मुख्य सामग्री पर जाएं
हिन्दी

WPA2 बनाम 802.1X: क्या अंतर है?

यह गाइड WPA2 एन्क्रिप्शन और IEEE 802.1X ऑथेंटिकेशन फ्रेमवर्क के बीच के संबंध को स्पष्ट करती है — ये दो पूरक मानक हैं जिन्हें अक्सर वेंडर दस्तावेज़ों और नेटवर्क डिज़ाइन चर्चाओं में मिला दिया जाता है। यह IT निदेशकों, नेटवर्क आर्किटेक्ट्स और वेन्यू ऑपरेशन्स लीडर्स को इन प्रोटोकॉल के आपस में काम करने के तरीके का एक स्पष्ट तकनीकी विवरण, हॉस्पिटैलिटी, रिटेल और सार्वजनिक क्षेत्र के वातावरण में व्यावहारिक डिप्लॉयमेंट रणनीतियाँ, और अनुपालन, जोखिम शमन और गेस्ट WiFi एकीकरण पर व्यावहारिक मार्गदर्शन प्रदान करती है।

📖 7 मिनट का पाठ📝 1,746 शब्द🔧 2 हल किए गए उदाहरण❓ 3 अभ्यास प्रश्न📚 10 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एक ऐसे विषय पर बात कर रहे हैं जो अक्सर एंटरप्राइज़ नेटवर्क डिज़ाइन में भ्रम पैदा करता है: WPA2 और 802.1X के बीच का अंतर। यदि आप एक IT निदेशक हैं, एक नेटवर्क आर्किटेक्ट हैं, या किसी बड़े वेन्यू के लिए बुनियादी ढांचे का प्रबंधन कर रहे हैं, तो यह समझना कि ये दोनों मानक कैसे इंटरैक्ट करते हैं, एक सुरक्षित, स्केलेबल वायरलेस वातावरण बनाने के लिए बुनियादी है। आइए प्राथमिक गलतफहमी को दूर करके शुरुआत करें। WPA2 और 802.1X प्रतिस्पर्धी मानक नहीं हैं। आप एक के ऊपर दूसरे को नहीं चुनते हैं। एक मजबूत एंटरप्राइज़ डिप्लॉयमेंट में, वे पूरक परतें हैं। इसे इस तरह सोचें: WPA2 तिजोरी है। यह एन्क्रिप्शन मानक है जो यह सुनिश्चित करता है कि एक बार जब डेटा हवा में प्रवाहित हो रहा हो, तो वह स्क्रैम्बल हो और ईव्सड्रॉपिंग से सुरक्षित रहे। 802.1X दरवाजे पर खड़ा बाउंसर है। यह ऑथेंटिकेशन फ्रेमवर्क है जो तिजोरी के पास जाने की अनुमति मिलने से पहले ही आपकी ID की जांच करता है। आइए तकनीकी कार्यप्रणाली में गोता लगाएँ, WPA2 से शुरुआत करते हुए। WPA2 एक प्रमाणन कार्यक्रम है जो यह तय करता है कि वायरलेस डेटा को कैसे एन्क्रिप्ट किया जाए। एक एंटरप्राइज़ सेटिंग में, यह AES-CCMP, एक अत्यधिक सुरक्षित सिफर सुइट के उपयोग को अनिवार्य बनाता है। WPA2 दो मुख्य मोड में काम करता है: Personal और Enterprise। WPA2-Personal एक प्री-शेयर्ड की (PSK) का उपयोग करता है — एक एकल पासवर्ड जिसे हर कोई साझा करता है। हम सभी यहाँ के जोखिमों को जानते हैं। यदि एक कर्मचारी नौकरी छोड़ता है, या वह पासवर्ड व्हाइटबोर्ड पर लिखा जाता है, तो पूरा नेटवर्क खतरे में पड़ जाता है। यह हमें WPA2-Enterprise पर लाता है। जब आप अपने वायरलेस कंट्रोलर पर WPA2-Enterprise का चयन करते हैं, तो आप एक्सेस पॉइंट को साझा पासवर्ड का उपयोग बंद करने और इसके बजाय एक बाहरी ऑथेंटिकेशन सर्वर पर भरोसा करने के लिए कह रहे होते हैं। यहीं पर 802.1X की भूमिका शुरू होती है। IEEE 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए एक मानक है। यह एक डिजिटल गेटकीपर के रूप में कार्य करता है। जब कोई डिवाइस — जिसे हम सप्लिकेंट कहते हैं — एक्सेस पॉइंट से कनेक्ट होता, तो AP सभी ट्रैफ़िक को ब्लॉक कर देता है। यह केवल ऑथेंटिकेशन संदेशों को RADIUS सर्वर तक जाने की अनुमति देता है। RADIUS सर्वर आपकी Active Directory के विरुद्ध क्रेडेंशियल्स की जांच करता है। यदि क्रेडेंशियल्स मान्य हैं, तो RADIUS सर्वर AP को एक Access-Accept संदेश भेजता है, और पोर्ट खोल दिया जाता है। महत्वपूर्ण रूप से, 802.1X इन क्रेडेंशियल्स को सुरक्षित रूप से स्थानांतरित करने के लिए एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल, या EAP का उपयोग करता है। आप अक्सर PEAP या EAP-TLS जैसे शब्द सुनेंगे। ये 802.1X फ्रेमवर्क के भीतर पहचान साबित करने के अलग-अलग तरीके हैं। PEAP उपयोगकर्ता नाम और पासवर्ड का उपयोग करता है, जबकि EAP-TLS डिजिटल प्रमाणपत्रों का उपयोग करता है, जो ज़ीरो-ट्रस्ट वातावरण के लिए स्वर्ण मानक है। तो, वे एक साथ कैसे काम करते हैं? एक बार जब 802.1X उपयोगकर्ता को सफलतापूर्वक ऑथेंटिकेट कर देता है, तो RADIUS सर्वर और क्लाइंट डिवाइस एक अद्वितीय मास्टर सेशन की प्राप्त करते हैं। वे इस की का उपयोग WPA2 फोर-वे हैंडशेक करने के लिए करते हैं, जिससे उस व्यक्तिगत सत्र के लिए विशिष्ट एन्क्रिप्शन कीज़ उत्पन्न होती हैं। इसका मतलब है कि प्रत्येक उपयोगकर्ता का अपना अनूठा एन्क्रिप्शन टनल होता है। भले ही कोई आपके वायरलेस ट्रैफ़िक को कैप्चर कर ले, वे इसे डिक्रिप्ट नहीं कर सकते क्योंकि उनके पास आपकी विशिष्ट सत्र कीज़ नहीं होती हैं। अब, कार्यान्वयन के बारे में बात करते हैं। आप अपने विशिष्ट वेन्यू के लिए इसे कैसे डिज़ाइन करते हैं? यदि आप एक कॉर्पोरेट कार्यालय का प्रबंधन कर रहे हैं, तो आपका लक्ष्य ज़ीरो ट्रस्ट होना चाहिए। इसका अर्थ है EAP-TLS का उपयोग करके 802.1X के साथ WPA2-Enterprise। आप MDM के माध्यम से अपने प्रबंधित लैपटॉप पर प्रमाणपत्र डिप्लॉय करते हैं। उपयोगकर्ताओं के भूलने या साझा करने के लिए कोई पासवर्ड नहीं हैं। केवल कंपनी के स्वामित्व वाले डिवाइस ही आंतरिक नेटवर्क पर आते हैं। लेकिन क्या होगा यदि आप एक बड़ी रिटेल श्रृंखला हैं? आपके पास पॉइंट ऑफ़ सेल (PoS) टर्मिनल हैं जिन्हें सख्त PCI-DSS अनुपालन की आवश्यकता है, लेकिन आप लॉयल्टी साइन-अप को बढ़ावा देने के लिए गेस्ट WiFi की पेशकश भी करना चाहते हैं। यहाँ, आप विभाजित करते हैं। आप अपने कर्मचारियों और पॉइंट ऑफ़ सेल उपकरणों के लिए 802.1X के साथ WPA2-Enterprise का उपयोग करते हैं, जिससे व्यक्तिगत जवाबदेही सुनिश्चित होती है। मेहमानों के लिए, उनके व्यक्तिगत फोन पर 802.1X को कॉन्फ़िगर करना बहुत जटिल है। इसलिए, आप सीधे एक कैप्टिव पोर्टल पर रूट किए गए ओपन नेटवर्क का उपयोग करते हैं। यहीं पर Purple जैसा प्लेटफॉर्म काम आता है, जो सोशल लॉगिन के माध्यम से गेस्ट ऑथेंटिकेशन को संभालता है, उस मूल्यवान फर्स्ट-पार्टी डेटा को कैप्चर करता है, जबकि उस ट्रैफ़िक को आपके सुरक्षित पॉइंट ऑफ़ सेल VLAN से पूरी तरह से अलग रखता है। हॉस्पिटैलिटी वातावरण — होटल, सम्मेलन केंद्र, बड़े वेन्यू — में चुनौती फिर से अलग है। आप हजारों अस्थायी उपयोगकर्ताओं से निपट रहे हैं जिनका आपकी कॉर्पोरेट निर्देशिका के साथ कोई संबंध नहीं है। Passpoint, जिसे Hotspot 2.0 के रूप में भी जाना जाता है, यहाँ उभरता हुआ समाधान है। यह बैकएंड में 802.1X और WPA2-Enterprise का उपयोग करता है, लेकिन डिवाइस प्रोविज़निंग प्रक्रिया को स्वचालित करता है। उपयोगकर्ता बिना किसी मैन्युअल नेटवर्क कॉन्फ़िगरेशन के अपने मौजूदा प्रोफाइल का उपयोग करके आसानी से ऑथेंटिकेट करते हैं। Purple इस इकोसिस्टम में एक पहचान प्रदाता के रूप में कार्य करता है, जो गेस्ट अनुभव और एंटरप्राइज़-ग्रेड सुरक्षा के बीच की खाई को पाटता है। आइए कुछ सर्वोत्तम प्रथाओं और सामान्य गलतियों पर बात करते हैं। 802.1X डिप्लॉयमेंट में हम जो सबसे बड़ी गलती देखते हैं, वह है सख्त प्रमाणपत्र सत्यापन लागू न करना। यदि आपके लैपटॉप RADIUS सर्वर के प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर नहीं हैं, तो आप Evil Twin हमले के प्रति संवेदनशील हैं। एक हैकर एक अनधिकृत एक्सेस पॉइंट स्थापित कर सकता है, आपके कॉर्पोरेट SSID को प्रसारित कर सकता है, और आपके डिवाइस आंख मूंदकर अपने हैश किए गए क्रेडेंशियल्स सौंप देंगे। प्रमाणपत्र ट्रस्ट लागू करने के लिए हमेशा Group Policy या MDM का उपयोग करें। यह गैर-परक्राम्य है। एक और चुनौती बिना स्क्रीन वाले (headless) IoT उपकरण हैं — प्रिंटर, स्कैनर, सेंसर — जो 802.1X का समर्थन नहीं करते हैं। इनके लिए, प्रशासक अक्सर MAC ऑथेंटिकेशन बाईपास, या MAB का उपयोग करते हैं। यहाँ बहुत सावधान रहें। MAC पतों को आसानी से स्पूफ किया जा सकता है। यदि आपको MAB का उपयोग करना ही है, तो सुनिश्चित करें कि उन उपकरणों को सख्त एक्सेस कंट्रोल लिस्ट (ACL) के साथ अत्यधिक प्रतिबंधित VLAN में रखा गया है। डिफ़ॉल्ट रूप से उन्हें अविश्वसनीय मानें। तीसरी सामान्य विफलता मोड उच्च-घनत्व वाले वातावरण में RADIUS टाइमआउट है। स्टेडियम और सम्मेलन केंद्र हजारों उपकरणों को एक साथ ऑथेंटिकेट करने का प्रयास करते हुए देख सकते हैं। यदि आपका RADIUS इन्फ्रास्ट्रक्चर लोड को नहीं संभाल सकता है, तो आपको ऑथेंटिकेशन टाइमआउट मिलता है, और उपयोगकर्ता कनेक्ट नहीं हो पाते हैं। सुनिश्चित करें कि आपके RADIUS सर्वर लोड-बैलेंस्ड हैं और आपके एक्सेस पॉइंट्स और ऑथेंटिकेशन सर्वर के बीच नेटवर्क पथ में न्यूनतम लेटेंसी है। यह वह जगह है जहाँ SD-WAN वितरित डिप्लॉयमेंट में एक महत्वपूर्ण भूमिका निभा सकता है, जो केंद्रीकृत ऑथेंटिकेशन सेवाओं के लिए विश्वसनीय कनेक्टिविटी सुनिश्चित करता है। अब, आइए प्रमुख निर्णय बिंदुओं का एक त्वरित रैपिड-फायर सारांश देखें। क्या आपको WPA2-Personal या WPA2-Enterprise का उपयोग करना चाहिए? यदि आपके पास दस से अधिक कर्मचारी हैं, तो Enterprise का उपयोग करें। RADIUS सर्वर के प्रबंधन का परिचालन ओवरहेड सुरक्षा लाभों की तुलना में बहुत कम है। क्या आपको PEAP या EAP-TLS का उपयोग करना चाहिए? यदि आपके पास MDM है और आप प्रमाणपत्र डिप्लॉय कर सकते हैं तो EAP-TLS का उपयोग करें। यदि आप Active Directory क्रेडेंशियल्स पर निर्भर हैं तो PEAP का उपयोग करें। और आप जो भी चुनें, हमेशा क्लाइंट साइड पर प्रमाणपत्र सत्यापन लागू करें। गेस्ट WiFi के बारे में क्या? मेहमानों को 802.1X पर न रखें। एक कैप्टिव पोर्टल समाधान का उपयोग करें। उनके डेटा को अनुपालन के साथ कैप्चर करें, उनके ट्रैफ़िक को विभाजित करें, और उन्हें अपने आंतरिक नेटवर्क से पूरी तरह से अलग रखें। क्या WPA3 प्रासंगिक है? बिल्कुल। WPA3-Enterprise सरकारी और वित्त जैसे उच्च-सुरक्षा वातावरण के लिए 192-बिट सुरक्षा मोड प्रदान करता है। यह बैकवर्ड कम्पैटिबल है, इसलिए अपने माइग्रेशन की योजना बनाना शुरू करें, विशेष रूप से नए डिप्लॉयमेंट के लिए। समापन के लिए: WPA2 और 802.1X एक ही चीज़ नहीं हैं, लेकिन एक एंटरप्राइज़ वातावरण में, वे एक साथ काम करते हैं। WPA2 डेटा को एन्क्रिप्ट करता है। 802.1X पहचान को ऑथेंटिकेट करता है। WPA2-Enterprise वह मोड है जो उन्हें जोड़ता है। कॉर्पोरेट नेटवर्क के लिए, यह संयोजन आधारभूत सुरक्षा आवश्यकता है। गेस्ट और सार्वजनिक WiFi के लिए, आपको एक अलग दृष्टिकोण की आवश्यकता है — जो उपयोगकर्ता अनुभव के साथ सुरक्षा को संतुलित करता है, और यही वह जगह है जहाँ Purple जैसे प्लेटफॉर्म महत्वपूर्ण मूल्य जोड़ते हैं। मुख्य निष्कर्ष: WPA2 एन्क्रिप्शन है; 802.1X ऑथेंटिकेशन है। WPA2-Enterprise के लिए 802.1X को लागू करने वाले एक RADIUS सर्वर की आवश्यकता होती है। Evil Twin हमलों को रोकने के लिए हमेशा प्रमाणपत्र सत्यापन लागू करें। अपने गेस्ट ट्रैफ़िक को अपने कॉर्पोरेट नेटवर्क से अलग करें। और सार्वजनिक स्थानों के लिए, एंटरप्राइज़ सुरक्षा और निर्बाध गेस्ट ऑनबोर्डिंग के बीच सेतु के रूप में Passpoint पर विचार करें। इस Purple टेक्निकल ब्रीफिंग में शामिल होने के लिए धन्यवाद। EAP विधियों, डिप्लॉयमेंट आर्किटेक्चर और अनुपालन फ्रेमवर्क पर अधिक विवरण के लिए, purple dot ai पर जाएं।

header_image.png

कार्यकारी सारांश

एंटरप्राइज़ वातावरण का प्रबंधन करने वाले IT निदेशकों और नेटवर्क आर्किटेक्ट्स के लिए, वेंडर दस्तावेज़ों में अक्सर WPA2 और 802.1X के बीच का अंतर स्पष्ट नहीं होता है। WPA2 एक सुरक्षा प्रमाणन कार्यक्रम है जो यह तय करता है कि वायरलेस डेटा को हवा में कैसे एन्क्रिप्ट किया जाए। इसके विपरीत, IEEE 802.1X एक पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) फ्रेमवर्क है जो यह तय करता है कि कोई उपयोगकर्ता या डिवाइस नेटवर्क पर अनुमति मिलने से पहले अपनी पहचान कैसे साबित करता है।

वे प्रतिस्पर्धी मानक नहीं हैं — वे एक सुरक्षित वायरलेस आर्किटेक्चर की पूरक परतें हैं। जब कोई एंटरप्राइज़ "WPA2-Enterprise" को डिप्लॉय करता है, तो वे स्वाभाविक रूप से एन्क्रिप्शन के लिए WPA2 और ऑथेंटिकेशन के लिए 802.1X को डिप्लॉय कर रहे होते हैं। अनधिकृत एक्सेस को कम करने, PCI-DSS और GDPR जैसे फ्रेमवर्क के अनुपालन को सुनिश्चित करने और वितरित स्थानों पर स्केलेबल बुनियादी ढांचे को डिप्लॉय करने के लिए यह समझना महत्वपूर्ण है कि ये प्रोटोकॉल कैसे इंटरैक्ट करते हैं। यह गाइड दोनों मानकों की कार्यप्रणाली का विश्लेषण करती है, वेंडर-तटस्थ कार्यान्वयन रणनीतियाँ प्रदान करती है, और विवरण देती है कि कैसे Purple के Guest WiFi जैसे आधुनिक प्लेटफॉर्म इन सुरक्षित आर्किटेक्चर में आसानी से एकीकृत होते हैं।

तकनीकी गहन विश्लेषण: मानकों का विश्लेषण

एक सुरक्षित वायरलेस नेटवर्क को डिजाइन करने के लिए, डेटा गोपनीयता (एन्क्रिप्शन) और पहचान सत्यापन (ऑथेंटिकेशन) की अवधारणाओं को अलग करना होगा। ये अलग-अलग समस्याएं हैं, जिन्हें अलग-अलग मानकों द्वारा हल किया जाता है, जो क्रम में काम करते हैं।

WPA2: एन्क्रिप्शन मानक

WPA2 वायरलेस कंप्यूटर नेटवर्क को सुरक्षित करने के लिए Wi-Fi Alliance द्वारा विकसित एक प्रमाणन कार्यक्रम है। यह IEEE 802.11i मानक पर आधारित है। इसका प्राथमिक कार्य यह सुनिश्चित करना है कि क्लाइंट डिवाइस (सप्लिकेंट) और एक्सेस पॉइंट (ऑथेंटिकेटर) के बीच प्रसारित डेटा को दुर्भावनापूर्ण तत्वों द्वारा इंटरसेप्ट और पढ़ा न जा सके।

WPA2, CCMP (काउंटर मोड सिफर ब्लॉक चेनिंग मैसेज ऑथेंटिकेशन कोड प्रोटोकॉल) के साथ संयुक्त AES (उन्नत एन्क्रिप्शन मानक) के उपयोग को अनिवार्य बनाता है। इसने मूल WPA मानक में उपयोग किए जाने वाले कमजोर TKIP सिफर को बदल दिया। WPA2 दो प्राथमिक मोड में काम करता है: WPA2-Personal (PSK), जो एक प्री-शेयर्ड की (Pre-Shared Key) का उपयोग करता है जहां प्रत्येक डिवाइस एन्क्रिप्शन की उत्पन्न करने के लिए एक ही पासवर्ड का उपयोग करता है, और WPA2-Enterprise, जो एक 802.1X ऑथेंटिकेशन सर्वर के साथ एकीकृत होता है और प्रत्येक व्यक्तिगत सत्र के लिए अद्वितीय, गतिशील एन्क्रिप्शन की उत्पन्न करता है।

WPA2-Personal की गंभीर कमजोरी यह है कि एक भी समझौता किया गया PSK पूरे नेटवर्क को खतरे में डाल देता है। 400 स्थानों की एक रिटेल श्रृंखला में, प्रत्येक AP और प्रत्येक डिवाइस पर PSK को बदलना परिचालन रूप से अत्यधिक कठिन है। 802.1X द्वारा समर्थित WPA2-Enterprise इस समस्या को पूरी तरह से समाप्त कर देता है।

802.1X: ऑथेंटिकेशन फ्रेमवर्क

IEEE 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक मानक है। मूल रूप से वायर्ड ईथरनेट के लिए डिज़ाइन किया गया, इसे मजबूत, प्रति-उपयोगकर्ता ऑथेंटिकेशन प्रदान करने के लिए वायरलेस नेटवर्क के लिए अनुकूलित किया गया था। यह डेटा को एन्क्रिप्ट नहीं करता है — यह एक डिजिटल गेटकीपर के रूप में कार्य करता है, नेटवर्क पोर्ट को तार्किक रूप से तब तक "बंद" रखता है जब तक कि डिवाइस एक केंद्रीकृत ऑथेंटिकेशन सर्वर पर अपनी पहचान साबित नहीं कर देता।

architecture_overview.png

802.1X फ्रेमवर्क तीन भूमिकाओं पर बनाया गया है। सप्लिकेंट क्लाइंट डिवाइस (लैपटॉप, स्मार्टफोन, IoT सेंसर) है जो नेटवर्क एक्सेस का अनुरोध करता है। ऑथेंटिकेटर नेटवर्क एक्सेस डिवाइस है — आमतौर पर एक वायरलेस एक्सेस पॉइंट या प्रबंधित स्विच — जो स्वयं एक्सेस का निर्णय लिए बिना ऑथेंटिकेशन एक्सचेंज की सुविधा प्रदान करता है। ऑथेंटिकेशन सर्वर (आमतौर पर एक RADIUS सर्वर) केंद्रीकृत प्रणाली है जो Active Directory या LDAP जैसी निर्देशिका के विरुद्ध सप्लिकेंट के क्रेडेंशियल्स को सत्यापित करती है और एक्सेस का निर्णय जारी करती है।

802.1X सप्लिकेंट और ऑथेंटिकेशन सर्वर के बीच ऑथेंटिकेशन डेटा को स्थानांतरित करने के लिए एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल (EAP) पर निर्भर करता है। EAP अत्यधिक लचीला है, जो कई आंतरिक तरीकों का समर्थन करता है। EAP-TLS पारस्परिक प्रमाणपत्र-आधारित ऑथेंटिकेशन का उपयोग करता है और इसे ज़ीरो-ट्रस्ट वातावरण के लिए स्वर्ण मानक माना जाता है। PEAP क्रेडेंशियल्स को एक TLS टनल के भीतर समाहित करता है, जिसके लिए केवल सर्वर-साइड प्रमाणपत्र की आवश्यकता होती है। इन तरीकों की विस्तृत तुलना के लिए, हमारी गाइड EAP-TLS बनाम PEAP: आपके नेटवर्क के लिए कौन सा ऑथेंटिकेशन प्रोटोकॉल सही है? देखें।

WPA2 और 802.1X एक साथ कैसे काम करते हैं

जब कोई डिवाइस WPA2-Enterprise SSID से कनेक्ट होता है, तो निम्नलिखित क्रम होता है। पहला, डिवाइस AP के साथ जुड़ता है, लेकिन AP 802.1X EAP संदेशों को छोड़कर अन्य सभी ट्रैफ़िक को ब्लॉक कर देता है। दूसरा, डिवाइस और RADIUS सर्वर AP के माध्यम से क्रेडेंशियल्स का आदान-प्रदान करते हैं — यह 802.1X ऑथेंटिकेशन चरण है। सफल होने पर, RADIUS सर्वर AP को एक "Access-Accept" संदेश भेजता है, साथ ही एक मास्टर सेशन की (MSK) भी भेजता है। तीसरा, AP और डिवाइस MSK का उपयोग करके WPA2 4-वे हैंडशेक करते हैं, जिससे AES-CCMP के माध्यम से उस सत्र के डेटा ट्रैफ़िक को एन्क्रिप्ट करने के लिए उपयोग की जाने वाली विशिष्ट पेयरवाइज ट्रांजिएंट की (PTK) प्राप्त होती है। अंत में, पोर्ट "खुल" जाता है, और एन्क्रिप्टेड डेटा प्रवाहित होता है। प्रत्येक उपयोगकर्ता के पास एक अद्वितीय एन्क्रिप्शन की होती है, जिसका अर्थ है कि एक उपयोगकर्ता के ट्रैफ़िक को कैप्चर करने से दूसरे के बारे में कोई जानकारी नहीं मिलती है।

comparison_chart.png

कार्यान्वयन गाइड: अपने वेन्यू के लिए आर्किटेक्चर तैयार करना

इन मानकों को डिप्लॉय करने के लिए तकनीकी क्षमताओं को व्यावसायिक आवश्यकताओं के साथ संरेखित करने की आवश्यकता होती है। वेन्यू के प्रकार और उपयोगकर्ता जनसांख्यिकी के आधार पर दृष्टिकोण काफी भिन्न होता है।

deployment_decision_matrix.png

कॉर्पोरेट कार्यालय: ज़ीरो ट्रस्ट आर्किटेक्चर

ISO 27001 या Cyber Essentials+ अनुपालन का लक्ष्य रखने वाले संगठनों के लिए, अनुशंसित डिप्लॉयमेंट EAP-TLS का उपयोग करके 802.1X के साथ WPA2-Enterprise (या नए निर्माणों के लिए WPA3-Enterprise) है। इसके लिए Microsoft Intune या Jamf जैसे MDM समाधान के माध्यम से सभी कॉर्पोरेट उपकरणों पर डिजिटल प्रमाणपत्र डिप्लॉय करने की आवश्यकता होती है। यह पासवर्ड-आधारित कमजोरियों को पूरी तरह से समाप्त कर देता है — केवल कंपनी के स्वामित्व वाले, प्रबंधित डिवाइस ही ऑथेंटिकेट कर सकते हैं। अप्रबंधित या व्यक्तिगत उपकरणों को स्वचालित रूप से एक खंडित गेस्ट SSID में भेज दिया जाता है। RADIUS विशेषताओं के माध्यम से गतिशील VLAN असाइनमेंट भूमिका के आधार पर आगे के विभाजन की अनुमति देता है: IT प्रशासकों, सामान्य कर्मचारियों और ठेकेदारों को एक ही SSID से उपयुक्त ACL के साथ अलग-अलग VLAN में असाइन किया जा सकता है।

रिटेल श्रृंखला: PCI-DSS के लिए खंडित सुरक्षा

एक बड़ी रिटेल श्रृंखला के लिए, चुनौती दोहरे उद्देश्य वाली है: PCI-DSS अनुपालन के लिए PoS टर्मिनलों को सुरक्षित करना और साथ ही लॉयल्टी प्रोग्राम साइन-अप को बढ़ावा देने के लिए निर्बाध गेस्ट एक्सेस की पेशकश करना। आर्किटेक्चर को एक ही भौतिक बुनियादी ढांचे पर दो अलग-अलग सुरक्षा स्थितियों की आवश्यकता होती है। कर्मचारियों और PoS SSID को 802.1X के साथ WPA2-Enterprise का उपयोग करना चाहिए (कर्मचारियों के लिए Active Directory से जुड़े PEAP-MSCHAPv2, PoS टर्मिनलों के लिए मशीन प्रमाणपत्रों के साथ EAP-TLS)। यह व्यक्तिगत जवाबदेही सुनिश्चित करता है और PoS ट्रैफ़िक को पूरी तरह से अलग, PCI-अनुपालन VLAN पर रखता है। गेस्ट SSID एक ओपन नेटवर्क का उपयोग करता है जो सीधे एक कैप्टिव पोर्टल पर रूट होता है। Purple का WiFi Analytics प्लेटफॉर्म सोशल लॉगिन या फॉर्म फिल के माध्यम से गेस्ट ऑथेंटिकेशन को संभालता है, PoS वातावरण से पूर्ण नेटवर्क विभाजन बनाए रखते हुए GDPR के तहत अनुपालन के साथ फर्स्ट-पार्टी डेटा कैप्चर करता है।

हॉस्पिटैलिटी और सार्वजनिक स्थान: बड़े पैमाने पर निर्बाध ऑनबोर्डिंग

हॉस्पिटैलिटी वातावरण — होटल, सम्मेलन केंद्र, स्टेडियम — के लिए 802.1X उन अस्थायी मेहमानों के लिए परिचालन रूप से बहुत जटिल है जिनका कॉर्पोरेट निर्देशिका के साथ कोई संबंध नहीं है। इस उपयोग के मामले के लिए उभरता हुआ मानक Passpoint (Hotspot 2.0) है, जो बैकएंड में 802.1X और WPA2-Enterprise का उपयोग करता है लेकिन डिवाइस प्रोविज़निंग प्रक्रिया को स्वचालित करता है। Purple, Connect लाइसेंस के तहत OpenRoaming जैसी सेवाओं के लिए एक मुफ्त पहचान प्रदाता के रूप में कार्य करता है, जिससे मेहमानों को बिना किसी मैन्युअल नेटवर्क कॉन्फ़िगरेशन के अपने मौजूदा प्रोफाइल का उपयोग करके आसानी से ऑथेंटिकेट करने की अनुमति मिलती है। परिवहन और सार्वजनिक क्षेत्र के स्थानों के लिए, यह दृष्टिकोण ऑथेंटिकेशन प्रवाह में सीधे सहमति प्रबंधन को एकीकृत करके GDPR डेटा कैप्चर आवश्यकताओं के अनुपालन का भी समर्थन करता है।

एंटरप्राइज़ डिप्लॉयमेंट के लिए सर्वोत्तम प्रथाएं

सभी सप्लिकेंट्स पर सख्त प्रमाणपत्र सत्यापन लागू करें। PEAP का उपयोग करते समय, सुनिश्चित करें कि क्लाइंट डिवाइस RADIUS सर्वर के प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर किए गए हैं। ऐसा न करने पर नेटवर्क Evil Twin हमलों के प्रति संवेदनशील हो जाता है, जहां एक अनधिकृत AP उन उपकरणों से क्रेडेंशियल्स एकत्र करता है जो EAP चुनौती पेश करने वाले किसी भी सर्वर पर आंख मूंदकर भरोसा करते हैं। इस कॉन्फ़िगरेशन को Group Policy या MDM के माध्यम से डिप्लॉय करें — इस निर्णय को मैन्युअल रूप से लेने के लिए अंतिम उपयोगकर्ताओं पर कभी निर्भर न रहें।

गतिशील VLAN असाइनमेंट लागू करें। सफल 802.1X ऑथेंटिकेशन पर उपयोगकर्ताओं को उनकी Active Directory समूह सदस्यता के आधार पर विशिष्ट VLAN में असाइन करने के लिए RADIUS विशेषताओं (विशेष रूप से Tunnel-Type, Tunnel-Medium-Type, और Tunnel-Private-Group-ID) का लाभ उठाएं। यह प्रत्येक उपयोगकर्ता वर्ग के लिए अलग SSID की आवश्यकता के बिना भूमिका-आधारित नेटवर्क विभाजन को सक्षम बनाता है।

पुरानी सिफर सुइट्स को हटा दें। सुनिश्चित करें कि सभी वायरलेस कंट्रोलर और एक्सेस पॉइंट पर TKIP और WEP पूरी तरह से अक्षम हैं। दोनों क्रिप्टोग्राफिक रूप से असुरक्षित हैं। WPA2 का विज्ञापन करने वाला लेकिन TKIP फ़ॉलबैक की अनुमति देने वाला नेटवर्क WEP की तुलना में सार्थक रूप से अधिक सुरक्षित नहीं है।

उच्च-घनत्व वाले वातावरण के लिए RADIUS क्षमता की योजना बनाएं। स्टेडियमों, सम्मेलन केंद्रों और बड़े स्वास्थ्य सेवा परिसरों में, हजारों डिवाइस एक साथ ऑथेंटिकेट करने का प्रयास कर सकते हैं। सुनिश्चित करें कि RADIUS इन्फ्रास्ट्रक्चर लोड-बैलेंस्ड है और APs और ऑथेंटिकेशन सर्वर के बीच नेटवर्क पथों में 10ms से कम की लेटेंसी है। वितरित डिप्लॉयमेंट के लिए कनेक्टिविटी विश्वसनीयता एक प्रमुख विचार है — केंद्रीकृत ऑथेंटिकेशन सेवाओं के लिए लचीले WAN पथ सुनिश्चित करने के मार्गदर्शन के लिए आधुनिक व्यवसायों के लिए मुख्य SD-WAN लाभ देखें।

समस्या निवारण और जोखिम शमन

मूक विफलता (The Silent Failure)। एक डिवाइस कनेक्ट होने में विफल रहता है, लेकिन उपयोगकर्ता को कोई सार्थक त्रुटि संदेश नहीं मिलता है। यह लगभग हमेशा एक प्रमाणपत्र ट्रस्ट समस्या होती है — सप्लिकेंट RADIUS सर्वर के प्रमाणपत्र को अस्वीकार कर रहा होता है। शमन: सुनिश्चित करें कि RADIUS प्रमाणपत्र जारी करने वाला Root CA, GPO या MDM के माध्यम से सभी क्लाइंट उपकरणों में वितरित किया गया है, और वायरलेस प्रोफ़ाइल को इस पर भरोसा करने के लिए पहले से कॉन्फ़िगर किया गया है।

RADIUS टाइमआउट। AP ट्रैफ़िक को फॉरवर्ड करना बंद कर देता है क्योंकि RADIUS सर्वर प्रतिक्रिया टाइमआउट सीमा को पार गया है। शमन: RADIUS सर्वर रिडंडेंसी (प्राथमिक और द्वितीयक) लागू करें, सुनिश्चित करें कि ऑथेंटिकेशन सर्वर किसी भीड़भाड़ वाले नेटवर्क सेगमेंट पर स्थित नहीं है, और AP के RADIUS टाइमआउट और पुनः प्रयास मापदंडों को उचित रूप से ट्यून करें।

MAC ऑथेंटिकेशन बाईपास (MAB) कमजोरियां। बिना स्क्रीन वाले (headless) IoT उपकरणों के लिए जो 802.1X सप्लिकेंट नहीं चला सकते हैं, प्रशासक अक्सर MAB का सहारा लेते हैं, जो MAC पते के आधार पर ऑथेंटिकेट करता है। MAC पतों को आसानी से स्पूफ किया जा सकता है। शमन: सभी MAB-ऑथेंटिकेटेड उपकरणों को अत्यधिक प्रतिबंधित, अलग किए गए VLAN में रखें, जिसमें सख्त ACL हों जो केवल डिवाइस संचालन के लिए आवश्यक विशिष्ट ट्रैफ़िक प्रवाह की अनुमति देते हैं। डिफ़ॉल्ट रूप से सभी MAB उपकरणों को अविश्वसनीय मानें।

Evil Twin हमले। एक अनधिकृत AP कॉर्पोरेट SSID को प्रसारित करता है और उन उपकरणों से क्रेडेंशियल्स एकत्र करता है जो सर्वर प्रमाणपत्र को सत्यापित नहीं करते हैं। शमन: प्रमाणपत्र सत्यापन लागू करें (जैसा कि ऊपर बताया गया है) और वायरलेस LAN कंट्रोलर पर अनधिकृत AP डिटेक्शन डिप्लॉय करें। अधिकांश एंटरप्राइज़-ग्रेड कंट्रोलर में यह क्षमता मूल रूप से शामिल होती है।

ROI और व्यावसायिक प्रभाव

WPA2-Personal से 802.1X-समर्थित WPA2-Enterprise आर्किटेक्चर पर जाने के लिए RADIUS इन्फ्रास्ट्रक्चर और, EAP-TLS डिप्लॉयमेंट के लिए, एक PKI (पब्लिक की इन्फ्रास्ट्रक्चर) में निवेश की आवश्यकता होती है। हालांकि, इसका व्यावसायिक लाभ सम्मोहक है।

जोखिम में कमी इसका प्राथमिक चालक है। साझा PSK को समाप्त करने से वायरलेस नेटवर्क में सबसे बड़ा हमला करने का जरिया खत्म हो जाता है। जब कोई कर्मचारी नौकरी छोड़ता है, तो उनकी विशिष्ट पहुंच को Active Directory में केंद्रीय रूप से रद्द कर दिया जाता है — संभावित रूप से हजारों एक्सेस पॉइंट्स पर PSK को बदलने की कोई आवश्यकता नहीं होती है। 400 स्थानों वाले रिटेल एस्टेट में परिचालन लागत की बचत महत्वपूर्ण है।

अनुपालन सक्षमता इसका द्वितीयक चालक है। PCI-DSS आवश्यकता 8 अद्वितीय उपयोगकर्ता ID और व्यक्तिगत जवाबदेही को अनिवार्य बनाती है। 802.1X इसे मूल रूप से प्रदान करता है। एक्सेस कंट्रोल और ऑडिट लॉगिंग के लिए HIPAA की तकनीकी सुरक्षा आवश्यकताएं भी RADIUS अकाउंटिंग लॉग में 802.1X के प्रति-उपयोगकर्ता ऑथेंटिकेशन रिकॉर्ड द्वारा पूरी की जाती हैं।

बड़े पैमाने पर परिचालन दक्षता इसका दीर्घकालिक लाभ है। केंद्रीय निर्देशिका एकीकरण के माध्यम से दैनिक प्रबंधन को सुव्यवस्थित किया जाता है। नए कर्मचारियों को उनके AD खाते के बनते ही नेटवर्क एक्सेस मिल जाता है। नौकरी छोड़ने वालों की पहुंच खाता अक्षम होते ही समाप्त हो जाती है। भूले हुए WiFi पासवर्ड के लिए कोई हेल्पडेस्क टिकट नहीं।

एन्क्रिप्शन (WPA2) को ऑथेंटिकेशन (802.1X) से अलग करके, एंटरप्राइज़ IT टीमें ऐसे वायरलेस नेटवर्क बनाती हैं जो स्केलेबल, ऑडिट योग्य और लचीले होते हैं — जो सबसे कठिन कॉर्पोरेट सुरक्षा स्थितियों और सबसे निर्बाध गेस्ट अनुभवों दोनों का समर्थन करने में सक्षम होते हैं।

मुख्य परिभाषाएं

WPA2 (Wi-Fi Protected Access 2)

IEEE 802.11i पर आधारित एक Wi-Fi Alliance प्रमाणन कार्यक्रम जो पारगमन में वायरलेस डेटा के लिए AES-CCMP एन्क्रिप्शन को अनिवार्य बनाता है।

वायरलेस कंट्रोलर पर SSID को कॉन्फ़िगर करते समय IT टीमों का इससे सामना होता है। WPA2-Personal और WPA2-Enterprise के बीच का चुनाव यह निर्धारित करता है कि ऑथेंटिकेशन एक साझा पासवर्ड द्वारा संभाला जाता है या 802.1X सर्वर द्वारा।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक IEEE मानक जो नेटवर्क से कनेक्ट करने का प्रयास करने वाले उपकरणों के लिए एक ऑथेंटिकेशन फ्रेमवर्क प्रदान करता है।

वायरलेस कंट्रोलर और स्विच पर RADIUS एकीकरण को कॉन्फ़िगर करते समय संदर्भित किया जाता है। यह अंतर्निहित तंत्र है जो WPA2-Enterprise को प्रति-उपयोगकर्ता ऑथेंटिकेशन प्रदान करने में सक्षम बनाता है।

सप्लिकेंट

क्लाइंट डिवाइस (लैपटॉप, स्मार्टफोन, IoT सेंसर) जो 802.1X ऑथेंटिकेशन एक्सचेंज शुरू करता है और क्रेडेंशियल्स या प्रमाणपत्र प्रदान करता है।

समस्या निवारण में, सप्लिकेंट अक्सर कॉन्फ़िगरेशन समस्याओं का स्रोत होता है — विशेष रूप से वायरलेस नेटवर्क प्रोफ़ाइल में प्रमाणपत्र सत्यापन सेटिंग्स के आसपास।

ऑथेंटिकेटर

नेटवर्क एक्सेस डिवाइस (आमतौर पर एक वायरलेस AP या प्रबंधित स्विच) जो स्वयं एक्सेस का निर्णय लिए बिना सप्लिकेंट और ऑथेंटिकेशन सर्वर के बीच EAP संदेशों को रिले करता है।

ऑथेंटिकेटर तब तक सभी गैर-EAP ट्रैफ़िक को ब्लॉक करता है जब तक कि उसे RADIUS सर्वर से Access-Accept प्राप्त नहीं हो जाता, जिसके बाद यह लॉजिकल पोर्ट खोलता है।

RADIUS (Remote Authentication Dial-In User Service)

एक केंद्रीकृत AAA (ऑथेंटिकेशन, ऑथराइजेशन और अकाउंटिंग) प्रोटोकॉल सर्वर जो क्रेडेंशियल्स को सत्यापित करता है, नीतियों को लागू करता है, और एक्सेस घटनाओं को लॉग करता है।

RADIUS सर्वर किसी भी 802.1X डिप्लॉयमेंट की रीढ़ है। यह Active Directory या LDAP के साथ एकीकृत होता है और सफल ऑथेंटिकेशन पर गतिशील VLAN असाइनमेंट और अन्य नीति विशेषताएं वापस करता है।

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

एक प्रमाणपत्र-आधारित EAP तरीका जिसके लिए क्लाइंट और सर्वर दोनों पर डिजिटल प्रमाणपत्र की आवश्यकता होती है, जो पारस्परिक ऑथेंटिकेशन प्रदान करता है।

सबसे सुरक्षित EAP तरीका माना जाता है। ज़ीरो-ट्रस्ट कॉर्पोरेट वातावरण में उपयोग किया जाता है जहां उपकरणों को MDM के माध्यम से प्रबंधित किया जाता है और प्रमाणपत्र स्वचालित रूप से डिप्लॉय किए जा सकते हैं।

PEAP (Protected Extensible Authentication Protocol)

एक EAP तरीका जो आंतरिक ऑथेंटिकेशन एक्सचेंज को एक TLS टनल के भीतर समाहित करता है, जिसके लिए केवल सर्वर-साइड प्रमाणपत्र की आवश्यकता होती है।

BYOD और मिश्रित-डिवाइस वातावरण में व्यापक रूप से डिप्लॉय किया जाता है क्योंकि यह उपयोगकर्ताओं को क्लाइंट प्रमाणपत्रों की आवश्यकता के बिना मानक AD क्रेडेंशियल्स के साथ ऑथेंटिकेट करने की अनुमति देता है।

AES-CCMP

WPA2 में अनिवार्य एन्क्रिप्शन सिफर सुइट, जो डेटा गोपनीयता और अखंडता के लिए CCMP प्रोटोकॉल के साथ AES ब्लॉक सिफर को जोड़ता है।

IT टीमों को यह सुनिश्चित करना चाहिए कि सभी APs और क्लाइंट डिवाइस AES-CCMP का समर्थन करते हैं। TKIP फ़ॉलबैक की अनुमति देने वाला कोई भी डिप्लॉयमेंट WPA2 की सुरक्षा गारंटी को कमजोर करता है।

4-वे हैंडशेक

एक क्लाइंट डिवाइस और एक एक्सेस पॉइंट के बीच WPA2 क्रिप्टोग्राफिक एक्सचेंज जो डेटा ट्रैफ़िक को एन्क्रिप्ट करने के लिए उपयोग की जाने वाली सत्र-विशिष्ट पेयरवाइज ट्रांजिएंट की (PTK) प्राप्त करता है।

सफल 802.1X ऑथेंटिकेशन के बाद होता है, जिसमें RADIUS सर्वर द्वारा प्रदान की गई मास्टर सेशन की का उपयोग किया जाता है। प्रत्येक उपयोगकर्ता की PTK अद्वितीय होती है, जो सत्रों के बीच ट्रैफ़िक अलगाव सुनिश्चित करती है।

कैप्टिव पोर्टल

सार्वजनिक या गेस्ट WiFi नेटवर्क तक पहुंच प्रदान करने से पहले उपयोगकर्ताओं को प्रस्तुत किया जाने वाला एक वेब-आधारित ऑथेंटिकेशन या सहमति पृष्ठ।

हॉस्पिटैलिटी, रिटेल और सार्वजनिक स्थानों पर उपयोग किया जाता है जहां अस्थायी उपयोगकर्ताओं के लिए 802.1X अव्यावहारिक है। Purple के Guest WiFi जैसे प्लेटफॉर्म कॉर्पोरेट बुनियादी ढांचे से गेस्ट ट्रैफ़िक को अलग रखते हुए अनुपालन के साथ फर्स्ट-पार्टी डेटा कैप्चर करने के लिए कैप्टिव पोर्टल का उपयोग करते हैं।

हल किए गए उदाहरण

एक 400-स्थानों वाली रिटेल श्रृंखला वर्तमान में स्टाफ टैबलेट और PoS टर्मिनलों दोनों पर साझा किए गए एक एकल WPA2-Personal पासवर्ड (PSK) का उपयोग करती है। वे आवश्यकता 8 (अद्वितीय उपयोगकर्ता ID) और आवश्यकता 1 (नेटवर्क विभाजन) के तहत अपने PCI-DSS ऑडिट में विफल हो रहे हैं। उन्हें मौजूदा गेस्ट WiFi कैप्टिव पोर्टल को बाधित किए बिना आंतरिक नेटवर्क को सुरक्षित करने की आवश्यकता है। उन्हें अपने वायरलेस सुरक्षा को फिर से कैसे डिजाइन करना चाहिए?

चरण 1: कॉर्पोरेट Active Directory के साथ एकीकृत एक RADIUS सर्वर (जैसे, Cisco ISE, Microsoft NPS, या FreeRADIUS) डिप्लॉय करें। एक वितरित एस्टेट के लिए, दूरस्थ स्थानों पर ऑथेंटिकेशन लेटेंसी को कम करने के लिए क्षेत्रीय केंद्रों पर RADIUS प्रॉक्सी डिप्लॉय करें।

चरण 2: WPA2-Enterprise का उपयोग करने के लिए सभी वायरलेस कंट्रोलर पर कॉर्पोरेट SSID को पुनर्गठित करें। स्टाफ टैबलेट के लिए PEAP-MSCHAPv2 (AD उपयोगकर्ता क्रेडेंशियल्स के विरुद्ध ऑथेंटिकेट करने वाले) और PoS टर्मिनलों के लिए मशीन प्रमाणपत्रों (MDM के माध्यम से डिप्लॉय किए गए) के साथ EAP-TLS के साथ 802.1X को कॉन्फ़िगर करें।

चरण 3: गतिशील VLAN असाइनमेंट विशेषताओं को वापस करने के लिए RADIUS सर्वर को कॉन्फ़िगर करें। स्टाफ टैबलेट को एक स्टाफ VLAN में असाइन किया जाता है; PoS टर्मिनलों को एक सख्त रूप से अलग किए गए PCI VLAN में असाइन किया जाता है जिसमें ACL केवल भुगतान प्रोसेसर की IP सीमा तक ट्रैफ़िक की अनुमति देते हैं।

चरण 4: गेस्ट SSID को अपरिवर्तित छोड़ दें। यह ओपन रहता है (या सार्वजनिक रूप से ज्ञात PSK के साथ WPA2-Personal) लेकिन इसे एक अलग VLAN पर मैप किया जाता है जो सीधे Purple गेस्ट WiFi कैप्टिव पोर्टल पर रूट होता है। गेस्ट ट्रैफ़िक कभी भी PCI VLAN को नहीं छूता है।

चरण 5: प्रति-उपयोगकर्ता ऑथेंटिकेशन लॉग उत्पन्न करने के लिए सभी APs पर RADIUS अकाउंटिंग सक्षम करें, जो PCI-DSS ऑडिट ट्रेल आवश्यकताओं को पूरा करता है।

परीक्षक की टिप्पणी: यह आर्किटेक्चर सीधे दोनों PCI-DSS विफलताओं का समाधान करता है। 802.1X पर जाने से व्यक्तिगत जवाबदेही प्रदान करके आवश्यकता 8 पूरी होती है — प्रत्येक स्टाफ सदस्य अपने स्वयं के AD क्रेडेंशियल्स के साथ ऑथेंटिकेट करता है, और प्रत्येक PoS टर्मिनल एक अद्वितीय मशीन प्रमाणपत्र के साथ ऑथेंटिकेट करता है। गतिशील VLAN असाइनमेंट यह सुनिश्चित करके आवश्यकता 1 को पूरा करता है कि PoS ट्रैफ़िक नेटवर्क परत पर अलग रहे। गेस्ट WiFi अंतिम-उपयोगकर्ता के दृष्टिकोण से परिचालन रूप से अपरिवर्तित रहता है, लेकिन अब इसे औपचारिक रूप से एक अलग, खंडित नेटवर्क के रूप में प्रलेखित किया गया है — जो सार्वजनिक नेटवर्क से कार्डधारक डेटा वातावरण को अलग करने की PCI-DSS आवश्यकता को भी पूरा करता है।

एक विश्वविद्यालय परिसर क्रेडेंशियल हार्वेस्टिंग हमलों का सामना कर रहा है। छात्र आधिकारिक 'CampusNet' SSID प्रसारित करने वाले अनधिकृत एक्सेस पॉइंट्स से जुड़ रहे हैं। नेटवर्क PEAP-MSCHAPv2 के साथ WPA2-Enterprise का उपयोग करता है, लेकिन छात्र उपकरणों को RADIUS सर्वर प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर नहीं किया गया है। हमला करने का जरिया (attack vector) क्या है, और नेटवर्क टीम को इसका समाधान कैसे करना चाहिए?

यह हमला एक Evil Twin है। हमलावर अधिक सिग्नल शक्ति के साथ 'CampusNet' प्रसारित करने वाला एक अनधिकृत AP डिप्लॉय करता है। छात्र उपकरण, जो PEAP चुनौती पेश करने वाले किसी भी सर्वर पर भरोसा करने के लिए कॉन्फ़िगर किए गए हैं, अनधिकृत AP से जुड़ते हैं और PEAP हैंडशेक पूरा करते हैं, जिससे उनके हैश किए गए AD क्रेडेंशियल्स हमलावर के सर्वर पर प्रसारित हो जाते हैं।

समाधान चरण 1: उस Root CA की पहचान करें जिसने RADIUS सर्वर का TLS प्रमाणपत्र जारी किया था। यदि आंतरिक CA का उपयोग कर रहे हैं, तो सुनिश्चित करें कि यह CA प्रमाणपत्र सभी छात्रों और कर्मचारियों के उपकरणों में वितरित किया गया है।

समाधान चरण 2: एक वायरलेस नेटवर्क प्रोफ़ाइल बनाएं (विश्वविद्यालय द्वारा प्रबंधित उपकरणों के लिए MDM के माध्यम से, या BYOD के लिए डाउनलोड करने योग्य कॉन्फ़िगरेशन प्रोफ़ाइल) जो निर्दिष्ट करती है: (a) सत्यापित करने के लिए सटीक RADIUS सर्वर होस्टनाम, (b) विश्वसनीय Root CA, और (c) 'Validate Server Certificate' फ़्लैग को सही (true) पर सेट किया गया है।

समाधान चरण 3: वायरलेस LAN कंट्रोलर्स पर अनधिकृत AP डिटेक्शन डिप्लॉय करें। 'CampusNet' प्रसारित करने वाले किसी भी AP के लिए अलर्ट कॉन्फ़िगर करें जो अधिकृत AP इन्वेंट्री में नहीं है।

समाधान चरण 4: BYOD उपकरणों के लिए, एक ऑनबोर्डिंग टूल (जैसे Cloudpath या Cisco ISE का BYOD पोर्टल) डिप्लॉय करने पर विचार करें जो सप्लिकेंट कॉन्फ़िगरेशन को स्वचालित करता है, जिससे अंतिम उपयोगकर्ताओं का बोझ कम हो जाता है।

परीक्षक की टिप्पणी: क्लाइंट-साइड प्रमाणपत्र सत्यापन अक्षम होने पर PEAP मौलिक रूप से क्रेडेंशियल हार्वेस्टिंग के प्रति संवेदनशील होता है। PEAP टनल आंतरिक क्रेडेंशियल्स को निष्क्रिय ईव्सड्रॉपिंग से बचाता है, लेकिन यह एक सक्रिय हमलावर को अनधिकृत सर्वर पर TLS टनल को समाप्त करने से रोकने के लिए कुछ नहीं करता है। सर्वर प्रमाणपत्र सत्यापन लागू करने का अर्थ है कि सप्लिकेंट क्रेडेंशियल्स प्रसारित करने से पहले RADIUS सर्वर की पहचान की पुष्टि करता है — अनधिकृत AP वैध RADIUS सर्वर के होस्टनाम के लिए एक वैध प्रमाणपत्र प्रस्तुत नहीं कर सकता है, इसलिए कनेक्शन अस्वीकार कर दिया जाता है। PEAP चलाने वाले किसी भी संगठन के लिए यह उपलब्ध सबसे प्रभावशाली एकल कॉन्फ़िगरेशन परिवर्तन है।

अभ्यास प्रश्न

Q1. आपका संगठन 50 कार्यालय स्थानों पर WPA2-Personal से WPA2-Enterprise पर माइग्रेट कर रहा है। पायलट परीक्षण के दौरान, उपयोगकर्ता रिपोर्ट करते हैं कि उनके Windows लैपटॉप पर उपयोगकर्ता नाम और पासवर्ड दर्ज करने से पहले 'प्रमाणपत्र स्वीकार करें' (Accept a Certificate) पूछने वाला एक संकेत प्रदर्शित होता है। कई उपयोगकर्ता 'अस्वीकार करें' (Reject) पर क्लिक करते हैं और कनेक्ट नहीं हो पाते हैं। इस व्यवहार का क्या कारण है, और पूर्ण रोलआउट से पहले इसका समाधान कैसे किया जाना चाहिए?

संकेत: PEAP ऑथेंटिकेशन में सप्लिकेंट की भूमिका पर विचार करें और क्रेडेंशियल्स प्रसारित करने से पहले यह RADIUS सर्वर की पहचान को कैसे सत्यापित करता है।

मॉडल उत्तर देखें

Windows सप्लिकेंट PEAP TLS हैंडशेक के हिस्से के रूप में सर्वर प्रमाणपत्र सत्यापन कर रहा है। चूंकि RADIUS सर्वर का प्रमाणपत्र एक आंतरिक CA द्वारा जारी किया गया था जो डिवाइस के विश्वसनीय रूट स्टोर में नहीं है, इसलिए Windows उपयोगकर्ता को इसे मैन्युअल रूप से स्वीकार करने के लिए संकेत देता है। प्रमाणपत्र स्वीकार करने के लिए उपयोगकर्ताओं पर निर्भर रहना एक खराब उपयोगकर्ता अनुभव और सुरक्षा जोखिम दोनों है — जो उपयोगकर्ता किसी भी प्रमाणपत्र पर 'स्वीकार करें' पर क्लिक करते हैं, वे Evil Twin हमलों के प्रति समान रूप से संवेदनशील होते हैं। सही समाधान सभी कॉर्पोरेट उपकरणों में आंतरिक Root CA प्रमाणपत्र वितरित करने के लिए Group Policy (GPO) का उपयोग करना है और Windows वायरलेस प्रोफ़ाइल को स्वचालित रूप से इस पर भरोसा करने और RADIUS सर्वर होस्टनाम को सत्यापित करने के लिए पहले से कॉन्फ़िगर करना है। यह संकेत को पूरी तरह से समाप्त कर देता है और उपयोगकर्ता के हस्तक्षेप के बिना प्रमाणपत्र सत्यापन लागू करता है।

Q2. एक अस्पताल के IT निदेशक को IoT चिकित्सा उपकरणों (इन्फ्यूजन पंप, रोगी निगरानी प्रणाली) को वायरलेस नेटवर्क से जोड़ने की आवश्यकता है। ये उपकरण बिना किसी 802.1X सप्लिकेंट क्षमता के एम्बेडेड फर्मवेयर चलाते हैं और केवल एक स्थिर प्री-शेयर्ड की (PSK) का उपयोग करके कनेक्ट हो सकते हैं। नेटवर्क आर्किटेक्ट को समग्र सुरक्षा स्थिति से समझौता किए बिना इन उपकरणों को कैसे संभालना चाहिए?

संकेत: नेटवर्क विभाजन, VLAN अलगाव और 802.1X के विकल्प के रूप में MAC ऑथेंटिकेशन बाईपास से जुड़े जोखिमों के बारे में सोचें।

मॉडल उत्तर देखें

चूंकि ये उपकरण 802.1X निष्पादित नहीं कर सकते हैं, इसलिए आर्किटेक्ट के पास दो विकल्प हैं: एक समर्पित SSID पर WPA2-Personal (PSK), या कॉर्पोरेट SSID पर MAC ऑथेंटिकेशन बाईपास (MAB)। ऑडिट योग्यता के लिए MAB आम तौर पर बेहतर है लेकिन इसमें स्पूफिंग के जोखिम होते हैं। चुने गए ऑथेंटिकेशन तरीके के बावजूद, महत्वपूर्ण नियंत्रण नेटवर्क विभाजन है। इन उपकरणों को सख्त ACL के साथ एक समर्पित, अलग किए गए VLAN पर रखा जाना चाहिए जो केवल आवश्यक विशिष्ट ट्रैफ़िक प्रवाह की अनुमति देता है — उदाहरण के लिए, एक विशिष्ट पोर्ट पर क्लिनिकल प्रबंधन सर्वर से संचार, अन्य सभी ट्रैफ़िक ब्लॉक होने के साथ। SSID या MAB VLAN का कॉर्पोरेट नेटवर्क, PoS वातावरण या इंटरनेट के लिए कोई रूटिंग पथ नहीं होना चाहिए। इसके अतिरिक्त, PSK (यदि उपयोग किया जाता है) को समय-समय पर बदला जाना चाहिए और केंद्रीय रूप से प्रबंधित किया जाना चाहिए। उपकरणों को MAC पते द्वारा सूचीबद्ध किया जाना चाहिए, और चिकित्सा उपकरण VLAN में शामिल होने का प्रयास करने वाले किसी भी अपरिचित MAC को एक अलर्ट ट्रिगर करना चाहिए।

Q3. एक स्टेडियम CIO 60,000-क्षमता वाले वेन्यू पर प्रशंसकों के WiFi ऑनबोर्डिंग अनुभव को बेहतर बनाने के लिए Passpoint (Hotspot 2.0) का मूल्यांकन कर रहा है। CIO पूछता है: 'क्या Passpoint, WPA2 और 802.1X को प्रतिस्थापित करता है, या यह उनका उपयोग करता है?' आप क्या प्रतिक्रिया देते हैं, और इस पैमाने पर डिप्लॉयमेंट के लिए प्रमुख परिचालन विचार क्या हैं?

संकेत: विचार करें कि Passpoint वास्तव में क्या स्वचालित करता है बनाम यह किसे प्रतिस्थापित करता है, और उच्च-घनत्व वाले वेन्यू के लिए RADIUS क्षमता आवश्यकताएं क्या हैं।

मॉडल उत्तर देखें

Passpoint, WPA2 या 802.1X को प्रतिस्थापित नहीं करता है — यह उन्हें स्वचालित और अमूर्त (abstract) बनाता है। Passpoint एक प्रोविज़निंग और डिस्कवरी परत है जो WPA2-Enterprise (या WPA3-Enterprise) और 802.1X के शीर्ष पर बनाई गई है। यह ऑथेंटिकेशन के लिए 802.1X का उपयोग करता है (आमतौर पर एक मोबाइल कैरियर या लॉयल्टी ऐप पहचान प्रदाता के क्रेडेंशियल्स के माध्यम से) और परिणामी सत्र को एन्क्रिप्ट करने के लिए WPA2/WPA3 का उपयोग करता है। प्रशंसक के दृष्टिकोण से, उनका डिवाइस बिना किसी मैन्युअल कॉन्फ़िगरेशन के स्वचालित रूप से कनेक्ट हो जाता है। नेटवर्क के दृष्टिकोण से, प्रत्येक कनेक्शन एक पूर्ण 802.1X एक्सचेंज है। 60,000 की क्षमता पर प्रमुख परिचालन विचार हैं: (1) RADIUS इन्फ्रास्ट्रक्चर का आकार समवर्ती ऑथेंटिकेशन तूफानों को संभालने के लिए पर्याप्त होना चाहिए — विशेष रूप से मैच शुरू होने के समय जब हजारों डिवाइस एक साथ कनेक्ट होने का प्रयास करते हैं; (2) RADIUS सर्वर को लोड बैलेंसिंग और भौगोलिक रिडंडेंसी के साथ डिप्लॉय किया जाना चाहिए; (3) पहचान प्रदाता (जैसे OpenRoaming फ्रेमवर्क के तहत Purple) के पास पर्याप्त थ्रूपुट समझौते होने चाहिए; और (4) वायरलेस कंट्रोलर को प्रशंसकों के वेन्यू में घूमने पर री-ऑथेंटिकेशन ओवरहेड को कम करने के लिए फास्ट BSS ट्रांजिशन (802.11r) का समर्थन करना चाहिए।

इस श्रृंखला में आगे पढ़ें

विक्रेता द्वारा प्रति-डिवाइस PSK: iPSK, DPSK, MPSK और PPSK की तुलना (और WPA3 सपोर्ट)

Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Extreme, Fortinet, और Ubiquiti UniFi में प्रति-डिवाइस PSK इम्प्लीमेंटेशन की एक व्यापक तुलना। जानें कि WPA3-SAE प्रति-डिवाइस की (key) रणनीतियों को कैसे प्रभावित करता है और कब ट्रांज़िशन मोड को तैनात करना चाहिए बनाम 802.1X पर जाना चाहिए।

गाइड पढ़ें →

कैप्टिव पोर्टल प्रमाणीकरण विधियों की तुलना

यह आधिकारिक तकनीकी संदर्भ गाइड पांच मुख्य कैप्टिव पोर्टल प्रमाणीकरण विधियों के आर्किटेक्चरल, परिचालन और अनुपालन ट्रेड-ऑफ का मूल्यांकन करती है। यह नेटवर्क आर्किटेक्ट्स, IT निदेशकों और मार्केटिंग प्रबंधकों को एंटरप्राइज वेन्यू में डेटा-संग्रह आवश्यकताओं के साथ गेस्ट ऑनबोर्डिंग घर्षण को संतुलित करने के लिए आवश्यक मात्रात्मक डेटा और निर्णय ढांचे प्रदान करती है।

गाइड पढ़ें →

MAC एड्रेस ऑथेंटिकेशन क्या है? इसका उपयोग कब करें और इससे कब बचें

यह आधिकारिक तकनीकी संदर्भ गाइड एंटरप्राइज़ WiFi वातावरण में MAC एड्रेस ऑथेंटिकेशन को कवर करती है — कैसे RADIUS-आधारित MAC ऑथेंटिकेशन लेयर 2 पर काम करता है, इसकी अंतर्निहित सुरक्षा कमजोरियां (जिसमें MAC स्पूफिंग और OS-स्तरीय MAC रैंडमाइजेशन का प्रभाव शामिल है), और सटीक परिचालन संदर्भ जहां यह IoT और हेडलेस डिवाइसों के प्रबंधन के लिए एक वैध उपकरण बना हुआ है। यह हॉस्पिटैलिटी, रिटेल, हेल्थकेयर और सार्वजनिक क्षेत्र के परिसरों में IT प्रबंधकों और नेटवर्क आर्किटेक्ट्स के लिए व्यावहारिक परिनियोजन मार्गदर्शन प्रदान करता है, जिसमें वास्तविक दुनिया के व्यावहारिक उदाहरण, निर्णय ढांचे और Purple के गेस्ट WiFi और एनालिटिक्स प्लेटफॉर्म के लिए एकीकरण संदर्भ शामिल हैं।

गाइड पढ़ें →