सुरक्षित BYOD आणि 802.1X नेटवर्क ऑथेंटिकेशनसाठी SCEP कसे कॉन्फिगर करावे

हॅलो, आणि Purple कडून या तांत्रिक ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण SCEP - Simple Certificate Enrollment Protocol - आणि सुरक्षित BYOD आणि 802.1X नेटवर्क ऑथेंटिकेशनसाठी ते योग्यरित्या कसे कॉन्फिगर करायचे याबद्दल सविस्तर माहिती घेणार आहोत. जर तुम्ही आयटी व्यवस्थापक, नेटवर्क आर्किटेक्ट किंवा हॉटेल ग्रुप, रिटेल इस्टेट, स्टेडियम किंवा सार्वजनिक क्षेत्रातील संस्थेमधील WiFi इन्फ्रास्ट्रक्चरसाठी जबाबदार असलेले CTO असाल, तर हे थेट तुमच्याशी संबंधित आहे. आज आपण केवळ सिद्धांतावर बोलणार नाही आहोत. आपण आर्किटेक्चर आणि निर्णयांवर बोलणार आहोत. चला तर मग, सुरुवात करूया. [विभाग: परिचय आणि संदर्भ - साधारण १ मिनिट] तुम्ही सध्या तोंड देत असलेली समस्या कदाचित ही असू शकते. तुमच्याकडे कर्मचाऱ्यांचे डिव्हाइसेस, कंत्राटदारांचे लॅपटॉप आणि वैयक्तिक फोन्स आहेत ज्यांना नेटवर्क ॲक्सेसची आवश्यकता आहे. तुमच्याकडे कदाचित मॅनेज्ड आणि अनमॅनेज्ड डिव्हाइसेसचे मिश्रण असेल. आणि तुमच्या इन्फ्रास्ट्रक्चरमध्ये कुठेतरी, अजूनही एक सामायिक WPA2 प्री-शेअर्ड की आहे जी बारा लोकांना माहीत आहे, ज्यांपैकी तीन जणांनी गेल्या वर्षी कंपनी सोडली आहे. ही कोणतीही सुरक्षितता नाही. हे तर मोठे दायित्व आहे. याचे उत्तर म्हणजे 802.1X - पोर्ट आधारित नेटवर्क ॲक्सेस कंट्रोलसाठीचे IEEE मानक. जोपर्यंत कोणत्याही डिव्हाइसचे स्पष्टपणे ऑथेंटिकेशन होत नाही तोपर्यंत त्यातून ट्रॅफिक पास होणार नाही याची हे खात्री करते. परंतु 802.1X ही केवळ एक चौकट आहे. खरा प्रश्न हा आहे की त्यामध्ये कोणती ऑथेंटिकेशन पद्धत वापरली जाते. आणि मोठ्या प्रमाणावर BYOD साठी, याचे उत्तर SCEP द्वारे प्रोव्हिजन केलेल्या प्रमाणपत्रांसह (certificates) EAP-TLS हे आहे. आज आपण याच विषयाचा सखोल अभ्यास करणार आहोत. [विभाग: तांत्रिक सखोल माहिती - साधारण ५ मिनिटे] सर्वप्रथम SCEP नेमके काय करते यापासून सुरुवात करूया. SCEP - Simple Certificate Enrollment Protocol - सुरुवातीला VeriSign द्वारे तयार करण्यात आले होते आणि १९९९ मध्ये IETF द्वारे इंटरनेट ड्राफ्ट म्हणून प्रकाशित केले गेले होते. नंतर RFC 8894 म्हणून याला औपचारिक रूप देण्यात आले. याचे काम अगदी सोपे आहे: प्रत्येक डिव्हाइससाठी मॅन्युअली प्रमाणपत्र जनरेट आणि इन्स्टॉल करण्यासाठी माणसाची गरज न पडता, मोठ्या प्रमाणावर डिव्हाइसेसना X.509 डिजिटल प्रमाणपत्रे जारी करण्याची प्रक्रिया ऑटोमेट करणे. याचा चार-टप्प्यांचा प्रवाह खालीलप्रमाणे आहे. टप्पा एक: डिव्हाइस एका SCEP एंडपॉईंटशी जोडले जाते - हा एक URL असतो जो NDES (Network Device Enrollment Service) नावाच्या Windows Server रोलद्वारे ऑन-प्रिमायसेसवर किंवा क्लाउड PKI प्रोव्हायडरद्वारे होस्ट केलेला असतो. हा URL तुमच्या सर्टिफिकेट ऑथॉरिटीचे प्रवेशद्वार आहे. टप्पा दोन: डिव्हाइस SCEP चॅलेंज सादर करते - एक सामायिक गुप्त कोड (shared secret) जो सिद्ध करतो की त्याला प्रमाणपत्राची विनंती करण्याचा अधिकार आहे. Microsoft Intune सारख्या MDM-मॅनेज्ड वातावरणात, हे चॅलेंज प्रत्येक डिव्हाइससाठी स्वतंत्रपणे आणि डायनॅमिक पद्धतीने पाठवले जाते, जे सर्व डिव्हाइसेसमध्ये सामायिक केलेल्या स्टॅटिक पासवर्डपेक्षा कितीतरी पतीने अधिक सुरक्षित असते. टप्पा तीन: डिव्हाइस स्थानिक पातळीवर त्याची स्वतःची खाजगी आणि सार्वजनिक की पेअर (key pair) जनरेट करते. हे सार्वजनिक की चा वापर करून एक सर्टिफिकेट सायनिंग रिक्वेस्ट - CSR - तयार करते आणि ते SCEP सर्व्हरला पाठवते. येथे एक अत्यंत महत्त्वाचा सुरक्षेचा मुद्दा आहे: खाजगी की कधीही डिव्हाइसच्या बाहेर जात नाही. ती स्थानिक पातळीवरच जनरेट केली जाते, डिव्हाइसच्या सुरक्षित एन्क्लेव्हमध्ये - म्हणजेच Windows वरील TPM किंवा iOS वरील Secure Enclave मध्ये - स्टोअर केली जाते आणि कधीही ट्रान्समिट केली जात नाही. म्हणूनच नेटवर्क ऑथेंटिकेशनसाठी SCEP हा योग्य पर्याय आहे, PKCS नाही, जिथे CA मध्यवर्ती पातळीवर की जनरेट करतो आणि ती डिव्हाइसवर पुश करावी लागते. चौथी पायरी: Certificate Authority (CA) हे CSR प्रमाणित करते, CA च्या खाजगी की (private key) ने त्यावर स्वाक्षरी करते, आणि स्वाक्षरी केलेले X.509 प्रमाणपत्र डिव्हाइसला परत पाठवते. आता डिव्हाइसकडे एक युनिक क्रिप्टोग्राफिक ओळख असते. आता, 802.1X ऑथेंटिकेशनसाठी त्या प्रमाणपत्राचा वापर कसा केला जातो? जेव्हा डिव्हाइस तुमच्या WiFi SSID शी कनेक्ट होते, तेव्हा ॲक्सेस पॉइंट - मग तो Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist किंवा Ubiquiti UniFi असो - ऑथेंटिकेटर म्हणून काम करतो. तो स्वतः ऑथेंटिकेशनचा निर्णय घेत नाही. तो EAP एक्स्चेंज तुमच्या RADIUS सर्व्हरकडे फॉरवर्ड करतो. तो Microsoft NPS, Cisco ISE किंवा Aruba ClearPass असू शकतो. RADIUS सर्व्हर EAP-TLS हँडशेक सुरू करतो. डिव्हाइस त्याचे SCEP-प्रोविझन्ड क्लायंट प्रमाणपत्र सादर करते. RADIUS सर्व्हर तीन गोष्टी प्रमाणित करतो: ट्रस्टेड रूट CA पर्यंतची प्रमाणपत्र साखळी, प्रमाणपत्राची समाप्ती तारीख आणि प्रमाणपत्र रद्द केले गेले आहे की नाही - ज्याची तपासणी प्रमाणपत्र रद्दीकरण सूची (CRL) किंवा OCSP (Online Certificate Status Protocol) द्वारे केली जाते. जर या तिन्ही तपासण्या यशस्वी झाल्या, तर RADIUS सर्व्हर EAP-Success संदेश पाठवतो, आणि ॲक्सेस पॉइंट पोर्ट उघडतो. डिव्हाइस नेटवर्कवर कनेक्ट होते. हे परस्पर ऑथेंटिकेशन (mutual authentication) आहे. डिव्हाइस RADIUS सर्व्हरचे प्रमाणपत्र देखील प्रमाणित करते. जर कोणी बनावट ॲक्सेस पॉइंट सेट केला, तर डिव्हाइस तो नाकारेल कारण सर्व्हर प्रमाणपत्र ट्रस्टेड CA नुसार प्रमाणित होणार नाही. इव्हिल ट्विन हल्ल्यांपासून हे तुमचे संरक्षण आहे. आता Microsoft Intune मधील डिप्लॉयमेंट सिक्वेन्सबद्दल बोलूया, कारण एंटरप्राइझ वातावरणात सर्वाधिक दिसणारा हाच MDM प्लॅटफॉर्म आहे. तुम्ही अगदी अचूक क्रमाने तीन Intune कॉन्फिगरेशन प्रोफाइल डिप्लॉय करता. पहिले, Trusted Root Certificate प्रोफाइल - हे तुमचे रूट CA प्रमाणपत्र प्रत्येक डिव्हाइसवर पुश करते जेणेकरून ते तुमच्या PKI वर विश्वास ठेवतील. दुसरे, SCEP Certificate प्रोफाइल - हे डिव्हाइसेसना SCEP URL, सब्जेक्ट नेम फॉरमॅट, की युसेज आणि क्लायंट ऑथेंटिकेशनसाठी एक्सटेंडेड की युसेज सांगते. क्लायंट ऑथेंटिकेशनसाठी OID हा 1.3.6.1.5.5.7.3.2 आहे. तिसरे, WiFi प्रोफाइल - हे SSID निर्दिष्ट करते, सुरक्षा प्रकार WPA2-Enterprise किंवा WPA3-Enterprise वर सेट करते, EAP प्रकार EAP-TLS वर सेट करते, आणि SCEP प्रमाणपत्र प्रोफाइलशी लिंक करते. याचा क्रम महत्त्वाचा आहे. WiFi प्रोफाइल SCEP प्रोफाइलवर अवलंबून असते, जे Trusted Root प्रोफाइलवर अवलंबून असते. जर तुम्ही हे चुकीच्या क्रमाने डिप्लॉय केले तर एरर येतील. एक आर्किटेक्चरल निर्णय जो तुम्हाला घ्यावा लागेल तो म्हणजे NDES सर्व्हर कुठे होस्ट करायचा. तो इंटरनेटवरून पोहोचण्यायोग्य असणे आवश्यक आहे जेणेकरून डिव्हाइसेस ऑन-साइट येण्यापूर्वीच नोंदणी करू शकतील. हे सुरक्षितपणे करण्याचा मार्ग म्हणजे Microsoft Entra ID Application Proxy द्वारे NDES URL प्रकाशित करणे. यामुळे इनबाउंड फायरवॉल पोर्ट्स उघडणे टाळता येते आणि नोंदणी प्रवाहावर कंडिशनल ॲक्सेस पॉलिसी लागू करता येतात. ज्या संस्थांना ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चर पूर्णपणे काढून टाकायचे आहे, त्यांच्यासाठी क्लाउड PKI प्रदाते - Intune मधील Microsoft चे स्वतःचे Cloud PKI किंवा इतर थर्ड-पार्टी पर्याय - NDES वरील अवलंबित्व पूर्णपणे काढून टाकतात. [SECTION: अंमलबजावणीच्या शिफारसी आणि त्रुटी - अंदाजे २ मिनिटे] आम्हाला दिसणारे तीन सर्वात सामान्य अपयशाचे प्रकार (failure modes) मी तुम्हाला सांगतो. अपयशाचा पहिला प्रकार: ग्रुप टार्गेटिंगमधील तफावत (group targeting mismatch). Intune मध्ये WiFi प्रोफाइल उपयोजन (deployment) अयशस्वी होण्याचे हे सर्वात वारंवार घडणारे कारण आहे. जर तुमचे Trusted Root प्रोफाइल User ग्रुपला, तुमचे SCEP प्रोफाइल Device ग्रुपला आणि तुमचे WiFi प्रोफाइल दुसऱ्या एखाद्या User ग्रुपला नियुक्त केले असेल, तर Intune या डिपेंडन्सी चेनचे निराकरण करू शकत नाही. हे तिन्ही प्रोफाइल्स तंतोतंत एकाच Azure AD ग्रुपला - एकतर सर्व Users किंवा सर्व Devices ना टार्गेट केलेले असावेत. कोणताही एक पर्याय निवडा आणि त्यात सातत्य ठेवा. अपयशाचा दुसरा प्रकार: CRL उपलब्धता. प्रमाणपत्रे रद्द तर केलेली नाहीत ना, हे तपासण्यासाठी तुमचा RADIUS सर्व्हर CRL तपासतो. जर CRL डिस्ट्रिब्यूशन पॉईंट - म्हणजेच प्रमाणपत्रात एम्बेड केलेला CDP URL - पोहोचण्याबाहेर असेल, तर प्रत्येक डिव्हाइससाठी ऑथेंटिकेशन अयशस्वी होते. नेटवर्कमधील बदलांनंतर मोठ्या प्रमाणावर सेवा खंडित होण्याचे हे एक सामान्य कारण आहे. तुमचे CDPs अत्यंत उपलब्ध असतील याची खात्री करा, तद्वतच रिमोट डिव्हाइसेससाठी ते अंतर्गत (internal) URL आणि बाह्य (external) URL दोन्हीवर प्रकाशित केलेले असावेत. CRL चेकिंगला अधिक लवचिक पर्याय म्हणून OCSP चा विचार करा. अपयशाचा तिसरा प्रकार: क्लायंटवर सर्व्हर सर्टिफिकेट व्हॅलिडेशन सक्तीचे न करणे. 802.1X उपयोजनांमधील ही सर्वात मोठी आणि गंभीर चुकीची कॉन्फिगरेशन आहे. जर तुमच्या MDM द्वारे उपयोजित केलेल्या WiFi प्रोफाइलमध्ये विश्वसनीय CA आणि अपेक्षित RADIUS सर्व्हरचे नाव निर्दिष्ट केलेले नसेल, तर डिव्हाइसेस कोणत्याही प्रमाणपत्रासह सादर होणाऱ्या कोणत्याही सर्व्हरशी जोडले जातील. यामुळे EAP-TLS चा संपूर्ण उद्देशच निरर्थक ठरतो. तुमच्या WiFi प्रोफाइलमध्ये नेहमी सर्व्हर व्हॅलिडेशन कॉन्फिगर करा. [SECTION: Rapid-Fire Q and A - approximately 1 minute] चला काही जलद प्रश्नोत्तरे पाहूयात. प्रश्न: आम्हाला WPA3 ची गरज आहे का? होय. WPA3-Enterprise वर स्थलांतरित व्हा. हे प्रोटेक्टेड मॅनेजमेंट फ्रेम्स सक्तीचे करते, जे डी-ऑथेंटिकेशन हल्ले रोखते. Cisco Meraki, HPE Aruba, Ruckus आणि Juniper Mist मधील सर्व हार्डवेअर याला सपोर्ट करतात. प्रश्न: जे डिव्हाइसेस 802.1X ला सपोर्ट करू शकत नाहीत - जसे की IoT सेन्सर्स किंवा जुने प्रिंटर्स - त्यांचे काय? फॉलबॅक म्हणून MAC Authentication Bypass वापरा, परंतु त्या डिव्हाइसेसना कॉर्पोरेट संसाधनांमध्ये प्रवेश नसलेल्या अत्यंत प्रतिबंधित VLAN वर ठेवा. प्रश्न: यामध्ये Purple कसे फिट बसते? Purple चे Guest WiFi प्लॅटफॉर्म अभ्यागत आणि पाहुण्यांच्या ॲक्सेस लेयरचे व्यवस्थापन करते - जसे की Captive Portal, डेटा कॅप्चर, ॲनालिटिक्स. तुमचे 802.1X आणि SCEP इन्फ्रास्ट्रक्चर कर्मचारी आणि व्यवस्थापित डिव्हाइस ॲक्सेस हाताळते. ते स्वतंत्र SSIDs आणि स्वतंत्र VLANs वर चालतात. Purple हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet सोबत समाकलित होते - त्यामुळे तुमच्या हार्डवेअरमधील गुंतवणूक सुरक्षित राहते. [SECTION: Summary and Next Steps - approximately 1 minute] थोडक्यात सांगायचे तर. SCEP मोठ्या प्रमाणावर प्रमाणपत्र जारी करण्याचे काम स्वयंचलित करते. प्रायव्हेट की डिव्हाइसवरच राहते - हा PKCS च्या तुलनेत सुरक्षेचा मोठा फायदा आहे. MDM द्वारे कठोर अनुक्रमात उपयोजित करा: आधी Trusted Root, नंतर SCEP प्रोफाइल, आणि नंतर WiFi प्रोफाइल, हे सर्व एकाच ग्रुपला टार्गेट करणारे असावेत. Application Proxy द्वारे NDES प्रकाशित करा किंवा क्लाउड PKI वर स्थलांतरित व्हा. तुमच्या RADIUS सर्व्हरवर CRL किंवा OCSP चेकिंग सक्तीचे करा. आणि क्लायंट सप्लिकंट्सवर नेहमी सर्व्हर सर्टिफिकेट व्हॅलिडेशन कॉन्फिगर करा. तुम्ही अजूनही कर्मचारी WiFi साठी सामायिक प्री-शेअर्ड की वापरत असल्यास, या तिमाहीत बदल करण्याची वेळ आली आहे. सर्टिफिकेट इन्फ्रास्ट्रक्चरसाठी सुरुवातीला अधिक काम करावे लागते, परंतु ते क्रेडेन्शियल-आधारित हल्ल्यांचा संपूर्ण प्रकार काढून टाकते आणि सहसा एकदा तैनात केल्यावर WiFi संबंधित हेल्पडेस्क तिकिटे ७० ते ८० टक्क्यांनी कमी करते. पूर्ण तांत्रिक मार्गदर्शक, आर्किटेक्चर आकृत्या आणि कार्य केलेल्या उदाहरणांसाठी, purple dot ai ला भेट द्या. ऐकल्याबद्दल धन्यवाद.