक को अग्रेषित करना बंद कर देता है क्योंकि RADIUS सर्वर प्रतिक्रिया टाइमआउट सीमा से अधिक हो गया है। समाधान: RADIUS सर्वर रिडंडेंसी (प्राथमिक और माध्यमिक) लागू करें, सुनिश्चित करें कि प्रमाणीकरण सर्वर भीड़भाड़ वाले नेटवर्क खंड पर स्थित नहीं है, और AP के RADIUS टाइमआउट और पुनः प्रयास मापदंडों को उचित रूप से ट्यून करें।

MAC प्रमाणीकरण बाईपास (MAB) कमजोरियां। बिना स्क्रीन वाले IoT उपकरणों के लिए जो 802.1X सप्लीकेंट नहीं चला सकते, प्रशासक अक्सर MAB का सहारा लेते हैं, जो MAC पते के आधार पर प्रमाणित करता है। MAC पतों को आसानी से स्पूफ़ (नकली) किया जा सकता है। समाधान: सभी MAB-प्रमाणित उपकरणों को सख्त ACL के साथ अत्यधिक प्रतिबंधित, पृथक VLAN में रखें जो केवल डिवाइस संचालन के लिए आवश्यक विशिष्ट ट्रैफ़िक प्रवाह की अनुमति देते हैं। डिफ़ॉल्ट रूप से सभी MAB उपकरणों को अविश्वसनीय मानें।

Evil Twin हमले। एक अनधिकृत AP कॉर्पोरेट SSID को प्रसारित करता है और उन उपकरणों से क्रेडेंशियल्स एकत्र करता है जो सर्वर प्रमाणपत्र को सत्यापित नहीं करते हैं। समाधान: प्रमाणपत्र सत्यापन लागू करें (जैसा कि ऊपर बताया गया है) और वायरलेस LAN कंट्रोलर पर अनधिकृत AP का पता लगाने की प्रणाली तैनात करें। अधिकांश एंटरप्राइज़-ग्रेड कंट्रोलर में यह क्षमता मूल रूप से शामिल होती है।

ROI और व्यावसायिक प्रभाव

WPA2-Personal से 802.1X-समर्थित WPA2-Enterprise आर्किटेक्चर में संक्रमण के लिए RADIUS इन्फ्रास्ट्रक्चर और, EAP-TLS परिनियोजन के लिए, एक PKI (पब्लिक की इन्फ्रास्ट्रक्चर) में निवेश की आवश्यकता होती है। हालांकि, इसका व्यावसायिक मामला सम्मोहक है।

जोखिम में कमी प्राथमिक चालक है। साझा PSK को समाप्त करने से वायरलेस नेटवर्क में सबसे बड़ा एकल हमला वेक्टर हट जाता है। जब कोई कर्मचारी छोड़ता है, तो उसकी विशिष्ट पहुंच को Active Directory में केंद्रीय रूप से रद्द कर दिया जाता है — संभावित रूप से हजारों एक्सेस पॉइंट्स पर PSK रोटेशन की आवश्यकता नहीं होती है। 400 स्थानों वाले रिटेल एस्टेट में परिचालन लागत की बचत महत्वपूर्ण है।

अनुपालन सक्षमता द्वितीयक चालक है। PCI-DSS आवश्यकता 8 अद्वितीय उपयोगकर्ता आईडी और व्यक्तिगत जवाबदेही को अनिवार्य करती है। 802.1X इसे मूल रूप से प्रदान करता है। एक्सेस कंट्रोल और ऑडिट लॉगिंग के लिए HIPAA की तकनीकी सुरक्षा आवश्यकताएं भी RADIUS अकाउंटिंग लॉग में 802.1X के प्रति-उपयोगकर्ता प्रमाणीकरण रिकॉर्ड द्वारा संतुष्ट होती हैं।

बड़े पैमाने पर परिचालन दक्षता दीर्घकालिक लाभ है। केंद्रीय निर्देशिका एकीकरण के माध्यम से दैनिक प्रबंधन को सुव्यवस्थित किया जाता है। नए शामिल होने वालों को उनके AD खाते के प्रावधान के क्षण ही नेटवर्क एक्सेस मिल जाता है। छोड़ने वालों की पहुंच अक्षम होते ही समाप्त हो जाती है। भूले हुए WiFi पासवर्ड के लिए कोई हेल्पडेस्क टिकट नहीं।

एन्क्रिप्शन (WPA2) को प्रमाणीकरण (802.1X) से अलग करके, एंटरप्राइज़ IT टीमें ऐसे वायरलेस नेटवर्क बनाती हैं जो स्केलेबल, ऑडिट योग्य और लचीले होते हैं — जो सबसे कठिन कॉर्पोरेट सुरक्षा स्थितियों और सबसे सहज अतिथि अनुभवों दोनों का समर्थन करने में सक्षम होते हैं।

मुख्य परिभाषाएं

WPA2 (Wi-Fi Protected Access 2)

IEEE 802.11i पर आधारित एक WiFi Alliance प्रमाणन कार्यक्रम जो पारगमन में वायरलेस डेटा के लिए AES-CCMP एन्क्रिप्शन को अनिवार्य करता है।

वायरलेस कंट्रोलर पर SSID को कॉन्फ़िगर करते समय IT टीमों का सामना इससे होता है। WPA2-Personal और WPA2-Enterprise के बीच का चुनाव यह निर्धारित करता है कि प्रमाणीकरण एक साझा पासवर्ड द्वारा संभाला जाता है या 802.1X सर्वर द्वारा।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक IEEE मानक जो नेटवर्क से कनेक्ट करने का प्रयास करने वाले उपकरणों के लिए एक प्रमाणीकरण ढांचा प्रदान करता है।

वायरलेस कंट्रोलर और स्विच पर RADIUS एकीकरण को कॉन्फ़िगर करते समय संदर्भित किया जाता है। यह अंतर्निहित तंत्र है जो WPA2-Enterprise को प्रति-उपयोगकर्ता प्रमाणीकरण प्रदान करने में सक्षम बनाता है।

Supplicant

क्लाइंट डिवाइस (लैपटॉप, स्मार्टफोन, IoT सेंसर) जो 802.1X प्रमाणीकरण विनिमय शुरू करता है और क्रेडेंशियल्स या प्रमाणपत्र प्रदान करता है।

समस्या निवारण में, सप्लीकेंट अक्सर कॉन्फ़िगरेशन समस्याओं का स्रोत होता है — विशेष रूप से वायरलेस नेटवर्क प्रोफ़ाइल में प्रमाणपत्र सत्यापन सेटिंग्स के आसपास।

Authenticator

नेटवर्क एक्सेस डिवाइस (आमतौर पर एक वायरलेस AP या प्रबंधित स्विच) जो स्वयं एक्सेस का निर्णय लिए बिना सप्लीकेंट और प्रमाणीकरण सर्वर के बीच EAP संदेशों को रिले करता है।

ऑथेंटिकेटर तब तक सभी गैर-EAP ट्रैफ़िक को ब्लॉक करता है जब तक कि उसे RADIUS सर्वर से Access-Accept प्राप्त नहीं हो जाता, जिस बिंदु पर यह लॉजिकल पोर्ट खोलता है।

RADIUS (Remote Authentication Dial-In User Service)

एक केंद्रीकृत AAA (प्रमाणीकरण, प्राधिकरण और लेखांकन) प्रोटोकॉल सर्वर जो क्रेडेंशियल्स को सत्यापित करता है, नीतियों को लागू करता है, और एक्सेस इवेंट्स को लॉग करता है।

RADIUS सर्वर किसी भी 802.1X परिनियोजन की रीढ़ है। यह Active Directory या LDAP के साथ एकीकृत होता है और सफल प्रमाणीकरण पर गतिशील VLAN असाइनमेंट और अन्य नीति विशेषताएं वापस करता है।

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

एक प्रमाणपत्र-आधारित EAP तरीका जिसके लिए क्लाइंट और सर्वर दोनों पर डिजिटल प्रमाणपत्र की आवश्यकता होती है, जो पारस्परिक प्रमाणीकरण प्रदान करता है।

सबसे सुरक्षित EAP तरीका माना जाता है। ज़ीरो-ट्रैस्ट कॉर्पोरेट वातावरण में उपयोग किया जाता है जहां उपकरणों को MDM के माध्यम से प्रबंधित किया जाता है और प्रमाणपत्रों को स्वचालित रूप से तैनात किया जा सकता है।

PEAP (Protected Extensible Authentication Protocol)

एक EAP तरीका जो आंतरिक प्रमाणीकरण विनिमय को एक TLS टनल के भीतर समाहित करता है, जिसके लिए केवल सर्वर-साइड प्रमाणपत्र की आवश्यकता होती है।

BYOD और मिश्रित-डिवाइस वातावरण में व्यापक रूप से तैनात किया गया है क्योंकि यह उपयोगकर्ताओं को क्लाइंट प्रमाणपत्रों की आवश्यकता के बिना मानक AD उपयोगकर्ता नाम और पासवर्ड क्रेडेंशियल्स के साथ प्रमाणित करने की अनुमति देता है।

AES-CCMP

WPA2 में अनिवार्य एन्क्रिप्शन सिफर सुइट, जो डेटा गोपनीयता और अखंडता के लिए CCMP प्रोटोकॉल के साथ AES ब्लॉक सिफर को जोड़ता है।

IT टीमों को यह सुनिश्चित करना चाहिए कि सभी APs और क्लाइंट डिवाइस AES-CCMP का समर्थन करते हैं। TKIP फ़ॉलबैक की अनुमति देने वाला कोई भी परिनियोजन WPA2 की सुरक्षा गारंटी को कमजोर करता है।

4-Way Handshake

एक क्लाइंट डिवाइस और एक एक्सेस पॉइंट के बीच WPA2 क्रिप्टोग्राफ़िक विनिमय जो डेटा ट्रैफ़िक को एन्क्रिप्ट करने के लिए उपयोग की जाने वाली सत्र-विशिष्ट पेयरवाइज़ ट्रांजिएंट की (PTK) प्राप्त करता है।

सफल 802.1X प्रमाणीकरण के बाद होता है, जो RADIUS सर्वर द्वारा प्रदान की गई मास्टर सेशन की का उपयोग करता है। प्रत्येक उपयोगकर्ता की PTK अद्वितीय होती है, जो सत्रों के बीच ट्रैफ़िक अलगाव सुनिश्चित करती है।

Captive Portal

सार्वजनिक या अतिथि WiFi नेटवर्क तक पहुंच प्रदान करने से पहले उपयोगकर्ताओं को प्रस्तुत किया जाने वाला एक वेब-आधारित प्रमाणीकरण या सहमति पृष्ठ।

आतिथ्य, रिटेल और सार्वजनिक स्थानों पर उपयोग किया जाता है जहां अस्थायी उपयोगकर्ताओं के लिए 802.1X अव्यावहारिक है। Purple के Guest WiFi जैसे प्लेटफॉर्म कॉर्पोरेट बुनियादी ढांचे से अतिथि ट्रैफ़िक को अलग रखते हुए अनुपालन के साथ प्रथम-पक्ष डेटा कैप्चर करने के लिए कैप्टिव पोर्टल का उपयोग करते हैं।

हल किए गए उदाहरण

एक 400-स्थानों वाली रिटेल श्रृंखला वर्तमान में स्टाफ टैबलेट और PoS टर्मिनलों दोनों पर साझा किए गए एक एकल WPA2-Personal पासवर्ड (PSK) का उपयोग करती है। वे आवश्यकता 8 (अद्वितीय उपयोगकर्ता आईडी) और आवश्यकता 1 (नेटवर्क विभाजन) के तहत अपने PCI-DSS ऑडिट में विफल हो रहे हैं। उन्हें मौजूदा अतिथि WiFi कैप्टिव पोर्टल को बाधित किए बिना आंतरिक नेटवर्क को सुरक्षित करने की आवश्यकता है। उन्हें अपने वायरलेस सुरक्षा को फिर से कैसे डिजाइन करना चाहिए?

चरण 1: कॉर्पोरेट Active Directory के साथ एकीकृत एक RADIUS सर्वर (जैसे, Cisco ISE, Microsoft NPS, या FreeRADIUS) तैनात करें। एक वितरित संपत्ति के लिए, दूरस्थ साइटों पर प्रमाणीकरण विलंबता को कम करने के लिए क्षेत्रीय केंद्रों पर RADIUS प्रॉक्सी तैनात करें।

चरण 2: WPA2-Enterprise का उपयोग करने के लिए सभी वायरलेस कंट्रोलर पर कॉर्पोरेट SSID को पुनर्रचना करें। स्टाफ टैबलेट के लिए PEAP-MSCHAPv2 (AD उपयोगकर्ता क्रेडेंशियल्स के विरुद्ध प्रमाणित) और PoS टर्मिनलों के लिए मशीन प्रमाणपत्रों (MDM के माध्यम से तैनात) के साथ EAP-TLS के साथ 802.1X कॉन्फ़िगर करें।

चरण 3: गतिशील VLAN असाइनमेंट विशेषताओं को वापस करने के लिए RADIUS सर्वर को कॉन्फ़िगर करें। स्टाफ टैबलेट को एक स्टाफ VLAN में असाइन किया जाता है; PoS टर्मिनलों को एक सख्त रूप से पृथक PCI VLAN में असाइन किया जाता है जिसमें केवल भुगतान प्रोसेसर के IP रेंज में ट्रैफ़िक की अनुमति देने वाले ACL होते हैं।

चरण 4: अतिथि SSID को अपरिवर्तित छोड़ दें। यह खुला रहता है (या सार्वजनिक रूप से ज्ञात PSK के साथ WPA2-Personal) लेकिन एक अलग VLAN पर मैप किया जाता है जो सीधे Purple Guest WiFi कैप्टिव पोर्टल पर रूट होता है। अतिथि ट्रैफ़िक कभी भी PCI VLAN को नहीं छूता है।

चरण 5: प्रति-उपयोगकर्ता प्रमाणीकरण लॉग उत्पन्न करने के लिए सभी APs पर RADIUS अकाउंटिंग सक्षम करें, जो PCI-DSS ऑडिट ट्रेल आवश्यकताओं को पूरा करता है।

परीक्षक की टिप्पणी: यह आर्किटेक्चर सीधे दोनों PCI-DSS विफलताओं का समाधान करता है। 802.1X पर जाने से व्यक्तिगत जवाबदेही प्रदान करके आवश्यकता 8 पूरी होती है — प्रत्येक स्टाफ सदस्य अपने स्वयं के AD क्रेडेंशियल्स के साथ प्रमाणित होता है, और प्रत्येक PoS टर्मिनल एक अद्वितीय मशीन प्रमाणपत्र के साथ प्रमाणित होता है। गतिशील VLAN असाइनमेंट यह सुनिश्चित करके आवश्यकता 1 को पूरा करता है कि PoS ट्रैफ़िक नेटवर्क परत पर अलग है। अतिथि WiFi अंतिम-उपयोगकर्ता के दृष्टिकोण से परिचालन रूप से अपरिवर्तित रहता है, लेकिन अब इसे औपचारिक रूप से एक अलग, खंडित नेटवर्क के रूप में प्रलेखित किया गया है — जो सार्वजनिक नेटवर्क से कार्डधारक डेटा वातावरण को अलग करने की PCI-DSS आवश्यकता को भी पूरा करता है।

एक विश्वविद्यालय परिसर क्रेडेंशियल हार्वेस्टिंग हमलों का सामना कर रहा है। छात्र आधिकारिक 'CampusNet' SSID प्रसारित करने वाले अनधिकृत एक्सेस पॉइंट्स से जुड़ रहे हैं। नेटवर्क PEAP-MSCHAPv2 के साथ WPA2-Enterprise का उपयोग करता है, लेकिन छात्र उपकरणों को RADIUS सर्वर प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर नहीं किया गया है। हमला वेक्टर क्या है, और नेटवर्क टीम को इसका समाधान कैसे करना चाहिए?

यह हमला एक Evil Twin है। हमलावर अधिक सिग्नल शक्ति के साथ 'CampusNet' प्रसारित करने वाला एक अनधिकृत AP तैनात करता है। छात्र उपकरण, जो PEAP चुनौती पेश करने वाले किसी भी सर्वर पर भरोसा करने के लिए कॉन्फ़िगर किए गए हैं, अनधिकृत AP से जुड़ते हैं और PEAP हैंडशेक पूरा करते हैं, जिससे उनके हैश किए गए AD क्रेडेंशियल्स हमलावर के सर्वर पर प्रसारित हो जाते हैं।

समाधान चरण 1: उस Root CA की पहचान करें जिसने RADIUS सर्वर का TLS प्रमाणपत्र जारी किया था। यदि आंतरिक CA का उपयोग कर रहे हैं, तो सुनिश्चित करें कि यह CA प्रमाणपत्र सभी छात्र और स्टाफ उपकरणों में वितरित किया गया है।

समाधान चरण 2: एक वायरलेस नेटवर्क प्रोफ़ाइल बनाएं (विश्वविद्यालय-प्रबंधित उपकरणों के लिए MDM के माध्यम से, या BYOD के लिए डाउनलोड करने योग्य कॉन्फ़िगरेशन प्रोफ़ाइल) जो निर्दिष्ट करती है: (a) सत्यापित करने के लिए सटीक RADIUS सर्वर होस्टनाम, (b) विश्वसनीय Root CA, और (c) 'Validate Server Certificate' फ़्लैग को true पर सेट किया गया है।

समाधान चरण 3: वायरलेस LAN कंट्रोलर पर अनधिकृत AP का पता लगाने की प्रणाली तैनात करें। किसी भी ऐसे AP के लिए अलर्ट कॉन्फ़िगर करें जो 'CampusNet' प्रसारित कर रहा है और अधिकृत AP इन्वेंट्री में नहीं है।

समाधान चरण 4: BYOD उपकरणों के लिए, एक ऑनबोर्डिंग टूल (जैसे Cloudpath या Cisco ISE का BYOD पोर्टल) तैनात करने पर विचार करें जो सप्लीकेंट कॉन्फ़िगरेशन को स्वचालित करता है, जिससे अंतिम उपयोगकर्ताओं का बोझ कम हो जाता है।

परीक्षक की टिप्पणी: क्लाइंट-साइड प्रमाणपत्र सत्यापन अक्षम होने पर PEAP मौलिक रूप से क्रेडेंशियल हार्वेस्टिंग के प्रति संवेदनशील होता है। PEAP टनल आंतरिक क्रेडेंशियल्स को निष्क्रिय ईव्सड्रॉपिंग से बचाता है, लेकिन यह एक सक्रिय हमलावर को एक अनधिकृत सर्वर पर TLS टनल को समाप्त करने से रोकने के लिए कुछ नहीं करता है। सर्वर प्रमाणपत्र सत्यापन लागू करने का अर्थ है कि सप्लीकेंट क्रेडेंशियल्स प्रसारित करने से पहले RADIUS सर्वर की पहचान की पुष्टि करता है — अनधिकृत AP वैध RADIUS सर्वर के होस्टनाम के लिए एक वैध प्रमाणपत्र प्रस्तुत नहीं कर सकता है, इसलिए कनेक्शन अस्वीकार कर दिया जाता है। PEAP चलाने वाले किसी भी संगठन के लिए यह सबसे प्रभावशाली एकल कॉन्फ़िगरेशन परिवर्तन है।

अभ्यास प्रश्न

Q1. आपका संगठन 50 कार्यालय स्थानों पर WPA2-Personal से WPA2-Enterprise में माइग्रेट कर रहा है। पायलट परीक्षण के दौरान, उपयोगकर्ता रिपोर्ट करते हैं कि उनके Windows लैपटॉप पर अपना उपयोगकर्ता नाम और पासवर्ड दर्ज करने से पहले 'प्रमाणपत्र स्वीकार करें' पूछने वाला एक संकेत प्रदर्शित होता है। कई उपयोगकर्ता 'अस्वीकार करें' पर क्लिक करते हैं और कनेक्ट नहीं हो पाते हैं। इस व्यवहार का क्या कारण है, और पूर्ण रोलआउट से पहले इसका समाधान कैसे किया जाना चाहिए?

संकेत: PEAP प्रमाणीकरण में सप्लीकेंट की भूमिका पर विचार करें और यह क्रेडेंशियल्स प्रसारित करने से पहले RADIUS सर्वर की पहचान को कैसे सत्यापित करता है।

मॉडल उत्तर देखें

Windows सप्लीकेंट PEAP TLS हैंडशेक के हिस्से के रूप में सर्वर प्रमाणपत्र सत्यापन कर रहा है। चूंकि RADIUS सर्वर का प्रमाणपत्र एक आंतरिक CA द्वारा जारी किया गया था जो डिवाइस के विश्वसनीय रूट स्टोर में नहीं है, इसलिए Windows उपयोगकर्ता को इसे मैन्युअल रूप से स्वीकार करने के लिए संकेत देता है। प्रमाणपत्र स्वीकार करने के लिए उपयोगकर्ताओं पर निर्भर रहना एक खराब उपयोगकर्ता अनुभव और सुरक्षा जोखिम दोनों है — जो उपयोगकर्ता किसी भी प्रमाणपत्र पर 'स्वीकार करें' पर क्लिक करते हैं, वे Evil Twin हमलों के प्रति समान रूप से संवेदनशील होते हैं। सही समाधान सभी कॉर्पोरेट उपकरणों में आंतरिक Root CA प्रमाणपत्र वितरित करने के लिए Group Policy (GPO) का उपयोग करना है और Windows वायरलेस प्रोफ़ाइल को स्वचालित रूप से इस पर भरोसा करने और RADIUS सर्वर होस्टनाम को सत्यापित करने के लिए पूर्व-कॉन्फ़िगर करना है। यह संकेत को पूरी तरह से समाप्त कर देता है और उपयोगकर्ता के हस्तक्षेप के बिना प्रमाणपत्र सत्यापन लागू करता है।

Q2. एक अस्पताल के IT निदेशक को IoT चिकित्सा उपकरणों (इन्फ्यूजन पंप, रोगी निगरानी प्रणाली) को वायरलेस नेटवर्क से जोड़ने की आवश्यकता है। ये उपकरण बिना किसी 802.1X सप्लीकेंट क्षमता के एम्बेडेड फर्मवेयर चलाते हैं और केवल एक स्थिर प्री-शेयर्ड की (PSK) का उपयोग करके कनेक्ट हो सकते हैं। नेटवर्क आर्किटेक्ट को समग्र सुरक्षा स्थिति से समझौता किए बिना इन उपकरणों को कैसे संभालना चाहिए?

संकेत: 802.1X के विकल्प के रूप में नेटवर्क विभाजन, VLAN अलगाव और MAC प्रमाणीकरण बाईपास से जुड़े जोखिमों के बारे में सोचें।

मॉडल उत्तर देखें

चूंकि ये उपकरण 802.1X नहीं कर सकते हैं, इसलिए आर्किटेक्ट के पास दो विकल्प हैं: एक समर्पित SSID पर WPA2-Personal (PSK), या कॉर्पोरेट SSID पर MAC प्रमाणीकरण बाईपास (MAB)। ऑडिट क्षमता के लिए MAB आम तौर पर बेहतर है लेकिन इसमें स्पूफ़िंग जोखिम होते हैं। प्रमाणीकरण विधि चाहे जो भी चुनी जाए, महत्वपूर्ण नियंत्रण नेटवर्क विभाजन है। इन उपकरणों को सख्त ACL के साथ एक समर्पित, पृथक VLAN पर रखा जाना चाहिए जो केवल आवश्यक विशिष्ट ट्रैफ़िक प्रवाह की अनुमति देता है — उदाहरण के लिए, एक विशिष्ट पोर्ट पर नैदानिक प्रबंधन सर्वर से संचार, अन्य सभी ट्रैफ़िक अवरुद्ध होने के साथ। SSID या MAB VLAN का कॉर्पोरेट नेटवर्क, PoS वातावरण या इंटरनेट के लिए कोई रूटिंग पथ नहीं होना चाहिए। इसके अतिरिक्त, PSK (यदि उपयोग किया जाता है) को समय-समय पर बदला जाना चाहिए और केंद्रीय रूप से प्रबंधित किया जाना चाहिए। उपकरणों को MAC पते द्वारा सूचीबद्ध किया जाना चाहिए, और चिकित्सा उपकरण VLAN में शामिल होने का प्रयास करने वाले किसी भी अपरिचित MAC को एक अलर्ट ट्रिगर करना चाहिए।

Q3. एक स्टेडियम के CIO 60,000 की क्षमता वाले स्थान पर प्रशंसकों के WiFi ऑनबोर्डिंग अनुभव को बेहतर बनाने के लिए Passpoint (Hotspot 2.0) का मूल्यांकन कर रहे हैं। CIO पूछते हैं: 'क्या Passpoint, WPA2 और 802.1X को प्रतिस्थापित करता है, या यह उनका उपयोग करता है?' आप क्या प्रतिक्रिया देते हैं, और इस पैमाने पर परिनियोजन के लिए प्रमुख परिचालन विचार क्या हैं?

संकेत: विचार करें कि Passpoint वास्तव में क्या स्वचालित करता है बनाम यह किसे प्रतिस्थापित करता है, और एक उच्च-घनत्व वाले स्थान के लिए RADIUS क्षमता आवश्यकताएं क्या हैं।

मॉडल उत्तर देखें

Passpoint, WPA2 या 802.1X को प्रतिस्थापित नहीं करता है — यह उन्हें स्वचालित और अमूर्त (abstract) करता है। Passpoint एक प्रोविज़निंग और डिस्कवरी परत है जो WPA2-Enterprise (या WPA3-Enterprise) और 802.1X के शीर्ष पर बनाई गई है। यह प्रमाणीकरण के लिए 802.1X का उपयोग करता है (आमतौर पर मोबाइल कैरियर या लॉयल्टी ऐप पहचान प्रदाता के क्रेडेंशियल्स के माध्यम से) और परिणामी सत्र को एन्क्रिप्ट करने के लिए WPA2/WPA3 का उपयोग करता है। प्रशंसक के दृष्टिकोण से, उनका डिवाइस बिना किसी मैन्युअल कॉन्फ़िगरेशन के स्वचालित रूप से कनेक्ट हो जाता है। नेटवर्क के दृष्टिकोण से, प्रत्येक कनेक्शन एक पूर्ण 802.1X विनिमय है। 60,000 की क्षमता पर प्रमुख परिचालन विचार हैं: (1) RADIUS इन्फ्रास्ट्रक्चर का आकार समवर्ती प्रमाणीकरण तूफानों को संभालने के लिए पर्याप्त होना चाहिए — विशेष रूप से मैच शुरू होने के समय जब हजारों डिवाइस एक साथ कनेक्ट होने का प्रयास करते हैं; (2) RADIUS सर्वर लोड बैलेंसिंग और भौगोलिक रिडंडेंसी के साथ तैनात किए जाने चाहिए; (3) पहचान प्रदाता (जैसे OpenRoaming ढांचे के तहत Purple) के पास पर्याप्त थ्रूपुट समझौते होने चाहिए; और (4) प्रशंसकों के स्थान में घूमने पर पुन: प्रमाणीकरण ओवरहेड को कम करने के लिए वायरलेस कंट्रोलर को फास्ट BSS ट्रांज़िशन (802.11r) का समर्थन करना चाहिए।

इस श्रृंखला में आगे पढ़ें

अतिथि और स्टाफ WiFi नेटवर्क के लिए RADIUS ऑथेंटिकेशन को कॉन्फ़िगर करना

यह तकनीकी संदर्भ गाइड एंटरप्राइज़ अतिथि और स्टाफ WiFi नेटवर्क के लिए RADIUS ऑथेंटिकेशन के आर्किटेक्चर, कॉन्फ़िगरेशन और डिप्लॉयमेंट की रूपरेखा तैयार करती है। यह नेटवर्क आर्किटेक्ट्स और IT प्रबंधकों को सुरक्षित, स्केलेबल वायरलेस एक्सेस कंट्रोल सिस्टम बनाने के लिए आवश्यक सटीक प्रोटोकॉल, सुरक्षा मानक और ट्रबलशूटिंग कार्यप्रणाली प्रदान करती है।

गाइड पढ़ें →

Passpoint और OpenRoaming: संपूर्ण गाइड

यह तकनीकी संदर्भ गाइड एंटरप्राइज़ WiFi नेटवर्क के भीतर Passpoint (हॉटस्पॉट 2.0) और WBA OpenRoaming फ्रेमवर्क का एक व्यापक विश्लेषण प्रदान करती है। यह सुरक्षित, निर्बाध अतिथि कनेक्टिविटी स्थापित करने के लिए आवश्यक बुनियादी ऑथेंटिकेशन प्रोटोकॉल, आर्किटेक्चरल घटकों और परिनियोजन रणनीतियों का विवरण देती है। नेटवर्क आर्किटेक्ट और IT लीडर्स सीखेंगे कि कैसे इन मानकों को डिज़ाइन, लागू और ट्रबलशूट किया जाए ताकि एंटरप्राइज़-ग्रेड सुरक्षा बनाए रखते हुए मैनुअल लॉगिन बाधाओं को समाप्त किया जा सके।

गाइड पढ़ें →

उच्च शिक्षा में सुरक्षित BYOD और नेटवर्क नामांकन के लिए SCEP को कैसे लागू करें

यह तकनीकी मार्गदर्शिका नेटवर्क आर्किटेक्ट्स और IT प्रबंधकों को उच्च शिक्षा परिसर नेटवर्क को सुरक्षित करने के लिए SCEP-आधारित प्रमाणपत्र नामांकन को तैनात करने के लिए एक वेंडर-न्यूट्रल ब्लूप्रिंट प्रदान करती है। यह विवरण देती है कि पासवर्ड-आधारित PEAP से 802.1X EAP-TLS पर कैसे माइग्रेट करें, BYOD ऑनबोर्डिंग को स्वचालित करें, और मजबूत VLAN सेगमेंटेशन लागू करें।

गाइड पढ़ें →