Comprendere Cisco SUDI: Identità del Dispositivo Basata su Hardware nel Controllo dell'Accesso alla Rete

Comprendere Cisco SUDI: l'identità del dispositivo basata su hardware nel controllo dell'accesso alla rete Un briefing tecnico Purple - Script completo del podcast (circa 10 minuti) --- SEGMENTO 1: INTRODUZIONE E CONTESTO (circa 1 minuto) Buongiorno e benvenuti a un briefing tecnico Purple. Trascorrerò i prossimi dieci minuti a spiegarvi Cisco SUDI - Secure Unique Device Identifier - cos'è in realtà, come si inserisce nella vostra architettura di controllo dell'accesso alla rete e cosa dovete fare a riguardo se gestite un'infrastruttura Cisco su larga scala. Questo briefing si rivolge ad architetti di rete, responsabili IT e CTO di grandi strutture - hotel, aree commerciali, stadi, centri congressi - ovunque si gestisca un sistema WiFi aziendale e si abbia la necessità di essere certi che l'hardware sulla rete sia esattamente ciò che dichiara di essere. Iniziamo con il problema che SUDI risolve. In qualsiasi rete di una grande struttura, sono presenti decine o centinaia di access point, switch e controller. La domanda da cui dipende la vostra sicurezza è: come fate a sapere che ognuno di questi dispositivi è un prodotto Cisco originale e non modificato - e non un falso, un'unità compromessa o un dispositivo manomesso durante il trasporto? Questo è il vuoto che SUDI va a colmare. --- SEGMENTO 2: APPROFONDIMENTO TECNICO (circa 5 minuti) SUDI sta per Secure Unique Device Identifier. Si tratta di un certificato X.509 versione 3 - lo stesso formato di certificato utilizzato in HTTPS e TLS - ma anziché essere rilasciato a una persona o a un server, viene rilasciato a uno specifico componente hardware durante la produzione. Contiene l'identificatore del prodotto e il numero di serie del dispositivo, ed è radicato nella public key infrastructure di Cisco. Ecco cosa differenzia SUDI da un certificato software installato autonomamente. Il certificato SUDI, insieme alla coppia di chiavi associata, risiede all'interno di un chip antimanomissione chiamato modulo Trust Anchor, o TAm. La chiave privata viene generata all'interno di quel chip e non lo abbandona mai. Non è possibile esportarla. Non è possibile clonarla. Se qualcuno manomette fisicamente il chip, la chiave viene distrutta. Questa è la radice di attendibilità dell'hardware. SUDI è l'implementazione Cisco dello standard IEEE 802.1AR - lo standard di settore per i Secure Device Identifier, o DevID. Secondo lo standard 802.1AR, la credenziale installata dal produttore si chiama Initial Device Identifier, o IDevID. SUDI di Cisco è esattamente questo - un IDevID che Cisco installa in fabbrica. È possibile integrarlo con un Locally Significant Device Identifier, o LDevID, rilasciato dalla propria PKI per le policy di autorizzazione locale. Ora, in che modo questo si inserisce nel controllo dell'accesso alla rete? Il punto di integrazione più comune è lo standard IEEE 802.1X - lo standard per il controllo dell'accesso alla rete basato su porte. Quando un access point o uno switch Cisco entra in funzione, può presentare il suo certificato SUDI a un server RADIUS - in genere Cisco ISE, Identity Services Engine - utilizzando EAP-TLS, ovvero Extensible Authentication Protocol con Transport Layer Security. Il server RADIUS convalida il certificato confrontandolo con l'autorità di certificazione pubblica di Cisco, conferma che il dispositivo sia autentico e quindi applica la policy di rete appropriata. Questo sistema è notevolmente più sicuro del MAC address bypass, che rappresenta la soluzione di ripiego utilizzata dalla maggior parte delle reti per i dispositivi infrastrutturali. Gli indirizzi MAC possono essere contraffatti in meno di un minuto. Un certificato legato all'hardware e memorizzato in un chip a prova di manomissione non può essere contraffatto senza distruggere fisicamente il dispositivo. Nel contesto di una sede o di un grande spazio per eventi, questo è fondamentale per tre ragioni. In primo luogo, elimina il rischio che access point non autorizzati si colleghino alla rete. Un dispositivo contraffatto o non autorizzato non sarà in grado di presentare un SUDI valido. In secondo luogo, consente il provisioning automatico Zero Touch - un nuovo dispositivo viene spedito alla sede, si accende, presenta il proprio SUDI e il sistema di gestione lo verifica a partire dal proprio inventario prima di inviare la configurazione. Nessun intervento manuale. In terzo luogo, offre un registro di audit verificabile crittograficamente. Ogni dispositivo che si è autenticato sulla rete lo ha fatto con un certificato che dimostra che si tratta di un prodotto Cisco specifico e registrato. Permettetemi di approfondire il modulo Trust Anchor, poiché rappresenta la base su cui poggia tutto il resto. Il TAm è un chip proprietario Cisco che offre tre elementi: memoria sicura non volatile per il SUDI e le chiavi, servizi crittografici inclusa la generazione di numeri casuali, e il fingerprinting hardware. Quest'ultimo aspetto merita attenzione - Cisco rileva l'impronta digitale dei componenti hardware critici di un dispositivo in fase di produzione e memorizza tale fingerprint nel TAm. All'avvio, il dispositivo confronta il fingerprint hardware rilevato con quello memorizzato. Se non corrispondono, il dispositivo non si avvia. In questo modo si rilevano eventuali manomissioni dell'hardware durante il trasporto - una preoccupazione reale per le installazioni in grandi spazi dove l'hardware può passare per molte mani prima dell'installazione. Un aspetto operativo da tenere presente: i certificati SUDI emessi prima di maggio 2019 scadono dieci anni dopo la data di produzione o il 14 maggio 2029, a seconda di quale evento si verifichi per primo. Cisco ha risolto questo problema con una nuova generazione di certificati denominata SUDI-2099, validi fino a dicembre 2099. Se si utilizza l'hardware della serie Catalyst 9000 prodotto prima del 2019, è necessario verificare subito le date di scadenza del SUDI. Il comando su IOS-XE è show crypto pki certificate. Cercate il trustpoint CISCO_IDEVID_SUDI e verificate la data di scadenza. Se utilizzate Catalyst 9200, eseguite l'aggiornamento a IOS-XE 17.12.2 o versioni successive per assicurarvi di utilizzare il certificato 2099 corretto. - SEZIONE 3: RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE (circa 2 minuti) Lasciate che vi presenti il quadro di implementazione pratica. Se state implementando l'autenticazione basata su SUDI in un ambiente di sede, ecco la sequenza ideale. Iniziate con la vostra infrastruttura RADIUS. Cisco ISE è la scelta naturale se siete già all'interno dell'ecosistema Cisco, ma qualsiasi server RADIUS che supporti EAP-TLS e sia in grado di effettuare la convalida rispetto a una CA esterna funzionerà. È necessario importare la CA radice di Cisco e i certificati CA ACT2 SUDI nel trust store RADIUS. Questi sono disponibili pubblicamente dal portale PKI di Cisco. Successivamente, configurate i criteri 802.1X per richiedere l'autenticazione basata su certificati per i dispositivi dell'infrastruttura. Separate questa procedura dai criteri di autenticazione degli utenti finali - i flussi di autenticazione per il personale e per gli ospiti sono diversi e dovrebbero risiedere su set di criteri distinti in ISE. Per le nuove distribuzioni, abilitate lo Zero Touch Provisioning. Il vostro sistema di gestione della rete - Cisco DNA Centre o Catalyst Centre - può utilizzare SUDI per verificare l'identità del dispositivo prima di inviare la configurazione. Questo elimina il processo di staging manuale e riduce i tempi di provisioning da ore a pochi minuti per dispositivo. Ora, le insidie. La più comune che riscontro è la combinazione di autenticazione SUDI con il bypass del MAC address sulla stessa porta. Se si ripiega su MAB quando SUDI fallisce, si compromette il modello di sicurezza. Definite una regola chiara: i dispositivi compatibili con SUDI devono autenticarsi tramite SUDI, senza eccezioni. I dispositivi non SUDI vengono spostati in una VLAN di quarantena in attesa di revisione manuale. La seconda insidia è la scadenza dei certificati. Configurate subito il monitoraggio delle date di scadenza dei SUDI su tutto il vostro parco macchine. Non aspettate un'interruzione del servizio per scoprire che i vostri punti di accesso non possono più autenticarsi. La piattaforma di Purple si integra con Cisco Meraki e altri fornitori di hardware per mostrare i segnali di integrità dei dispositivi - compreso lo stato di autenticazione - in un'unica dashboard, rendendo pratico questo tipo di monitoraggio proattivo su scala. La terza insidia è l'estensione incontrollata dello scopo del progetto. SUDI autentica il dispositivo hardware. Non autentica l'utente che si connette tramite quel dispositivo. È comunque necessario un livello di identità separato per ospiti, personale e residenti. È qui che si colloca una piattaforma come Purple - noi gestiamo il livello dell'identità umana, l'acquisizione del consenso, l'assegnazione delle VLAN per il traffico ospiti e l'analitica, mentre SUDI gestisce il livello infrastrutturale sottostante. - SEGMENTO 4: DOMANDE E RISPOSTE RAPIDE (circa 1 minuto) Permettetemi di passare in rassegna tre domande che mi vengono rivolte regolarmente. SUDI sostituisce la mia PKI esistente? No. SUDI è un IDevID installato dal produttore. Dimostra che il dispositivo è hardware originale Cisco. La PKI aziendale rilascia LDevID e certificati utente per tutto il resto. Lavorano in parallelo. Posso usare SUDI su hardware non Cisco? No. SUDI è specifico di Cisco. HPE Aruba ha un equivalente chiamato certificati di provisioning IAP. Ruckus e Juniper Mist hanno i propri meccanismi di identità dei dispositivi. Lo standard sottostante - IEEE 802.1AR - è neutrale rispetto ai fornitori, ma ogni produttore lo implementa in modo diverso. Cosa succede quando un certificato SUDI scade? I servizi che si affidano a SUDI per l'autenticazione - HTTPS, SSH con autenticazione tramite certificato, Zero Touch Provisioning - falliranno. Il dispositivo stesso continuerà a funzionare, ma non potrà più dimostrare la propria identità in modo crittografico. Ecco perché la migrazione a SUDI-2099 è importante. - - - SEGMENTO 5: RIEPILOGO E PROSSIMI PASSI (circa 1 minuto) Per riassumere: Cisco SUDI offre un'identità di dispositivo con radice hardware che non può essere falsificata, clonata o esportata. È la base di un livello di infrastruttura affidabile. Combinato con IEEE 802.1X e una politica RADIUS ben configurata, elimina il rischio di dispositivi non autorizzati e consente il provisioning automatizzato su scala. Le tue tre azioni immediate: uno, esegui un audit dei tuoi dispositivi Cisco per verificare le date di scadenza SUDI utilizzando show crypto pki certificate. Due, importa la CA radice di Cisco nel trust store del tuo RADIUS e configura le politiche EAP-TLS per i dispositivi di infrastruttura. Tre, separa la tua politica di autenticazione dell'infrastruttura dalla politica di autenticazione degli utenti finali - servono a scopi diversi e devono essere gestite in modo indipendente. Se desideri approfondire il modo in cui Purple si integra con Cisco Meraki e altri fornitori di hardware per offrire una segmentazione della rete basata sull'identità per ospiti, personale e residenti, visita purple.ai o leggi le guide correlate collegate sotto questo episodio. Grazie per l'ascolto. Ci vediamo nel prossimo briefing. - - - FINE DELLO SCRIPT