प्रमाणपत्र निरस्तीकरणाचे स्वयंचलन OCSP आणि CRL वापरून NAC वातावरणात

NAC एन्वायरमेंटमध्ये OCSP आणि CRL सह सर्टिफिकेट रिव्होकेशन स्वयंचलित करणे एक Purple तांत्रिक ब्रीफिंग — अंदाजे 10 मिनिटे --- परिचय आणि संदर्भ — अंदाजे 1 मिनिट Purple तांत्रिक ब्रीफिंग सिरीजमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण सर्टिफिकेट रिव्होकेशन स्वयंचलित करण्याच्या मेकॅनिक्समध्ये जाणार आहोत — विशेषतः नेटवर्क ॲक्सेस कंट्रोल एन्वायरमेंटमध्ये OCSP आणि CRL कसे कार्य करतात, आणि एंटरप्राइझ WiFi डिप्लॉयमेंट्समध्ये हा सर्वात दुर्लक्षित सुरक्षा निर्णय का आहे. जर तुम्ही एखादी हॉटेल चेन, रिटेल इस्टेट, स्टेडियम किंवा शेकडो किंवा हजारो कनेक्टेड उपकरणांसह सार्वजनिक क्षेत्रातील नेटवर्क चालवत असाल, तर सर्टिफिकेट लाइफसायकल मॅनेजमेंट हा केवळ एक पर्याय नाही. रिअल टाइममध्ये पॉलिसी लागू करणारे नेटवर्क आणि आठवड्यांपूर्वी कट ऑफ व्हायला हव्या असलेल्या उपकरणांमधून रद्द केलेले क्रेडेंशियल्स शांतपणे बाळगणारे नेटवर्क यातील हा फरक आहे. आम्ही तांत्रिक आर्किटेक्चर कव्हर करू, दोन वास्तविक डिप्लॉयमेंट परिस्थितींमधून जाऊ, आणि तुम्ही प्रोडक्शन रोलआउटच्या जवळ जाण्यापूर्वी तुमच्या टीमने विचारले पाहिजेत अशा प्रश्नांसह समाप्त करू. चला तर मग सुरुवात करूया. --- तांत्रिक सखोल माहिती — अंदाजे 5 मिनिटे प्रथम, आपण सोडवत असलेली समस्या स्थापित करूया. कोणत्याही IEEE 802.1X-ऑथेंटिकेटेड नेटवर्कमध्ये — जे एंटरप्राइझ WiFi, वायर्ड NAC आणि बहुतांश आधुनिक गेस्ट ॲक्सेस आर्किटेक्चर्सचा आधार आहे — उपकरणे क्रेडेंशियल्स किंवा सर्टिफिकेट्स वापरून ऑथेंटिकेट करतात. सर्टिफिकेट्स श्रेयस्कर आहेत कारण ते शेअर्ड सिक्रेट्सवर अवलंबून नसतात, ते डिव्हाइस-बाउंड असतात आणि ते SCEP सारख्या प्रोटोकॉल्सद्वारे MDM प्लॅटफॉर्म्ससह स्वच्छपणे इंटिग्रेट होतात. परंतु सर्टिफिकेट्सचे एक लाइफसायकल असते. ते कालबाह्य होतात, त्यांच्याशी तडजोड केली जाते आणि उपकरणे डिकमिशन केली जातात. जेव्हा यापैकी कोणतीही गोष्ट घडते, तेव्हा तुम्हाला तुमच्या नेटवर्क इन्फ्रास्ट्रक्चरला सांगण्यासाठी एका यंत्रणेची आवश्यकता असते: हे सर्टिफिकेट आता वैध नाही, त्यावर विश्वास ठेवणे थांबवा. ती यंत्रणा दोन प्रकारांमध्ये येते: CRL, ज्याचा अर्थ सर्टिफिकेट रिव्होकेशन लिस्ट आहे, आणि OCSP, ज्याचा अर्थ ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल आहे. आपण CRL पासून सुरुवात करूया. सर्टिफिकेट रिव्होकेशन लिस्ट हे अगदी त्याच्या नावासारखेच आहे — तुमच्या सर्टिफिकेट ऑथॉरिटीद्वारे प्रकाशित केलेली, रद्द केलेल्या प्रत्येक सर्टिफिकेट सिरीयल नंबरची एक साइन्ड यादी. तुमचे NAC इन्फ्रास्ट्रक्चर — सामान्यतः FreeRADIUS, Cisco ISE, किंवा Aruba ClearPass सारखा RADIUS सर्व्हर — ही यादी वेळोवेळी CRL डिस्ट्रिब्युशन पॉइंटवरून डाउनलोड करते, जे फक्त एक HTTP किंवा LDAP एंडपॉइंट असते. RADIUS सर्व्हर ही यादी लोकली कॅश करतो आणि EAP-TLS हँडशेक दरम्यान येणाऱ्या सर्टिफिकेट सिरीयल नंबर्सची त्याच्याशी पडताळणी करतो. CRL चा ऑपरेशनल फायदा म्हणजे साधेपणा आणि ऑफलाइन रेझिलियन्स. एकदा यादी डाउनलोड झाल्यानंतर, तुमचे CA अनरिचेबल असले तरीही रिव्होकेशन चेकिंग कार्य करते. याचा तोटा म्हणजे लेटन्सी. जर तुम्ही सकाळी 9 वाजता एखादे सर्टिफिकेट रद्द केले आणि तुमचा CRL रिफ्रेश इंटरव्हल 24 तासांचा असेल, तर ते उपकरण पुढील शेड्यूल्ड डाउनलोडपर्यंत ऑथेंटिकेट करू शकते. हाय-सिक्युरिटी एन्वायरमेंटमध्ये — हॉस्पिटल, फायनान्शियल सर्व्हिसेस बॅक ऑफिस, सरकारी नेटवर्क — ती विंडो अस्वीकार्य आहे. OCSP लेटन्सीची समस्या सोडवते. लोकल कॅश केलेली यादी राखण्याऐवजी, तुमचा RADIUS सर्व्हर व्हॅलिडेट करण्यासाठी आवश्यक असलेल्या प्रत्येक सर्टिफिकेटसाठी OCSP रिस्पॉन्डरला — जी तुमच्या CA च्या समोर बसणारी एक सेवा आहे — रिअल-टाइम क्वेरी पाठवतो. रिस्पॉन्डर तीनपैकी एक उत्तर परत करतो: Good, Revoked, किंवा Unknown. ही संपूर्ण देवाणघेवाण इनलाइन, EAP-TLS हँडशेक दरम्यान, चांगल्या प्रकारे प्रोव्हिजन केलेल्या इन्फ्रास्ट्रक्चरवर सामान्यतः 100 मिलिसेकंदांपेक्षा कमी वेळेत होते. OCSP सोबतचा ट्रेडऑफ म्हणजे अव्हेलेबिलिटी डिपेंडन्सी. जर तुमचा OCSP रिस्पॉन्डर डाउन झाला, किंवा नेटवर्क पार्टिशनमुळे तुमचा RADIUS सर्व्हर त्याच्यापर्यंत पोहोचू शकला नाही, तर तुम्हाला एक पॉलिसी निर्णय घ्यावा लागेल: तुम्ही fail open करता — ऑथेंटिकेशन पुढे जाण्याची अनुमती देता — किंवा fail closed करता — रिस्पॉन्डर रिचेबल होईपर्यंत ॲक्सेस नाकारता? Fail open अपटाइम राखते परंतु एक सुरक्षा गॅप निर्माण करते. Fail closed सुरक्षा स्थिती राखते परंतु इन्फ्रास्ट्रक्चर घटनेदरम्यान कायदेशीर वापरकर्त्यांना लॉक आउट करू शकते. माहित असण्यासारखा तिसरा पर्याय आहे: OCSP स्टेपलिंग. या मॉडेलमध्ये, सर्टिफिकेट होल्डर — क्लायंट उपकरण — वेळोवेळी रिस्पॉन्डरकडून साइन्ड OCSP रिस्पॉन्स फेच करते आणि तो TLS हँडशेकला जोडते. RADIUS सर्व्हर स्वतःची OCSP क्वेरी करण्याऐवजी स्टेपल केलेला रिस्पॉन्स व्हॅलिडेट करतो. हे OCSP रिस्पॉन्डरवरील लोड कमी करते, बाह्य सेवेला सर्टिफिकेट सिरीयल्स एक्सपोज करण्याची गोपनीयतेची चिंता दूर करते आणि रेझिलियन्स सुधारते. याचा तोटा असा आहे की सर्वच EAP सप्लिकंट्स स्टेपलिंगला सपोर्ट करत नाहीत, त्यामुळे त्यावर अवलंबून राहण्यापूर्वी तुम्हाला क्लायंट कंपॅटिबिलिटी तपासावी लागेल. आता, हे NAC आर्किटेक्चरमध्ये कसे बसते? तुमचे NAC पॉलिसी इंजिन — मग ते Cisco ISE, Aruba ClearPass, Juniper Mist असो, किंवा FreeRADIUS आणि PacketFence भोवती तयार केलेला ओपन-सोर्स स्टॅक असो — सप्लिकंट आणि नेटवर्कच्या दरम्यान बसते. जेव्हा एखादे उपकरण कनेक्ट करण्याचा प्रयत्न करते, तेव्हा RADIUS सर्व्हर Access-Request प्राप्त करतो, EAP-TLS निगोशिएशन करतो, क्लायंट सर्टिफिकेट चेन व्हॅलिडेट करतो, OCSP किंवा CRL द्वारे रिव्होकेशन स्टेटस तपासतो, आणि नंतर एकतर VLAN असाइनमेंटसह Access-Accept किंवा Access-Reject इश्यू करतो. ऑटोमेशनचा भाग दोन स्तरांवर येतो. प्रथम, सर्टिफिकेट इश्यूअन्स लेयरवर: तुमचे MDM प्लॅटफॉर्म — Jamf, Intune, Workspace ONE — मॅनेज्ड उपकरणांना सर्टिफिकेट्स स्वयंचलितपणे प्रोव्हिजन करण्यासाठी SCEP चा वापर करते. जेव्हा एखादे उपकरण अनएनरोल किंवा डिकमिशन केले जाते, तेव्हा MDM CA ला रिव्होकेशन कॉल ट्रिगर करते, जे CRL अपडेट करते आणि OCSP रिस्पॉन्डरला सूचित करते. दुसरे, NAC एन्फोर्समेंट लेयरवर: तुमचा RADIUS सर्व्हर परिभाषित शेड्युलवर OCSP ला क्वेरी करण्यासाठी किंवा त्याची CRL कॅश रिफ्रेश करण्यासाठी कॉन्फिगर केलेला असतो, हे सुनिश्चित करून की रिव्होकेशन निर्णय मॅन्युअल हस्तक्षेपाशिवाय ॲक्सेस पॉलिसीमध्ये लागू होतात. येथील महत्त्वपूर्ण इंटिग्रेशन पॉइंट म्हणजे CA-to-NAC कम्युनिकेशन पाइपलाइन. चांगल्या प्रकारे डिझाइन केलेल्या डिप्लॉयमेंटमध्ये, रिव्होकेशन ही एक पूर्णपणे स्वयंचलित साखळी असते: MDM उपकरण डिकमिशन करते, CA रिव्होकेशन ट्रिगर करते, CA OCSP रिस्पॉन्डर अपडेट करते आणि नवीन CRL प्रकाशित करते, RADIUS सर्व्हर तो बदल घेतो — एकतर त्वरित OCSP द्वारे किंवा पुढील CRL रिफ्रेश विंडोमध्ये — आणि उपकरणाला त्याच्या पुढील ऑथेंटिकेशन प्रयत्नावर ॲक्सेस नाकारला जातो. --- इम्प्लिमेंटेशन शिफारसी आणि धोके — अंदाजे 2 मिनिटे मी तुम्हाला व्यावहारिक मार्गदर्शन देतो जे डिप्लॉयमेंट्सना चुकीच्या दिशेने जाण्यापासून वाचवते. प्रथम: तुमची यंत्रणा निवडण्यापूर्वी तुमची रिव्होकेशन लेटन्सी टॉलरन्स परिभाषित करा. जर तुम्ही हॉटेल गेस्ट WiFi नेटवर्क चालवत असाल जिथे प्राथमिक धोका डिकमिशन केलेले कर्मचारी उपकरण आहे, तर 4-तासांचा CRL रिफ्रेश इंटरव्हल बहुधा ठीक आहे. जर तुम्ही हेल्थकेअर नेटवर्क चालवत असाल जिथे तडजोड केलेले उपकरण पेशंट डेटा ॲक्सेस करू शकते, तर तुम्हाला fail-closed पॉलिसी आणि अत्यंत उपलब्ध रिस्पॉन्डर क्लस्टरसह OCSP हवे आहे. दुसरे: प्रोडक्शनमध्ये सिंगल OCSP रिस्पॉन्डर चालवू नका. हेल्थ मॉनिटरिंगसह लोड बॅलन्सरच्या मागे किमान दोन डिप्लॉय करा. OCSP रिस्पॉन्डर आउटेज ज्यामुळे fail-closed बिहेवियर होते ते इतर कोणत्याही इन्फ्रास्ट्रक्चर फेल्युअरपेक्षा वेगाने सपोर्ट तिकिटे जनरेट करेल. तिसरे: तुमच्या CRL आकारावर लक्ष ठेवा. मोठ्या डिप्लॉयमेंट्समध्ये — आपण हजारो सर्टिफिकेट्सबद्दल बोलत आहोत — CRL फाइल्स अनेक मेगाबाइट्सपर्यंत वाढू शकतात. WAN लिंकवर दर तासाला 5MB CRL डाउनलोड करणारा RADIUS सर्व्हर ही एक थ्रूपुट समस्या होण्याची वाट पाहत आहे. डेल्टा CRLs चा विचार करा, ज्यामध्ये केवळ शेवटच्या पूर्ण CRL नंतरचे बदल असतात, किंवा हाय-व्हॉल्यूम एन्वायरमेंट्ससाठी OCSP वर मायग्रेट करा. चौथे: तुमच्या रिव्होकेशन पाइपलाइनची नियमितपणे चाचणी करा. OCSP कॉन्फिगर करणे आणि ते कार्य करते असे गृहीत धरणे पुरेसे नाही. मासिक चाचणी स्वयंचलित करा: सर्टिफिकेट इश्यू करा, ते रद्द करा, ऑथेंटिकेशनचा प्रयत्न करा, रिजेक्शनची पडताळणी करा. जर तुमचे मॉनिटरिंग तुटलेला OCSP रिस्पॉन्डर पकडत नसेल, तर तुमची रिव्होकेशन यंत्रणा केवळ एक देखावा आहे. पाचवे: तुमचे सर्टिफिकेट व्हॅलिडिटी कालावधी तुमच्या रिव्होकेशन स्ट्रॅटेजीशी अलाइन करा. शॉर्ट-लिव्ह्ड सर्टिफिकेट्स — 24 ते 72 तास — तडजोड केलेल्या क्रेडेंशियल्ससाठी एक्सपोजरची विंडो कमी करतात आणि रिव्होकेशन इन्फ्रास्ट्रक्चरवरील तुमचे अवलंबित्व पूर्णपणे कमी करू शकतात. इंडस्ट्री याच दिशेने वाटचाल करत आहे, आणि नवीन डिप्लॉयमेंट्ससाठी याचे मूल्यांकन करणे योग्य आहे. --- रॅपिड-फायर प्रश्न आणि उत्तरे — अंदाजे 1 मिनिट प्रश्न: मी OCSP आणि CRL दोन्ही एकाच वेळी वापरू शकतो का? होय. बहुतांश RADIUS इम्प्लिमेंटेशन्स फॉलबॅक चेनला सपोर्ट करतात: प्रथम OCSP वापरून पहा, जर रिस्पॉन्डर अनरिचेबल असेल तर CRL वर फॉलबॅक करा. हे तुम्हाला सामान्य परिस्थितीत रिअल-टाइम चेकिंग आणि आउटेजेस दरम्यान ऑफलाइन रेझिलियन्स देते. प्रश्न: Purple चे गेस्ट WiFi प्लॅटफॉर्म सर्टिफिकेट-आधारित NAC सह इंटिग्रेट होते का? Purple चे प्लॅटफॉर्म गेस्ट ॲक्सेस लेयरवर कार्य करते, Captive Portal ऑथेंटिकेशन, डेटा कॅप्चर आणि ॲनालिटिक्स हाताळते. सर्टिफिकेट ऑथेंटिकेशनसह 802.1X चालवणाऱ्या एंटरप्राइझ स्टाफ नेटवर्क्ससाठी, Purple सर्टिफिकेट मॅनेजमेंट स्टॅक बदलण्याऐवजी अंतर्निहित नेटवर्क इन्फ्रास्ट्रक्चर — ॲक्सेस पॉइंट्स, कंट्रोलर्स आणि RADIUS सर्व्हर्स — सह इंटिग्रेट होते. गेस्ट आणि स्टाफ नेटवर्क्स सामान्यतः सेगमेंट केलेले असतात, प्रत्येकासाठी योग्य अशा भिन्न ऑथेंटिकेशन यंत्रणांसह. प्रश्न: कम्प्लायन्स अँगल काय आहे? PCI DSS 4.0 ला कार्डहोल्डर डेटा एन्वायरमेंट्सच्या ॲक्सेससाठी मजबूत ऑथेंटिकेशन वापरणे आवश्यक आहे. GDPR ला वैयक्तिक डेटा संरक्षित करण्यासाठी योग्य तांत्रिक उपायांची आवश्यकता आहे. दोन्ही फ्रेमवर्क्स स्वयंचलित रिव्होकेशनसह सर्टिफिकेट-आधारित 802.1X द्वारे समाधानी आहेत — बशर्ते तुम्ही हे दाखवू शकाल की रिव्होकेशन वेळेवर आणि चाचणी केलेले आहे. तुमच्या ऑडिट ट्रेलने हे दाखवणे आवश्यक आहे की सर्टिफिकेट्स केव्हा रद्द केले गेले आणि ते रिव्होकेशन नेटवर्क एन्फोर्समेंटमध्ये केव्हा लागू झाले. --- सारांश आणि पुढील पायऱ्या — अंदाजे 1 मिनिट थोडक्यात सांगायचे तर: NAC एन्वायरमेंटमध्ये सर्टिफिकेट रिव्होकेशन स्वयंचलित करणे ही तीन-स्तरीय समस्या आहे. तुम्हाला स्वयंचलित रिव्होकेशन ट्रिगर्सना सपोर्ट करणारे CA, अत्यंत उपलब्ध आणि योग्य आकाराचे OCSP रिस्पॉन्डर किंवा CRL डिस्ट्रिब्युशन पॉइंट, आणि ॲक्सेस पॉलिसीचा भाग म्हणून रिव्होकेशन स्टेटस लागू करण्यासाठी कॉन्फिगर केलेला RADIUS सर्व्हर आवश्यक आहे. OCSP आणि CRL मधील निवड बायनरी नाही — हा एक रिस्क-टॉलरन्स निर्णय आहे जो तुमच्या एन्वायरमेंटच्या सुरक्षा आवश्यकता, नेटवर्क टोपोलॉजी आणि ऑपरेशनल परिपक्वतेच्या संदर्भात घेतला गेला पाहिजे. जर तुम्ही NAC डिप्लॉयमेंट तयार करत असाल किंवा त्याचे पुनरावलोकन करत असाल आणि Purple चे गेस्ट WiFi आणि ॲनालिटिक्स प्लॅटफॉर्म व्यापक नेटवर्क आर्किटेक्चरमध्ये कसे बसते हे समजून घ्यायचे असेल, तर शो नोट्समधील लिंक्स तुम्हाला संबंधित तांत्रिक मार्गदर्शकांकडे घेऊन जातील. ऐकल्याबद्दल धन्यवाद. आपण पुढील ब्रीफिंगमध्ये भेटू. --- स्क्रिप्टचा शेवट