एक पाहुणा तुमच्या हॉटेलमध्ये चेक-इन करतो, लॉबीमधील WiFi नेटवर्कशी जोडला जातो, ईमेल उघडतो आणि त्याला नकळतच एका खोट्या ऍक्सेस पॉइंटद्वारे अडवले जाते जे विश्वास संपादन करण्याइतके अधिकृत वाटते. रिसेप्शनवर कोणालाही हे दिसत नाही. तुमच्या हेल्प डेस्कला याबद्दल नंतर माहिती मिळते, जेव्हा पाहुणा विचारतो की साइटवर कनेक्ट केल्यानंतर त्यांचे खाते का हॅक झाले.
म्हणूनच wireless connection security म्हणजे केवळ ऍक्सेस पॉइंटवरील ड्रॉप-डाउन मेनूमधून नवीन संक्षिप्त रूप निवडणे नव्हे. ही एक ऑपरेशनल समस्या आहे. नेटवर्कने योग्य युझर किंवा डिव्हाइस ओळखले पाहिजे, योग्य पातळीचा ऍक्सेस लागू केला पाहिजे, ट्रॅफिक सुरक्षित ठेवले पाहिजे आणि हे सर्व कोणतीही अडचण निर्माण न करता केले पाहिजे जेणेकरून कर्मचारी त्यावर पर्याय शोधणार नाहीत आणि पाहुणे त्याचा वापर सोडणार नाहीत.
खऱ्या ठिकाणी हे अधिक कठीण होते. रुग्णालय बेड्स जवळ असणाऱ्या उपकरणांना कॅफेमधील ग्राहकांसारखे वागवू शकत नाही. शॉपिंग सेंटरला पाहुण्यांचा ऍक्सेस, भाडेकरूंच्या सिस्टीम आणि बॅक-ऑफिस ऑपरेशन्स एकाच वेळी हाताळावे लागतात. हॉटेलला कर्मचाऱ्यांची सिस्टीम, ॲडमिन सिस्टीम आणि स्मार्ट उपकरणांना वेगळे ठेवून पाहुण्यांसाठी ऑनबोर्डिंग सोपे करावे लागते.
चांगली गोष्ट अशी आहे की यातील मूलभूत गोष्टी समजण्यासारख्या आहेत. एकदा का तुम्हाला समजले की वायरलेस हल्ले कसे होतात, जुनी मानके का अयशस्वी ठरतात आणि आधुनिक ओळख-आधारित (identity-based) ऍक्सेस कोठे लागू होतो, की तुमचा मार्ग अधिक स्पष्ट होतो. जर तुम्ही एखाद्या ठिकाणाची, कॅम्पसची किंवा मल्टि-टेनंट मालमत्तेची जबाबदारी सांभाळत असाल, तर ध्येय सोपे आहे. अधिकृत युझर्ससाठी सुरक्षित ऍक्सेस सोपा करा आणि इतरांसाठी कठीण करा.
सार्वजनिक आणि अतिथी WiFi चे अदृश्य धोके
सार्वजनिक आणि अतिथी WiFi युझरच्या दृष्टिकोनातून सोपे वाटते. SSID वर टॅप करा, पेज स्वीकारा आणि ऑनलाइन जा. ऑपरेटरच्या दृष्टिकोनातून, हे सहसा एखाद्या सुविधेसारखे वाटते. ते उपलब्ध ठेवा, पुरेसे वेगवान ठेवा आणि ते खंडित होऊ देऊ नका.
हा विचार अत्यंत मर्यादित आहे. अतिथी ऍक्सेस असा सामायिक रेडिओ परिसर तयार करतो जिथे अनोळखी लोकांची उपकरणे एकमेकांच्या जवळ असतात, ट्रॅफिक खुल्या माध्यमाद्वारे फिरते आणि हल्लेखोर फारशा प्रयत्नांशिवाय विश्वसनीय नेटवर्क नावांची नक्कल करू शकतात. व्यावसायिक समस्या केवळ डेटा चोरीची नाही. यासोबतच विश्वास गमावणे, सपोर्टचा ताण आणि टाळता येण्याजोग्या घटनेनंतर अनुपालन (compliance) टीमकडून विचारले जाणारे कठीण प्रश्न यांचाही समावेश आहे.
हॉस्पिटॅलिटी, रिटेल आणि हेल्थकेअर यांसारख्या क्षेत्रांमध्ये, या गोष्टी वेगळ्या पण तितक्याच व्यावहारिक आहेत:
- हॉस्पिटॅलिटी टीम्सना काही सेकंदांत काम करणारे ऑनबोर्डिंग हवे असते, कारण चेक-इन डेस्क आणि बार कर्मचारी WiFi सपोर्ट बनू शकत नाहीत.
- रिटेल ऑपरेटरना लॉयल्टी, ॲनालिटिक्स आणि मोबाईल एंगेजमेंटसाठी ग्राहकांना कनेक्ट ठेवणे आवश्यक असते, परंतु अतिथी नेटवर्क अंतर्गत सिस्टीममध्ये प्रवेश करण्याचा मार्ग बनेल अशी जोखीम ते घेऊ शकत नाहीत.
- हेल्थकेअर संस्थांना अशा वायरलेस ऍक्सेसची आवश्यकता असते जी गोपनीयतेचा आदर करते, कर्मचाऱ्यांच्या गतिशीलतेला सपोर्ट करते आणि रुग्ण किंवा अभ्यागतांना सामायिक नेटवर्कवर असुरक्षित ठेवत नाही.
गोंधळात टाकणारा एक सामान्य मुद्दा म्हणजे: लोक गृहीत धरतात की “फ्री WiFi” चा अर्थ मुख्य धोका म्हणजे बँडविड्थचा गैरवापर आहे. प्रत्यक्षात, सर्वात मोठी समस्या ही ओळखीची आहे. कोण कनेक्ट करत आहे? त्या वापरकर्त्याला किंवा डिव्हाइसला कशापर्यंत पोहोचण्याची परवानगी दिली पाहिजे? परिस्थिती बदलल्यावर प्रवेश किती लवकर बदलला किंवा रद्द केला जाऊ शकतो?
लॉगिन पेज ब्रँडेड दिसल्यामुळे सार्वजनिक WiFi सुरक्षित होत नाही. सुरक्षा यावर अवलंबून असते की नेटवर्क पडद्यामागे प्रत्येक कनेक्शनचे कशा प्रकारे प्रमाणीकरण करते, एन्क्रिप्ट करते आणि वेगळे करते.
म्हणूनच जुन्या गेस्ट ॲक्सेस पद्धती आता कालबाह्य वाटू लागल्या आहेत. शेअर केलेले पासवर्ड खूप सहज पसरतात. फ्लॅट नेटवर्क डिझाइन्स लेटरल मूव्हमेंटसाठी खूप जास्त वाव देतात. पोर्टल-हेवी अनुभव वापरकर्त्यांना विचार न करता प्रॉम्प्ट्सवर क्लिक करायला शिकवतात. जर तुम्ही अजूनही गेस्ट WiFi कडे तुमच्या सुरक्षा संरचनेचा भाग न मानता केवळ एक साईड सर्व्हिस म्हणून पाहत असाल, तर तुम्ही गरजेपेक्षा जास्त धोका पत्करत आहात.
समस्येच्या गेस्ट बाजूचा व्यावहारिक दृष्टिकोन पाहण्यासाठी, गेस्टसाठी सुरक्षित WiFi वरील Purple चे मार्गदर्शक उपयुक्त आहे कारण ते गेस्ट ॲक्सेसला सुरक्षा आणि अनुभव या दोन्ही दृष्टिकोनातून फ्रेम करते.
वायरलेस धोक्यांची रचना समजून घेणे
वायरलेस हल्ले समजून घेणे सर्वात सोपे आहे जेव्हा तुम्ही त्यांची विभागणी हल्लेखोर करू शकत असलेल्या चार कामांमध्ये करता: ऐकणे, तोतयागिरी करणे, व्यत्यय आणणे किंवा अंदाज लावणे. एंटरप्राइझ गेस्ट वातावरणात हे महत्त्वाचे आहे कारण प्रत्येक काम एका वेगळ्या ऑपरेशनल कमकुवतपणाचा गैरफायदा घेते. खराबपणे वेगळे केलेले गेस्ट SSID एका प्रकारचा धोका निर्माण करते. पुन्हा वापरलेला शेअर केलेला पासवर्ड दुसरा धोका निर्माण करतो. अधिकृत नेटवर्कमध्ये सामील होत असल्याची खात्री करू न शकणारे डिव्हाइस तिसरा धोका निर्माण करते.
हॉस्पिटॅलिटी, रिटेल आणि हेल्थकेअरमध्ये, त्या कमकुवतपणा क्वचितच वेगळ्या तांत्रिक चुका असतात. त्या सहसा अशा साधनांद्वारे मोठ्या प्रमाणावर प्रवेश सुलभ करण्याच्या प्रयत्नातून येतात जी कधीही उच्च उलाढाल, अनमॅनेज्ड डिव्हाइसेस किंवा मिश्र वापरकर्ता गटांसाठी डिझाइन केलेली नव्हती. शेअर केलेला गेस्ट पासवर्ड देणे सोपे आहे. तो इच्छित प्रेक्षकांपेक्षा इतरांना शेअर करणे देखील सोपे आहे. Captive Portal परिचयाचा आहे. तो वापरकर्त्यांना सामील झाल्यानंतर दिसणाऱ्या कोणत्याही स्क्रीनवर विश्वास ठेवण्यास देखील प्रशिक्षित करतो.
इव्हस्ड्रॉपिंग आणि मॅन इन द मिडल हल्ले
इव्हस्ड्रॉपिंग हा मूलभूत धोका आहे. जर वायरलेस ट्रॅफिक कमकुवतपणे सुरक्षित असेल, किंवा वापरकर्ते अशा नेटवर्कशी जोडले गेले जे दावा केल्याप्रमाणे नसेल, तर जवळचे हल्लेखोर खाजगी राहणारा डेटा पाहण्यास सक्षम असू शकतात. सार्वजनिक ठिकाणी, त्यामध्ये सेशन टोकन्स, ब्राउझिंग क्रियाकलाप, लॉगिन प्रयत्न किंवा इतर मेटाडेटा समाविष्ट असू शकतो जो मोठा हल्ला करण्यास मदत करतो.
मॅन इन द मिडल (man in the middle) हल्ला सक्रिय नियंत्रण जोडतो. हल्लेखोर युझर आणि गंतव्यस्थान (destination) यांच्यामध्ये एक सिस्टीम समाविष्ट करतो, आणि नंतर ट्रॅफिक रिले करतो जेणेकरून दोन्ही बाजूंना ते सामान्यपणे संवाद साधत असल्याचे दिसते. व्यावहारिक समस्या ही विश्वासाची आहे. एन्क्रिप्शन केवळ तेव्हाच मदत करते जेव्हा डिव्हाइसने योग्य नेटवर्कचे प्रमाणीकरण केले असेल आणि त्याचा मार्ग छुप्या पद्धतीने पुनर्निर्देशित (redirect) केला गेला नसेल.
हाच तो मुद्दा आहे जो अनेक बिगर-तज्ज्ञ विसरतात. WiFi सुरक्षा म्हणजे केवळ पॅकेट स्क्रॅम्बल्ड करणे नव्हे. कनेक्शनच्या क्षणी ओळख सिद्ध करणे आणि नंतर कनेक्ट केलेल्या डिव्हाइसच्या कृतींवर मर्यादा घालणे देखील यात समाविष्ट आहे. या डिझाइन समस्येवर काम करणाऱ्या टीम्ससाठी, नेटवर्क ऍक्सेस कंट्रोल सोल्यूशन्स प्रत्येक यशस्वी कनेक्शनला सारखीच वागणूक देण्याऐवजी युझर, डिव्हाइस आणि संदर्भावर आधारित पॉलिसी लागू करण्यास मदत करतात.
इव्हिल ट्विन्स (Evil Twins) आणि खोटा विश्वास
इव्हिल ट्विन (Evil Twin) ऍक्सेस पॉईंट हे एक बनावट नेटवर्क असते जे वैध नेटवर्कच्या नावाचे अनुकरण करते. याचे उद्दिष्ट सोपे असते - डिव्हाइसला वैध इन्फ्रास्ट्रक्चरऐवजी हल्लेखोराच्या रेडिओशी कनेक्ट करणे. हॉटेलची लॉबी किंवा व्यस्त क्लिनिकच्या वेटिंग एरियामध्ये, यासाठी फारशा कौशल्याची गरज नसते. युझर्स सहसा परिचित SSID च्या आधारे निवड करतात आणि अनेक डिव्हाइसेस लक्षात ठेवलेल्या नावांवर स्वयंचलितपणे पुन्हा कनेक्ट होतात.
एकदा का असे झाले की, हल्लेखोर बनावट पोर्टल दाखवू शकतो, क्रेडेंशियल्स मिळवू शकतो, सर्टिफिकेटच्या इशाऱ्यांकडे दुर्लक्ष करण्यास युझरला प्रवृत्त करू शकतो, किंवा कनेक्शन सामान्य दिसण्यासाठी ट्रॅफिक प्रॉक्सी करू शकतो. हा हल्ला यशस्वी होतो कारण युझरला परिचित लेबल दिसते, तर दुसरीकडे सुरक्षेचा निर्णय अशा तपशीलांवर अवलंबून असतो ज्यांची युझर्स सहसा तपासणी करत नाहीत.
याचे सामान्य चेतावणी संकेत पुढीलप्रमाणे आहेत:
- डुप्लिकेट SSIDs जे ठिकाणाच्या अपेक्षित नेटवर्क नावाशी जुळतात
- डिव्हाइसला आधीपासून माहित असलेल्या नेटवर्कसाठी अपेक्षित नसलेले रीकनेक्ट प्रॉम्ट्स येणे
- नेहमीच्या जॉइन प्रक्रियेदरम्यान दिसणारे सर्टिफिकेट किंवा ट्रस्ट इशारे
- योग्य वेळी न दिसणारी पोर्टल पेजेस किंवा ज्यांची भाषा आणि मांडणी थोडी विसंगत दिसते
डीऑथेंटिकेशन (Deauthentication) आणि सक्तीचे रीकनेक्ट्स
काही वायरलेस हल्ले थेट डेटा चोरी करण्याऐवजी कनेक्शनच्या नियंत्रणावर लक्ष केंद्रित करतात. डीऑथेंटिकेशन गैरवापर डिव्हाइसला WiFi वरून सक्तीने काढून टाकतो जेणेकरून त्याला पुन्हा जॉइन व्हावे लागते. तो रीकनेक्शनचा क्षण हल्लेखोरासाठी उपयुक्त ठरतो कारण यामुळे गोंधळ निर्माण होतो, युझर संशयास्पद प्रॉम्ट स्वीकारण्याची शक्यता वाढते आणि डिव्हाइसेसना अधिक मजबूत किंवा उपलब्ध दिसणाऱ्या बनावट ऍक्सेस पॉईंटकडे वळवले जाऊ शकते.
कार्यप्रणालीच्या दृष्टीने, म्हणूनच वारंवार होणाऱ्या "यादृच्छिक" डिस्कनेक्शनची तपासणी करणे गरजेचे असते, विशेषतः गर्दीच्या सार्वजनिक ठिकाणी. एखाद्या ठिकाणाला असे वाटू शकते की ही समस्या गर्दी किंवा हस्तक्षेपाची (interference) आहे, तर प्रत्यक्ष समस्या ही असते की क्लायंट्सना अस्थिर ठेवण्यासाठी व्यवस्थापन ट्रॅफिकचा गैरवापर केला जात असतो.
यातील मोठा धडा व्यावहारिक आहे. प्रत्येक सक्तीचे रिकनेक्ट वापरकर्त्याच्या अनुभवावर दबाव आणते आणि दबावाखालील वापरकर्ते विश्वासाचे चुकीचे निर्णय घेतात. मजबूत मॅनेजमेंट फ्रेम प्रोटेक्शन आणि उत्तम क्लायंट ऑनबोर्डिंग ही संधीची विंडो कमी करतात.
कमकुवत सामायिक केलेले पासवर्ड आणि ब्रूट फोर्स हल्ले
कमकुवत प्री-शेअर्ड की वर होणारे ब्रूट-फोर्स हल्ले एका वेगळ्या कमकुवतपणाला लक्ष्य करतात. आक्रमणकर्ता नेटवर्क असल्याचे भासवत नाही. तर ते त्याचे संरक्षण करणारा सामायिक गुप्त कोड शोधण्याचा प्रयत्न करत असतात. जर पासवर्ड लहान, पुन्हा वापरलेला, अंदाज लावण्याजोगा किंवा अनौपचारिकपणे शेअर केलेला असेल, तर संपूर्ण नेटवर्कला ती कमकुवतपणा वारशाने मिळतो.
सामायिक केलेले पासवर्ड एकाच वेळी सुरक्षिततेची समस्या आणि ऑपरेशनल समस्या निर्माण करतात. एकदा का ती की पसरली की, प्रवेश रद्द करण्याचा अर्थ ती प्रत्येकासाठी बदलणे असा होतो. हॉटेलमध्ये हे अवघड आहे, रिटेलमध्ये व्यत्यय आणणारे आहे आणि आरोग्य सेवा वातावरणात जिथे कर्मचाऱ्यांची गतिशीलता महत्त्वाची असते तिथे जोखमीचे आहे. म्हणूनच आधुनिक एंटरप्राइझ वायरलेस डिझाइन वैयक्तिक, प्रमाणपत्र-आधारित ओळख आणि स्वयंचलित ऑनबोर्डिंगकडे वळत आहे. हे मॉडेल हल्ल्याची व्याप्ती कमी करतात आणि जुन्या पद्धतीचे अतिथी आणि कर्मचारी प्रवेश मार्ग निर्माण करत असलेले मॅन्युअल क्लीनअपचे काम मोठ्या प्रमाणात कमी करतात.
वायफाय सुरक्षा प्रोटोकॉलची उत्क्रांती
हॉटेल, रिटेल साखळी किंवा हॉस्पिटलमधील नेटवर्क टीमला क्वचितच शून्यापासून सुरुवात करण्याची संधी मिळते. त्यांना जुने हँडहेल्ड टर्मिनल्स, विसरलेले SSIDs, केवळ जुन्या मानकांना सपोर्ट करणारी उपकरणे आणि "मला फक्त WiFi चा पासवर्ड द्या" या वर्षानुवर्षांच्या सवयीतून बनलेली वापरकर्त्यांची अपेक्षा वारशाने मिळते. म्हणूनच वायरलेस सुरक्षा प्रोटोकॉल हे केवळ संक्षिप्त नावांची सूची म्हणून न पाहता ऑपरेशनल टाइमलाइन म्हणून समजून घेणे सर्वात योग्य आहे.
WEP हे पहिले कुलूप होते, पण ते चांगले नव्हते
WEP हा WiFi चा गोपनीयतेसाठीचा पहिला मोठ्या प्रमाणावर उपयोजित केलेला प्रयत्न होता. याने हवेतून डेटा उघडपणे पाठवण्याची सुरुवातीची समस्या सोडवली, परंतु त्यामध्ये अशा कमकुवतपणा होत्या ज्यांचा गैरफायदा घ्यायला आक्रमणकर्ते शिकले. आधुनिक भाषेत सांगायचे तर, WEP हे सुरक्षा नियंत्रण नसून नेटवर्क मागे राहिल्याचे लक्षण आहे.
त्याचे अपयश दोन कारणांमुळे महत्त्वाचे ठरले. त्याची क्रिप्टोग्राफी इतकी कमकुवत होती की ती प्रत्यक्षात मोडीत काढता येत होती आणि ही चूक वारंवार होण्यासारखी होती. एकदा का टूल्सनी ते सोपे केले की, WEP हा अडथळा राहिला नाही.
मानक संपुष्टात आले तरी जुनी समस्या नाहीशी झाली नाही. जुने बारकोड स्कॅनर, प्रिंटर, तज्ञ वैद्यकीय उपकरणे आणि तात्पुरते नेटवर्क्स बऱ्याचदा त्यांच्या सभोवतालच्या सुरक्षा टीमच्या अपेक्षेपेक्षा जास्त काळ कार्यरत राहिले. एंटरप्राइझ वातावरणात, WEP कडून मिळणारा मुख्य धडा हाच आहे. कमकुवत प्रोटोकॉल निवडी दुर्लक्षित उपकरणांमुळे आणि विसरलेल्या ऑपरेशनल अपवादांमुळे टिकून राहतात.
WPA आणि WPA2 मुळे एन्क्रिप्शन मजबूत झाले, परंतु अनेक उपयोजने व्यवस्थापित करणे कठीण राहिले
WPA हा एक तात्पुरता पर्याय होता. अधिक टिकाऊ मानक अंतिम केले जात असताना याने उद्योगाला एक सुरक्षित पर्याय दिला. त्यानंतर WPA2 हा एंटरप्राइझ WiFi साठी दीर्घकाळ चालणारा डीफॉल्ट बनला कारण त्याने अधिक मजबूत सुरक्षा आणि व्यापक वेंडर सपोर्ट आणला.
यामुळे प्रोटोकॉलची समस्या सुटली. पण व्यवस्थापनाची समस्या सुटली नाही.
अनेक WPA2 डिप्लॉयमेंट्स अजूनही सामायिक पासवर्डवर अवलंबून होते कारण ते समजावून सांगणे सोपे आणि रोल आउट करणे वेगवान होते. ही निवड संपूर्ण इमारतीसाठी एकच भौतिक गुरुकिल्ली देण्यासारखे काम करते. हे पहिल्या दिवशी सोपे असते. पण कंत्राटदार बदलतात, पाहुणे येतात-जातात किंवा एखादे डिव्हाइस हरवले की हे खर्चिक आणि जोखमीचे बनते.
हा व्यावहारिक त्रास वेगवेगळ्या उद्योगांनुसार वेगळा दिसतो:
| पर्यावरण | सामायिक कीजमुळे अडचण का निर्माण होते | सहसा सर्वात आधी काय अयशस्वी होते |
|---|---|---|
| हॉस्पिटॅलिटी | कमी कालावधीसाठी राहणारे मोठ्या संख्येने युजर्स आणि स्टाफची सतत होणारी उलाढाल | पासवर्ड नियंत्रण आणि पुन्हा वितरण |
| रिटेल | तात्पुरते कर्मचारी, थर्ड पार्टीज आणि बहु-साइट ऑपरेशन्स | अॅक्सेस सुरक्षितपणे रद्द करणे |
| हेल्थकेअर | क्लिनिशियन्स, अभ्यागत आणि कनेक्टेड डिव्हाइसेसची संमिश्र लोकसंख्या | विश्वास पातळी (trust levels) वेगळी ठेवणे |
त्यामुळे WPA2 ही एक मोठी सुधारणा असली तरी, अनेक संस्था अजूनही ती अशा अॅक्सेस मॉडेलसह चालवत होत्या जे खूप व्यापक, खूप मॅन्युअल आणि गैरवापर करण्यासाठी खूप सोपे होते. प्रोटोकॉल त्याच्या सभोवतालच्या ऑपरेटिंग मॉडेलपेक्षा अधिक मजबूत होता.
WPA3 ने केवळ सायफर सूटपेक्षा बरेच काही सुधारले आहे
WPA3 महत्त्वाचे आहे कारण ते केवळ लॅबमधील तुलनेतच नाही, तर प्रत्यक्ष डिप्लॉयमेंट्समध्ये समोर आलेल्या त्रुटींचे निराकरण करते.
पर्सनल मोडसाठी, WPA3 जुन्या पासवर्ड एक्सचेंजला SAE ने बदलते. या बदलामुळे ऑफलाइन पासवर्डचा अंदाज लावण्याचा प्रयत्न करणाऱ्या आक्रमणकर्त्यासाठी कॅप्चर केलेले ऑथेंटिकेशन ट्रॅफिक अत्यंत निरुपयोगी ठरते. नेटवर्क टीम्ससाठी, याचा व्यावहारिक परिणाम अगदी स्पष्ट आहे. जुन्या सामायिक-की मॉडेल्सप्रमाणे कमकुवत ऑनबोर्डिंग सवयीमुळे आक्रमणकर्त्यांना सहज रीप्ले आणि अंदाज लावण्याची संधी आता मिळत नाही.
WPA3 हे Protected Management Frames सह मॅनेजमेंट ट्रॅफिक हाताळणी देखील मजबूत करते. हे महत्त्वाचे आहे कारण वायरलेस हल्ले सहसा डिक्रिप्शन करण्यापूर्वी विस्कळीत करण्यासाठी केले जातात. जर आक्रमणकर्ता वारंवार रिकनेक्ट करण्यास भाग पाडू शकला किंवा कंट्रोल ट्रॅफिक बनावट करू शकला, तर युजर्सची दिशाभूल करणे सोपे होते आणि ऑपरेशन्सवर विश्वास ठेवणे कठीण होते.
मोठ्या वातावरणासाठी WPA3 ची एंटरप्राइझ आवृत्ती अधिक संबंधित ठरते. हे अधिक मजबूत क्रिप्टोग्राफिक पर्याय आणि उत्तम आयडेंटिटी-आधारित अॅक्सेस मॉडेल्सचे समर्थन करते, परंतु प्राथमिक फायदा आर्किटेक्चरल आहे. हे संस्थांना "प्रत्येकाला पासवर्ड माहित आहे" यापासून दूर नेऊन प्रति-युजर किंवा प्रति-डिव्हाइस विश्वासाकडे (trust) घेऊन जाते. हा बदल हॉस्पिटल, रिटेलर किंवा हॉटेल ग्रुपमध्ये केवळ साध्या प्रोटोकॉल अपग्रेडपेक्षा कितीतरी पटीने अधिक उपयुक्त आहे.
प्रोटोकॉलचा इतिहास अजूनही का महत्त्वाचा आहे
WEP, WPA, WPA2, आणि WPA3 या तंत्रज्ञानांकडे वाईट कडून चांगल्या कडे जाणारी एक स्पष्ट प्रगती म्हणून पाहणे सोपे आहे. पण प्रत्यक्ष परिस्थिती अधिक गुंतागुंतीची असते. एखादा व्यवसाय मुख्य कर्मचारी SSID वर WPA3, जुन्या ऑपरेशनल उपकरणांवर WPA2, आणि पूर्णपणे वेगळे ऑनबोर्डिंग नियम असलेले एक स्वतंत्र अतिथी नेटवर्क चालवू शकतो.
अशा संमिश्र रचनेमुळेच वायरलेस सुरक्षिततेचे निर्णय केवळ तांत्रिक नसतात. ते उपकरणांचे लाइफसायकल, अतिथींचा अनुभव, सपोर्टचा ताण आणि किती वेगाने ॲक्सेस दिला किंवा काढून घेतला जाऊ शकतो या गोष्टींशी जोडलेले असतात. दुसऱ्या शब्दांत, प्रोटोकॉलची निवड हा कंट्रोल प्लेनचा केवळ एक भाग आहे.
एंटरप्राइझ WiFi चांगल्या प्रकारे हाताळणारे संघ सहसा "आम्ही कोणत्या मानकावर आहोत?" यापेक्षा वेगळा प्रश्न विचारतात. ते विचारतात की मॉडेल मोठ्या प्रमाणावर व्यवहार्य आहे का. आयडेंटिटी आपोआप जारी केल्या जाऊ शकतात का? इतर गोष्टी कमकुवत न करता जुनी उपकरणे नियंत्रित केली जाऊ शकतात का? हेल्प डेस्कची रांग किंवा शेअर्ड-सिक्रेटची समस्या निर्माण न करता अतिथी कनेक्ट होऊ शकतात का?
याच ठिकाणी सर्टिफिकेट-आधारित ॲक्सेस आणि ऑटोमेटेड ऑनबोर्डिंगसारखे आधुनिक दृष्टिकोन महत्त्वाचे ठरतात. ते जुन्या वायरलेस सुरक्षेमुळे निर्माण झालेल्या ऑपरेशनल त्रुटी दूर करतात.
आधुनिक ऑथेंटिकेशन आणि एन्क्रिप्शन पद्धतींची तुलना
एखादी हॉटेल साखळी WPA3 लागू करते आणि सुरक्षेची समस्या सुटेल अशी अपेक्षा करते. एका महिन्यानंतर, IT टीम अजूनही चॅट थ्रेड्समध्ये शेअर्ड कर्मचारी पासवर्ड्स शोधत असते, फ्रंट-डेस्क कंत्राटदार कायमस्वरूपी कर्मचाऱ्यांसारखेच क्रेडेंशियल्स वापरत असतात, आणि काढून घेतलेला ॲक्सेस जुन्या उपकरणांवर तसाच राहतो. एन्क्रिप्शन सुधारले, पण ऑपरेटिंग मॉडेल नाही सुधारले.
म्हणूनच सहसा एकत्र जोडल्या जाणाऱ्या दोन कामांना वेगळे करणे उपयुक्त ठरते. उपकरण कनेक्ट झाल्यानंतर एन्क्रिप्शन डेटाचे रक्षण करते. तर ऑथेंटिकेशन हे ठरवते की त्या उपकरणाला किंवा वापरकर्त्याला नेटवर्कवर परवानगी दिली जावी की नाही. एक संभाषणाचे रक्षण करते, तर दुसरे दरवाजातून कोण आत येते ते तपासते.
एंटरप्राइझ वातावरणातील तीन सामान्य पर्याय
प्रत्यक्षात, एंटरप्राइझ टीम्स सहसा तीन मॉडेल्सची तुलना करतात: WPA3-Personal, WPA3-Enterprise, आणि EAP-TLS सह सर्टिफिकेट-आधारित ॲक्सेस.
हे प्रोटोकॉल पर्याय असल्यासारखे वाटू शकतात. पण रुग्णालय, किरकोळ विक्रेता किंवा हॉटेल समूहामध्ये, हे स्टाफिंगचे पर्याय, ऑनबोर्डिंगचे पर्याय आणि सपोर्टचे पर्याय देखील ठरतात.
| पद्धत | वापरकर्ते किंवा उपकरणे कसे ऑथेंटिकेट होतात | सुरक्षा स्थिती | वापरकर्ता अनुभव | IT ओव्हरहेड | सर्वोत्तम पर्याय |
|---|---|---|---|---|---|
| WPA3-Personal | SAE वापरून शेअर्ड पासवर्ड | जुन्या PSK मॉडेल्सपेक्षा मजबूत, परंतु तरीही एका सामायिक गुप्त की वर आधारित | सुरुवातीला सोपे, पण पासवर्ड बदलल्यावर अडचणीचे | मध्यम, कारण वितरण आणि रोटेशन मॅन्युअल आहे | लहान परिसर किंवा तात्पुरता वापर |
| WPA3-Enterprise | 802.1X द्वारे प्रति-वापरकर्ता किंवा प्रति-डिव्हाइस ऑथेंटिकेशन | उच्च, विशेषतः व्यवस्थापित संस्थांसाठी | एकदा कॉन्फिगर केल्यानंतर सामायिक केलेल्या पासवर्डपेक्षा चांगले | RADIUS, ओळख आणि लाइफसायकल मॅन्युअली हाताळल्यास जास्त खर्चिक | कर्मचारी आणि नियंत्रित एंटरप्राइझ ॲक्सेस |
| Certificate-based EAP-TLS | डिव्हाइस किंवा वापरकर्ता प्रमाणपत्र ओळख सिद्ध करते | खूप उच्च, चोरी किंवा पुन्हा वापरण्यासाठी कोणताही सामायिक पासवर्ड नसतो | स्वयंचलित (automated) असताना उत्कृष्ट. बऱ्याचदा वापरकर्त्यासाठी अदृश्य असते | वापरकर्त्यांसाठी कमी, परंतु स्वयंचलित न केल्यास ॲडमिन्ससाठी उच्च असू शकते | एंटरप्राइझ कर्मचारी, व्यवस्थापित डिव्हाइसेस, उच्च-विश्वासू परिसर |
परिचित पण कमकुवत पायावर WPA3-Personal ही अधिक चांगली सुरक्षा आहे
WPA3-Personal जुन्या प्री-शेअर्ड की मॉडेलमध्ये सुधारणा करते. SAE पासवर्डवरील हल्ले कठीण करते, त्यामुळे सामान्य सामायिक पासवर्डद्वारे सुरक्षित असलेल्या जुन्या WiFi च्या तुलनेत हे एक महत्त्वपूर्ण पाऊल आहे.
पण यात ऑपरेशनल अडचण आहे. प्रत्येकजण अजूनही एकाच गुप्त पासवर्डवर अवलंबून असतो.
यामुळे मल्टि-साइट परिसरांमध्ये अपेक्षित समस्या उद्भवतात:
- वितरणाचा धोका कारण पासवर्ड मेसेज, प्रिंट केलेल्या मार्गदर्शिका आणि शिफ्ट हँडओव्हर नोट्समध्ये कॉपी केले जातात
- रोटेशनचा त्रास कारण एका पासवर्ड बदलाचा अर्थ अनेक डिव्हाइसेस पुन्हा कॉन्फिगर करणे असा होऊ शकतो
- अस्पष्ट श्रेय (Poor attribution) कारण नेटवर्क हे पाहू शकते की पासवर्ड वापरला गेला आहे, पण तो कोणत्या व्यक्तीने वापरला हे समजत नाही
- कमकुवत ऑफबोर्डिंग कारण एक वापरकर्ता काढून टाकण्याचा अर्थ बऱ्याचदा सर्वांसाठीचा ॲक्सेस बदलणे असा होतो
लहान ऑफिससाठी हे चालू शकते. परंतु हंगामी कामगार असलेल्या रिटेलरसाठी, क्लिनिकल आणि नॉन-क्लिनिकल भूमिका असलेल्या हॉस्पिटलसाठी किंवा कर्मचाऱ्यांची वारंवार अदलाबदल होणाऱ्या हॉस्पिटॅलिटी ग्रुपसाठी, हे सपोर्टचे काम आणि पॉलिसी विचलनाचे वारंवार उद्भवणारे कारण बनते.
WPA3-Enterprise नेटवर्कला ओळखीवर आधारित निर्णय घेण्याची क्षमता देते
WPA3-Enterprise प्रवेश मॉडेलमध्ये बदल करते. "तुम्हाला पासवर्ड माहित आहे का?" असे विचारण्याऐवजी, नेटवर्क 802.1X आणि RADIUS सारख्या ओळख प्रणालीद्वारे "तुम्ही कोण आहात?" किंवा "हे कोणते डिव्हाइस आहे?" असे विचारू शकते.
हा बदल महत्त्वाचा आहे कारण तो मोठ्या संस्था इतर ठिकाणी आधीपासूनच ज्या पद्धतीने ॲक्सेस व्यवस्थापित करतात त्याला सपोर्ट करतो. कर्मचाऱ्यांची खाती डिरेक्टरी पॉलिसीशी जोडली जाऊ शकतात. डिव्हाइसेस वेगवेगळ्या भूमिकांमध्ये विभागली जाऊ शकतात. संपूर्ण इमारतीचा पासवर्ड रिसेट न करता तडजोड केलेले क्रेडेंशियल निष्क्रिय केले जाऊ शकते.
क्रिप्टोग्राफी देखील अधिक मजबूत आहे, विशेषत: नियंत्रित संस्थांद्वारे वापरल्या जाणाऱ्या उच्च-सुरक्षा मोडमध्ये. परंतु सर्वात मोठा फायदा म्हणजे नियंत्रण. एका व्यक्तीचे खाते आता संपूर्ण SSID साठी मास्टर की सारखे काम करत नाही.
जिथे टीम अडकतात ते म्हणजे डिप्लॉयमेंटचे प्रयत्न. पारंपारिक एंटरप्राइझ WiFi अनेकदा एकाच वेळी अनेक गोष्टींची मागणी करते: RADIUS, सर्टिफिकेट सेवा, डिरेक्टरी इंटिग्रेशन, सप्लिकंट कॉन्फिगरेशन आणि योग्यरित्या काम न करणाऱ्या डिव्हाइसेससाठी सपोर्ट प्रक्रिया. जर या पायऱ्या मॅन्युअली हाताळल्या गेल्या, तर सुरक्षा मॉडेल मजबूत असते पण दैनंदिन कामकाज कठीण होऊ शकते.
सर्टिफिकेट-आधारित EAP-TLS हे सामान्यतः सर्वात स्वच्छ ट्रस्ट मॉडेल असते
EAP-TLS एखाद्या विशिष्ट व्यक्तीला किंवा डिव्हाइसला जारी केलेल्या ॲक्सेस बॅजसारखे काम करते. नेटवर्क लक्षात ठेवलेला गुप्त पासवर्ड विचारत नाही. ते फक्त सादर केलेले सर्टिफिकेट विश्वसनीय जारीकर्त्याकडून आले आहे की नाही आणि ते अद्याप वैध आहे की नाही हे तपासते.
हे पासवर्डपेक्षा तांत्रिक वाटते कारण ते खरोखरच आहे. तरीही वापरकर्त्यांसाठी, हे सहसा सोपे असते. एकदा लॅपटॉप, स्कॅनर, हँडसेट किंवा टॅबलेट नोंदणीकृत झाले की, कनेक्शन स्वयंचलितपणे होऊ शकते. नर्सिंग स्टेशनवर, चेकआउटच्या मागे किंवा हॉटेलच्या रिसेप्शन डेस्कवर कोणालाही WiFi पासवर्ड टाईप करण्याची आवश्यकता नसते.
सर्वोत्तम एंटरप्राइझ WiFi अनुभव शांत असतो. वापरकर्ता लॅपटॉप उघडतो किंवा फोन अनलॉक करतो, आणि नेटवर्कला आधीच माहित असते की ते डिव्हाइस तिथलेच आहे.
सर्टिफिकेट-आधारित ॲक्सेस लाइफसायकल नियंत्रण देखील बरेच सोपे आणि स्वच्छ करतो. क्रेडेंशियल्स प्रति डिव्हाइस जारी केले जाऊ शकतात, ओळख रेकॉर्डशी मॅप केले जाऊ शकतात आणि इतरांवर परिणाम न करता रद्द केले जाऊ शकतात. हा केवळ सुरक्षेचा फायदा नसून व्यावहारिक फायदा आहे. हरवलेली डिव्हाइसेस, काम सोडणारे कर्मचारी, कंत्राटदार आणि तात्पुरते युनिट्स संपूर्ण पासवर्ड बदलण्याऐवजी अगदी अचूकपणे हाताळले जाऊ शकतात.
निर्णय शेवटी प्रशासकीय असतो, केवळ क्रिप्टोग्राफिक नाही
कागदावर कोणती पद्धत सर्वात मजबूत आहे असा प्रश्न टीम्स अनेकदा विचारतात. अधिक चांगला प्रश्न हा आहे की संस्था मोठ्या प्रमाणावर कोणती मजबूत पद्धत जारी करू शकते, नूतनीकरण करू शकते, रद्द करू शकते आणि सपोर्ट देऊ शकते.
एक सोपी निर्णय फ्रेमवर्क मदत करते:
- वापरकर्ते व्यवस्थापित नसलेले आणि अल्प-मुदतीचे असल्यास, एका व्यक्तीकडून दुसऱ्या व्यक्तीकडे जाणार्या सामायिक सिक्रेट्सवर अवलंबून असणारे मॉडेल टाळा.
- डिव्हाइसेस व्यवस्थापित असल्यास आणि ओळख महत्त्वाची असल्यास, PSKs ऐवजी एंटरप्राइझ ऑथेंटिकेशन वापरा.
- ॲक्सेस लवकर रद्द करावा लागत असल्यास, सर्टिफिकेट-आधारित पद्धती सामान्यतः अधिक स्वच्छ नियंत्रण प्रदान करतात.
- जुने डिव्हाइसेस ऑनलाइन ठेवणे आवश्यक असल्यास, मुख्य नेटवर्क कमकुवत करण्याऐवजी त्यांना स्वतंत्र मार्गावर मर्यादित ठेवा.
हाच तो टप्पा आहे जिथे वायरलेस सुरक्षा अधिक व्यापक झिरो ट्रस्ट नेटवर्क ॲक्सेस आर्किटेक्चर सोबत जोडली जाते. नेटवर्कने केवळ SSID आणि पासवर्डच्या मालकीवर नव्हे, तर सत्यापित ओळख आणि डिव्हाइसच्या स्थितीच्या आधारे विश्वास दिला पाहिजे.
ऑटोमेशनमुळे खर्चाचे मॉडेल बदलते. प्लॅटफॉर्म्स आयडेंटिटी इंटिग्रेशन, सर्टिफिकेट-स्टाईल ऑनबोर्डिंग, Passpoint प्रोव्हिजनिंग आणि प्रत्येक डिव्हाइसनुसार पॉलिसीची अंमलबजावणी याभोवती असणारे मॅन्युअल काम कमी करू शकतात. या श्रेणीमध्ये, सामायिक पासवर्डभोवती सर्व गोष्टी पुन्हा न उभारता डायरेक्टरी-इंटिग्रेटेड स्टाफ ऍक्सेस, पासवर्डशिवाय गेस्ट ऑथेंटिकेशन आणि जुन्या डिव्हाइसेससाठी iPSK सपोर्ट हवा असलेल्या टीम्ससाठी Purple हा एक चांगला पर्याय आहे.
संस्थांनी सर्वात आधी काय बंद केले पाहिजे
काही पॅटर्न अजूनही वापरले जातात कारण ते परिचयाचे आहेत, म्हणून नाही की ते दबावाखाली टिकून राहतात:
- सर्व स्टाफसाठी एकच WiFi पासवर्ड असणे
- वापरकर्त्यांमध्ये कमकुवत वेगळेपणा असलेला एकच गेस्ट SSID असणे
- प्रत्येक कंत्राटदार, तात्पुरता कामगार किंवा भेट देणाऱ्या भागीदारासाठी मॅन्युअल ऑनबोर्डिंग करणे
- पासवर्ड रोटेशनचे प्रोजेक्ट्स जे प्रत्येक वेळी राबवताना कामकाजात अडथळा आणतात
जेव्हा ऍक्सेस हा व्यवसायाच्या इतर भागांप्रमाणे कार्य करतो, तेव्हा वायरलेस सुरक्षा सुधारते. क्लाउड ॲप्स एकाच शेअर्ड कंपनी पासवर्डने सुरक्षित केले जात नाहीत. इमारतीमधील प्रवेश प्रत्येक कर्मचाऱ्यासाठी कॉपी केलेल्या एकाच बॅजवर अवलंबून नसतो. WiFi ने देखील याच लॉजिकचा वापर केला पाहिजे. ओळख विशिष्ट असावी, रिव्होकेशन लक्षित असावे आणि ऍक्सेस केवळ प्रोटोकॉल चार्टमध्ये स्पष्ट करणे सोपे नसून, वास्तविक वातावरणात ऑपरेट करणे सोपे असावे.
एक सुरक्षित Zero-Trust वायरलेस आर्किटेक्चर डिझाइन करणे
एक पाहुणा हॉटेलमध्ये चेक-इन करतो, एक नर्स वॉर्ड्स दरम्यान कनेक्टेड मॉनिटर घेऊन जाते आणि स्टोअर असोसिएट दारे उघडण्यापूर्वी हँडहेल्ड स्कॅनरमध्ये साइन इन करतो. हे तिन्ही एकाच वायरलेस इस्टेटवर अवलंबून आहेत. परंतु या तिन्हींना वेगवेगळ्या प्रकारे हाताळले पाहिजे.
Zero Trust ही डिझाइनची समस्या WiFi वर सोडवते.
Zero Trust चा सारांश सहसा कधीही विश्वास ठेवू नका, नेहमी पडताळणी करा असा केला जातो. वायरलेस नेटवर्कवर, याचा अर्थ असा आहे की केवळ डिव्हाइसला SSID माहित आहे, ते इमारतीच्या आत आहे किंवा गेल्या आठवड्यात यशस्वीरित्या कनेक्ट झाले होते म्हणून त्याला ऍक्सेस दिला जाऊ नये. रेडिओ सिग्नल्स भिंतींवर थांबत नाहीत आणि अटॅकर्सना रेंजमध्ये येण्यासाठी ऑफिसमध्ये रिकाम्या डेस्कची गरज नसते.
वायरलेस ऍक्सेस नियंत्रित बिल्डिंग ऍक्सेसप्रमाणे कार्य करत असावा
एक चांगल्या प्रकारे चालवली जाणारी इमारत प्रत्येक दरवाजासाठी एकच चावी वापरत नाही. अभ्यागत रिसेप्शनपर्यंत पोहोचतात. कर्मचारी कामाच्या ठिकाणी पोहोचतात. फार्मसी टीम्स औषध साठवणुकीच्या जागेपर्यंत पोहोचतात. खूप कमी लोक सर्व्हर रूमपर्यंत पोहोचतात.
WiFi ने देखील याच लॉजिकचा वापर केला पाहिजे. SSID हा केवळ मुख्य दरवाजा आहे. खरा नियंत्रण ऑथेंटिकेशननंतर काय होते यावरून मिळते, जेव्हा नेटवर्क हे ठरवते की या वापरकर्त्याला किंवा डिव्हाइसला कशाचा ऍक्सेस मिळण्यास परवानगी आहे.
एक व्यावहारिक Zero Trust डिझाइन सहसा किमान चार गट वेगळे करते:
- पाहुणे (Guests) ज्यांना फक्त इंटरनेट ऍक्सेसची गरज आहे
- कर्मचारी (Staff) ज्यांना व्यावसायिक प्रणाली आणि अंतर्गत ॲप्लिकेशन्सची गरज आहे
- IoT आणि ऑपरेशनल डिव्हाइसेस जसे की सेन्सर्स, स्कॅनर्स, डिस्प्ले, टीव्ही, प्रिंटर्स आणि टर्मिनल्स
- प्रशासकीय किंवा अत्यंत संवेदनशील प्रणाली ज्यांच्याकडे सर्वात मर्यादित ऍक्सेस मार्ग असावा
हे ऐकायला ओळखीचे वाटते कारण अनेक टीम्स आधीच स्वतंत्र SSIDs किंवा VLANs वापरतात. समस्या अशी आहे की केवळ व्यापक सेगमेंटेशन हॉटेल, रिटेल साइट्स किंवा हेल्थकेअर कॅम्पस सारख्या वास्तविक वातावरणासाठी पुरेशा अचूकतेने विश्वासाचे वर्णन करत नाही. नर्सने जारी केलेले टॅब्लेट, रुग्णाचा फोन, स्मार्ट टीव्ही आणि पेमेंट टर्मिनल यांना एकाच मजल्यावर असल्यामुळे समान पॉलिसी लागू होऊ नये.
सेगमेंटेशन आणि आयसोलेशन वेगवेगळ्या समस्या सोडवतात
बऱ्याचदा, वायरलेस डिझाईन्स आकृतीमध्ये योग्य दिसतात परंतु प्रत्यक्षात अपयशी ठरतात.
एक वेगळे गेस्ट VLAN पाहुण्यांच्या ट्रॅफिकला अंतर्गत प्रणालींपासून दूर ठेवू शकते. परंतु ते आपोआप एका गेस्ट डिव्हाइसला त्याच सेगमेंटवरील दुसऱ्या गेस्ट डिव्हाइसचा शोध घेण्यापासून किंवा त्यावर हल्ला करण्यापासून रोखत नाही. व्यस्त सामायिक वातावरणात, हा फरक महत्त्वाचा ठरतो. क्लायंट आयसोलेशन जवळच्या डिव्हाइसेसमधील परस्पर एक्सपोजर नियंत्रित करते. त्याशिवाय, नेटवर्क सेगमेंटेड दिसू शकते परंतु तरीही स्थानिक हस्तक्षेप किंवा संधीसाधू हल्ल्यांना परवानगी देऊ शकते.
हे समजून घेण्याचा एक सोपा मार्ग असा आहे:
सेगमेंटेशन हे ठरवते की तुम्ही नेटवर्कच्या कोणत्या भागात प्रवेश करता. क्लायंट आयसोलेशन हे ठरवते की तुम्ही तुमच्या शेजारी असलेल्या इतर डिव्हाइसेसशी संवाद साधू शकता की नाही.
तुम्हाला दोन्हीची गरज आहे, विशेषतः अशा मल्टि-टेनंट वातावरणात जिथे अनेक असंबंधित युजर्स एकाच भौतिक जागेत असतात.
ऍक्सेस हा आयडेंटिटीने ठरवला पाहिजे, नेटवर्कच्या नावाने नाही
एकदा तुम्ही Zero Trust साठी डिझाइन केले की, SSID हा मुख्य सुरक्षा मर्यादेऐवजी केवळ ट्रान्सपोर्ट पर्याय बनतो. आयडेंटिटी हीच खरी मर्यादा बनते.
यामुळे आर्किटेक्चरमध्ये व्यावहारिक बदल होतात:
- सामायिक पासवर्डवर अवलंबून राहण्याऐवजी प्रत्येक युजर किंवा डिव्हाइस स्वतंत्रपणे ऑथेंटिकेट करा
- भूमिका, डिव्हाइसचा प्रकार, स्थान, भाडेकरू किंवा जोखमीच्या आधारे पॉलिसी डायनॅमिकली लागू करा
- ईस्ट-वेस्ट व्हिजिबिलिटी प्रतिबंधित करा जेणेकरून शेजारील डिव्हाइसेस एकमेकांना सहज शोधू शकणार नाहीत
- ऍक्सेसमधील बदल लाइफसायकल इव्हेंट्सशी जोडा जेणेकरून ऑफबोर्डिंग, डिव्हाइस गहाळ होणे किंवा कंत्राटदाराची मुदत संपल्यानंतर ऍक्सेस रद्द केला जाईल
- लेगसी अपवादांना मर्यादित ठेवा जेणेकरून जुने हार्डवेअर मुख्य प्रवाहातील ऍक्सेसला असुरक्षित करणार नाही
म्हणूनच एंटरप्राइझ WiFi मध्ये सर्टिफिकेट-आधारित ऍक्सेस महत्त्वाचा ठरतो. सर्टिफिकेट हे पुन्हा वापरता येण्याजोग्या पासवर्डपेक्षा व्यवस्थापित आयडी कार्डसारखे काम करते. ते कोणी जारी केले आहे, ते अद्याप वैध आहे की नाही आणि त्यानुसार कोणती पॉलिसी लागू केली पाहिजे, हे नेटवर्क तपासू शकते. एखादा कर्मचारी सोडून गेल्यास किंवा डिव्हाइस धोक्यात आल्यास, तुम्ही डझनभर किंवा शेकडो एंडपॉइंट्सवर सामायिक केलेला पासवर्ड बदलण्याऐवजी फक्त ते एक क्रेडेंशियल रद्द करू शकता.
वायरलेस नियंत्रणांना अधिक व्यापक Zero Trust नेटवर्क ॲक्सेस आर्किटेक्चर सह संरेखित करणाऱ्या संस्थांसाठी, ते आयडेंटिटी-फर्स्ट मॉडेल हा सर्वात महत्त्वाचा बदल आहे. ॲक्सेस हा एखाद्या व्यक्तीशी, डिव्हाइसशी आणि संदर्भाशी जोडलेला पॉलिसी निर्णय बनतो, एखाद्याला योग्य पासफ्रेज माहीत आहे की नाही याची केवळ एक वेळची चाचणी नाही.
एंटरप्राइझ ऑपरेशन्स हेच असे ठिकाण आहे जिथे चांगले डिझाइन्स यशस्वी किंवा अपयशी ठरतात
सर्वात कठीण भाग प्रोटोकॉलचे संक्षिप्त रूप निवडणे हा नसतो. तर त्या डिझाइनचे दररोज ऑपरेशन चालवणे हा असतो.
एका हॉटेलमध्ये एकाच मालमत्तेवर शॉर्ट-स्टे पाहुणे, लाँग-स्टे रहिवासी, कंत्राटदार, फ्रंट-डेस्क कर्मचारी, IPTV युनिट्स, कुलूप आणि बॅक-ऑफिस सिस्टीम असू शकतात. एखाद्या रिटेलरकडे स्टोअर टॅब्लेट, POS टर्मिनल्स, स्टॉक स्कॅनर्स, डिजिटल साइनेज आणि भेट देणारे व्हेंडर डिव्हाइसेस असू शकतात. रुग्णालयात क्लिनिकल वर्कस्टेशन्स, बायोमेडिकल डिव्हाइसेस, पेशंट ॲक्सेस आणि तात्पुरते कर्मचारी सतत वेगवेगळ्या जागांमध्ये फिरत असू शकतात. सामायिक केलेले पासवर्ड आणि मॅन्युअल ऑनबोर्डिंग अशा परिस्थितीत टिकत नाहीत कारण ते जोखीम आणि ॲडमिन ओव्हरहेड दोन्ही तयार करतात.
म्हणूनच आधुनिक वायरलेस सुरक्षेला एकाच वेळी दोन कामे करावी लागतात. त्याला एक्सपोजर कमी करावे लागते आणि ते चालवणाऱ्या टीम्ससाठी ते व्यावहारिक असावे लागते.
व्यवहारात, याचा अर्थ सहसा पुढील गोष्टी एकत्र करणे असा होतो:
- सर्टिफिकेट किंवा आयडेंटिटी-आधारित एंटरप्राइझ पद्धतींसह मजबूत कर्मचारी ऑथेंटिकेशन
- प्रति-डिव्हाइस किंवा प्रति-भूमिका पॉलिसी असाइनमेंट
- अविश्वासू आणि अतिथी युझर्ससाठी क्लायंट आयसोलेशन
- ऑटोमेटेड ऑनबोर्डिंग आणि रिव्होकेशन
- आधुनिक ऑथेंटिकेशनला सपोर्ट न करू शकणाऱ्या लेगसी एंडपॉइंट्ससाठी iPSK सारखे नियंत्रित फॉलबॅक पर्याय
तुम्ही केवळ फिचर चार्टवर प्रोटोकॉलची तुलना केली तर ऑपरेशनल फायदा समजणे कठीण आहे. चांगली वायरलेस सुरक्षा म्हणजे केवळ मजबूत क्रिप्टोग्राफी नव्हे. हे असे डिझाइन आहे जे आयटीला ॲक्सेस जलद बदलण्याची, एकच डिव्हाइस सहजपणे काढून टाकण्याची, सर्व्हिस-डेस्कच्या त्रासाशिवाय युझर्स ऑनबोर्ड करण्याची आणि प्रत्येक वेळी व्यवसाय बदलल्यावर पॉलिसी पुन्हा तयार करणे टाळण्याची परवानगी देते.
Passpoint आणि OpenRoaming सह अखंड सुरक्षा प्राप्त करणे
पारंपारिक कॅप्टिव्ह पोर्टल्सनी एका जुन्या समस्येचे निराकरण केले. त्यांनी डेस्कवर पासवर्ड न देता लोकांना नियम दाखवण्याचा, काही तपशील गोळा करण्याचा आणि ऑनलाइन जाण्याचा मार्ग दिला. बऱ्याच काळासाठी, ते पुरेसे होते.
परंतु आता हे मॉडेल फारसे मजबूत राहिलेले नाही.
कॅप्टिव्ह पोर्टल्स अडथळे निर्माण करतात, विशेषतः अशा ठिकाणी जिथे युझरला फक्त जलद आणि विश्वसनीय ॲक्सेस हवा असतो. ते वाईट सवयींना देखील प्रोत्साहन देतात. युझर्सना प्रॉम्प्ट्समधून क्लिक करणे, रीडायरेक्ट्स स्वीकारणे आणि नेटवर्क ट्रस्टला सुरक्षा निर्णयाऐवजी ब्रँडिंगचा भाग म्हणून मानण्याची सवय लागते. काही डिव्हाइसेस आणि ॲप्सवर, हा अनुभव इतका विसंगत असतो की ज्यामुळे सपोर्ट कॉल्स आणि ॲबँडनमेंट वाढते.
Passpoint मोबाईल रोमिंगसारखे का वाटते
Passpoint WiFi ला मोबाईल नेटवर्कसारखे कार्य करायला लावून अनुभव पूर्णपणे बदलून टाकते. डिव्हाइस विश्वसनीय प्रदात्याला ओळखते, आपोआप प्रमाणीकृत होते आणि सुरुवातीपासूनच एनक्रिप्टेड कनेक्टिव्हिटी स्थापित करते. वापरकर्त्याला प्रत्यक्ष प्रवेश सुरू होण्यापूर्वी ब्राउझर उघडण्याची आणि लॉगिन पेज हाताळण्याची आवश्यकता नसते.
हा एक महत्त्वाचा सुरक्षा सुधारणा आहे कारण सर्वात सुरक्षित कनेक्शन बहुतेकदा तेच असते जे गोंधळाची शक्यता काढून टाकते. बनावट बनवण्यासाठी कोणतेही पोर्टल पेज नाही. चोरून ऐकण्यासाठी कोणताही पासवर्ड नाही. असोसिएशन आणि सुरक्षित वापर यामध्ये कोणताही अनावधानाने येणारा अडथळा नाही.
ऑपरेटरसाठी, याचे आकर्षण तितकेच व्यावहारिक आहे:
- पाहुणे आणि अभ्यागतांसाठी कमी कनेक्शन पायऱ्या
- फ्रंट डेस्क आणि सर्व्हिस काउंटरवरील कमी सपोर्ट ओव्हरहेड
- अधिक सुसंगत रिटर्न-व्हिजिट अनुभव
- ओळख-आधारित प्रवेश मॉडेलसह मजबूत संरेखन
OpenRoaming ट्रस्ट मॉडेलचा विस्तार करते
OpenRoaming याच कल्पनेवर आधारित आहे आणि त्याचा फेडरेशन मॉडेलमध्ये विस्तार करते. वापरकर्ता एका मान्यताप्राप्त ओळख प्रदात्याद्वारे प्रमाणीकृत करतो, नंतर प्रत्येक वेळी संपूर्ण ऑनबोर्डिंग प्रक्रियेची पुनरावृत्ती न करता सहभागी ठिकाणांवर सुरक्षितपणे कनेक्ट होतो.
जर तुम्ही एखादा हॉस्पिटल समूह, रिटेल इस्टेट, इव्हेंट पोर्टफोलिओ किंवा हॉस्पिटॅलिटी ब्रँड चालवत असाल, तर हे महत्त्वाचे आहे कारण विश्वास वेगवेगळ्या ठिकाणी वापरकर्त्याच्या सोबत राहू शकतो. जेव्हा कोणी नवीन प्रॉपर्टीमध्ये प्रवेश करते तेव्हा नेटवर्कला प्रत्येक वेळी जेनेरिक पोर्टलवर अवलंबून राहण्याची आवश्यकता नसते.
पासवर्डशिवाय प्रवेश हे केवळ सोयीचे वैशिष्ट्य नाही. हे अतिथी WiFi ऑपरेशन्समधील सर्वात जास्त त्रुटी-प्रवण भागांपैकी एक काढून टाकते, जे सामायिक क्रेडेंशियल्सचे वितरण, पुनर्वापर आणि सपोर्टचे ओझे आहे.
वास्तविक ऑपरेशन्समध्ये हे का महत्त्वाचे आहे
मजबूत वायरलेस नियंत्रणांना असलेला व्यावहारिक विरोध नेहमीच वापरकर्त्याच्या त्रासाशी संबंधित असतो. "हे सुरक्षित वाटते, पण पाहुणे हे सहन करणार नाहीत." Passpoint आणि OpenRoaming हा आक्षेप कमकुवत करतात कारण ते अनुभव गुंतागुंतीचा बनवण्याऐवजी सोपा करून सुरक्षा सुधारतात.
हे एक दुर्मिळ आणि अत्यंत मूल्यवान संयोजन आहे.
एंटरप्राइझ आणि सार्वजनिक वातावरणात, आधुनिक अतिथी मॉडेलचे एकाच वेळी तीन गोष्टींवर लक्ष असले पाहिजे:
| आवश्यकता | जुने पोर्टल मॉडेल | Passpoint आणि OpenRoaming मॉडेल |
|---|---|---|
| वापरकर्त्याचे प्रयत्न | मॅन्युअल आणि विसंगत | एकदा विश्वास ठेवला की स्वयंचलित |
| सुरक्षा स्थिती | नक्कल करणे आणि व्यत्यय आणणे सोपे | ओळख-नेतृत्व आणि सुरुवातीपासून एनक्रिप्टेड |
| ऑपरेशनल लोड | कर्मचारी सपोर्ट आणि वारंवार ऑनबोर्डिंग | सेटअपनंतर कमी हस्तक्षेपाची गरज |
हा असा भाग देखील आहे जिथे वेन्यू ऑपरेटर्स नेटवर्किंगला निष्ठा आणि सेवा गुणवत्तेशी जोडण्यास सुरवात करतात. परत येणारा पाहुणा जो त्वरित पुन्हा जोडला जातो त्याला नेटवर्क विश्वसनीय आणि अदृश्य असल्याचा अनुभव येतो. अंतिम वापरकर्त्याला चांगल्या वायरलेस कनेक्शन सुरक्षेची नेमकी अशीच अनुभूती मिळायला हवी.
वायरलेसचे भविष्य सुरक्षित आणि सोपे आहे
प्रवासाची दिशा स्पष्ट आहे. वायरलेस सुरक्षा ही शेअर्ड सिक्रेट्स (shared secrets) कडून ओळख-आधारित प्रवेशाकडे (identity-based access) वळत आहे. तो बदल महत्त्वाचा आहे कारण सामायिक केलेले पासवर्ड हा नेहमीच तडजोडीचा भाग होता. ते स्पष्ट करणे सोपे आहे, परंतु मोठ्या प्रमाणावर चांगल्या प्रकारे नियंत्रित करणे कठीण आहे.
जेव्हा नेटवर्कला हे माहित असते की कोण किंवा काय कनेक्ट होत आहे, योग्य पॉलिसी स्वयंचलितपणे लागू करते आणि लोक व डिव्हाइस बदलत असताना तो निर्णय अद्ययावत ठेवते, तेव्हा आधुनिक वायरलेस कनेक्शन सुरक्षा अधिक चांगल्या प्रकारे कार्य करते. म्हणूनच सर्टिफिकेट-आधारित प्रवेश, एंटरप्राइझ प्रमाणीकरण आणि पासवर्डशिवाय ऑनबोर्डिंग हे चांगल्या डिझाइनचे व्यावहारिक केंद्र बनत आहेत.
सुरक्षा आणि उपयोगिता मधील जुनी तडजोड आता पूर्वीसारखी राहिलेली नाही. तुम्हाला आता कठीण एंटरप्राइझ सेटअप आणि सोयीस्कर पण जोखमीचे गेस्ट मॉडेल यापैकी एकाची निवड करण्याची गरज नाही. योग्य आर्किटेक्चरसह, कर्मचारी व्यवस्थापित ओळखीद्वारे प्रमाणीकृत करू शकतात, जुनी डिव्हाइसेस प्रति-डिव्हाइस नियंत्रणासह मर्यादित केली जाऊ शकतात आणि अतिथी Passpoint आणि OpenRoaming सारख्या सुलभ यंत्रणेद्वारे कनेक्ट होऊ शकतात.
एकंदरीत धडा सोपा आहे. वापरकर्ते ऑनलाईन जाऊ शकतात की नाही यावरून वायरलेस नेटवर्कचे मूल्यमापन करू नका. प्रवेश सत्यापित आहे की नाही, ट्रॅफिक सुरक्षित आहे की नाही, शेजारील डिव्हाइसेस विलग आहेत की नाही आणि गोंधळ न होता क्रेडेंशियल बदलले जाऊ शकतात की नाही यावरून त्याचे मूल्यमापन करा.
जर तुमचे सध्याचे डिझाइन अद्याप शेअर्ड की, मॅन्युअल ऑनबोर्डिंग आणि पोर्टल-केंद्रित वर्कफ्लोवर अवलंबून असेल, तर त्याचे पुनर्मूल्यांकन करणे योग्य आहे. सर्वात मजबूत नेटवर्क आता कायदेशीर वापरकर्त्यांसाठी सुरक्षा जवळजवळ अदृश्य करतात आणि नियंत्रण पूर्णपणे ऑपरेटर्सच्या हातात ठेवतात.
जर तुम्ही अतिथी, कर्मचारी आणि मल्टि-भाडेकरू प्रवेशाचे आधुनिकीकरण कसे करायचे याचे पुनरावलोकन करत असाल, तर एक प्लॅटफॉर्म म्हणून Purple चे मूल्यमापन करणे योग्य आहे जे पासवर्डशिवाय अतिथी कनेक्टिव्हिटी, ओळख-आधारित कर्मचारी प्रमाणीकरण आणि Passpoint, OpenRoaming आणि प्रति-डिव्हाइस प्रवेश मॉडेल यांसारखी ऑपरेशनल नियंत्रणे एकाच वातावरणात एकत्र आणते.
